iptables 核心动作命令详解
| 动作 | 作用 | 类比 |
|---|---|---|
| ACCEPT | 放行 | 保安挥手放行 |
| DROP | 静默丢弃，不回应 | 保安假装没看见，来人只能干等 |
| REJECT | 拒绝并回复 “ 不可达 “ | 保安明确说 “ 你不能进 “ |
| LOG | 记录日志，继续匹配下一条 | 保安拍照存档，但不阻拦 |
| SNAT | 修改源地址 | 换信封上的寄件人 |
| DNAT | 修改目标地址 | 换信封上的收件人 |
| MASQUERADE | 动态 SNAT（自动用出口网卡 IP） | 寄件人写 “XX 公司 “ 而非具体某人 |
| REDIRECT | 本机端口重定向 | 把寄到 1 楼的信转到 3 楼 |
| MARK | 给数据包打标记（不修改包本身） | 给包裹贴 “ 加急 “ 便签 |
此表格展示了网络安全管理中的几个核心动作命令：
主要动作类型：
ACCEPT（接受）
- 作用：允许数据包通过
- 类别：终止动作
- 说明：当数据包符合规则时，直接放行通过防火墙
DROP（丢弃）
- 作用：直接丢弃数据包，不给任何回应
- 类别：终止动作
- 说明：静默地拒绝连接，发送方不会收到任何反馈
REJECT（拒绝）
- 作用：拒绝数据包并发送错误信息
- 类别：终止动作
- 说明：明确告知发送方连接被拒绝
LOG（记录）
- 作用：记录数据包信息到日志
- 类别：非终止动作
- 说明：用于监控和审计目的
其他动作：
- RETURN：返回到调用链
- QUEUE：将数据包传递到用户空间
- 自定义链：跳转到用户定义的规则链
DROP vs REJECT 的区别
- DROP：悄无声息地丢弃数据包，像是石沉大海
- REJECT：礼貌地拒绝并通知对方"此路不通"
这种设计在实际应用中各有优势：DROP更安全（不暴露端口状态），而REJECT对用户更友好（快速得到反馈）。