马哥Linux2016运维视频课程-Linux系统防火墙之iptables

为什么还要学 iptables？

很多人觉得容器和云原生时代，iptables 已经过时了。但在备考运维工程师、或者接手传统企业 Linux 服务器时，你依然要直接面对它。Docker 底层默认就是 iptables 做 NAT 和端口映射，Kubernetes 的 Service 机制也大量依赖 iptables 规则。如果你只会在 `/etc/sysctl.conf` 里改参数，遇到网络不通、端口转发失败、或者容器访问外网异常时，根本无从排查。

这门课解决的正是这个痛点：它不教你怎么“安装防火墙”，而是带你从网络协议的底层开始，搞懂数据包是怎么被 Linux 内核处理的。很多学习者卡在规则写不对、匹配不生效，本质上是因为不懂报文结构，也不清楚数据包在 Netfilter 框架里的流转路径。

先补什么？再看哪几块？

建议不要一上来就记命令。课程的开篇三讲非常关键：**防火墙种类概述**帮你建立全局观；**IPv4 报文详解**和**TCP 报文详解**则是后续所有规则匹配的语法基础。如果你连源端口、目的端口、协议标志位（SYN/FIN/ACK）都说不清，后面的隐式扩展和显示扩展根本没法理解。

接下来重点看 **Linux 防火墙机制** 和 **iptables 链详解与数据包流入流出过程**。这是整门课的核心难点。你需要手绘出数据包进入网卡后，如何经过 PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING 这几条链的完整路径，以及每条链在什么时机生效。搞懂了这个，你才能真正明白为什么有些规则写在 INPUT 里不生效，而必须去 PREROUTING。

规则编写部分，从**基本匹配**到**multiport、limit、connlimit 等显示扩展**，建议边看演示边在虚拟机里实操。特别是限速（limit）和连接数限制（connlimit），这是企业运维中防范 CC 攻击、控制并发连接的实际高频需求。

学完能独立做什么？

学完这套内容，你应该能够独立完成以下任务：第一，准确判断一个数据包在 Linux 防火墙中的流向，并解释它经过了哪些链和表；第二，根据业务需求编写完整的 iptables 规则，实现端口开放、IP 白名单、特定协议限制、单 IP 连接数控制等场景；第三，使用 `-L -n -v` 和 `-x` 参数分析现有规则，快速定位网络连通性问题。

资料包里的演示视频配合你的动手实践至关重要。不要只看，要在 CentOS 或 RHEL 环境中亲自 `iptables -A`、`iptables -I`、`iptables -D`，并用 `tcpdump` 抓包验证报文是否如预期被 DROP 或 ACCEPT。只有当你能对着一个复杂的 iptables 配置，画出每一个匹配规则对应的报文处理流程图时，才算真正掌握了这门课的内容。