ip route,ip rule, iptables和docker的端口映射

Posted 2020-12-04 yszzu

 iptables 

 默认5个表, 不可增加其他表

1 raw 用于配置数据包，raw 中的数据包不会被系统跟踪。
2 filter 是用于存放所有与防火墙相关操作的默认表。
3 nat 用于 网络地址转换（例如：端口转发）。
4 mangle 用于对特定数据包的修改（参考 损坏数据包）。
5 security 用于 强制访问控制 网络规则

 

    控制Linux內核netfilter模組, 做数据包的过滤和转发，只是netfilter项目的一小部分

    防火墙黑白名单

    可以在内核层面将对80端口的访问直接映射到8080端口上

    NAT, 将对本机的请求，转发到内部其他NAT ip上

下图中可以看到数据包是如何进入本地进程local process的

参考: https://wiki.archlinux.org/index.php/Iptables_(%E7%AE%80%E4%BD%93%E4%B8%AD%E6%96%87)

https://en.wikipedia.org/wiki/Netfilter

 

docker使用NAT时，docker命令也是操作iptables, 给在运行中的容器增加端口映射，需要手动执行iptables命令

iptables -t nat -A DOCKER -p tcp --dport 8001 -j DNAT --to-destination 172.17.0.19:8000

 

 

 

 

ip route

   增加路由， 在本地机器上操作, 对应的文件是/etc/iproute2/rt_tables , 等同与netmanager中的操作命令route add default gw 10.0.0.1

   255 local 254 main 253 default 默认的三个路由表, 可以增加自定义的路由表

ip rule

    路由规则, 路由表中的具体规则

出方向: ip route, ip rule决定了数据包在到达网口Interface时，需要经过的网关和路由器