如果你是一名系统管理员或者开发人员，那么一定会涉及到iptables，而/etc/sysconfig/iptables就是iptables的配置文件，本篇文章就从多个方面对其进行详细的阐述。
一、文件结构
首先，我们来看一下这个文件的结构：
# Generated by iptables-save v1.4.21 on Thu Nov 12 18:06:14 2015 *mangle # mangle表 :PREROUTING ACCEPT [37252064:27810940639] :INPUT ACCEPT [2572727:495785847] :FORWARD ACCEPT [34664836:27213642408] :OUTPUT ACCEPT [800121:260735656] :POSTROUTING ACCEPT [35466240:53167302970] -A PREROUTING -p tcp -m tcp --dport 80 -j TOS --set-tos Maximize-Delay COMMIT # Completed on Thu Nov 12 18:06:14 2015 # Generated by iptables-save v1.4.21 on Thu Nov 12 18:06:14 2015 *filter # filter表 :INPUT ACCEPT [2572727:495785847] :FORWARD ACCEPT [34664836:27213642408] :OUTPUT ACCEPT [800121:260735656] -A INPUT -p icmp -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT # Completed on Thu Nov 12 18:06:14 2015 # Generated by iptables-save v1.4.21 on Thu Nov 12 18:06:14 2015 *nat # nat表 :PREROUTING ACCEPT [1219495:92669159] :INPUT ACCEPT [201:9725] :OUTPUT ACCEPT [388:32374] :POSTROUTING ACCEPT [388:32374] COMMIT # Completed on Thu Nov 12 18:06:14 2015
其中，文件中有三个表，分别是：
- mangle表：处理数据包的信息，如TOS、QoS等。
- filter表：过滤数据包，处理转发数据包。
- nat表：进行网络地址转换。
每个表中都有对应的链，iptables会依次按表、链处理数据包。
二、配置文件说明
1. 表示注释
配置文件中，使用#表示注释。
2. 表示表和链
iptables中最常见的的关键字除了表示注释的#之外，就是表示表和链的关键字。
格式：*table name
table name为表名，常见的有三个：mangle、nat、filter，表示其他进程、网络地址转换、过滤。
在表名下方是链。格式：:chain name action [parameters]
chain name为链名，action为操作，parameters为参数。
其中，链名是使用自定义名称，操作为ACCEPT、DROP、REJECT等操作用于匹配、操作数据包，参数根据具体使用情况决定。
3. 表示规则
iptables中的规则有两个关键字：-A和-I。
-A表示追加规则（append），即在链末尾添加新规则。
-I表示插入规则（insert），即在链首部插入新规则。
规则格式：
-A chain[-i|-o] [-s source/][--sport sport][:d [i [p protocol] [--dport dport]]] [-j target]
其中，[-i|-o]可选参数指定输入和输出接口。[-s source/][--sport sport][:d [i [p protocol] [--dport dport]]]用来指定来或去目的地IP地址/端口号，protocol表示协议。[-j target]指定匹配规则后对应的操作，如ACCEPT、DROP等。
三、实例
1. 允许本地访问
配置文件内容：
# 允许本地访问 -A INPUT -i lo -j ACCEPT
-A表示追加规则，INPUT表示过滤表中的输入链。
此处表示访问本机网络接口的数据包，因为规则中指定了-i lo，所以这个规则只允许从本地访问。
如果要禁止本地访问，可以将-j ACCEPT改成-j DROP。
2. 允许ICMP协议包的进入
配置文件内容：
# 允许ICMP协议包 -A INPUT -p icmp -j ACCEPT
-p表示筛选协议（protocol），输入心跳数据包的协议是ICMP，-j ACCEPT表示通过。
如果要关闭ICMP协议包的进入，可以将-j ACCEPT改成-j DROP。
3. 允许SSH远程连接
配置文件内容：
# 允许SSH -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-p tcp表示规则为TCP协议。--dport 22表示端口为22（SSH默认端口），-j ACCEPT表示此数据包允许通过。
如果要禁止SSH远程连接，可以将-j ACCEPT改成-j DROP。
总结
以上就是iptables的主要配置格式和用法，此外iptables还有很多其他的使用和配置方式，如标记、跟踪、链特性等，需要根据具体情况使用。
总之，掌握iptables的基本配置和规则将会对系统运维和安全有很大帮助。
