iptables und Netfilter

Kurz: Netfilter ist das Paketfilter-Gerüst im Linux-Kernel, iptables das klassische Werkzeug, um dafür Regeln zu schreiben.

Genauer: Jedes Paket durchläuft Haken (Hooks) im Kernel. Regeln in Tabellen und Ketten entscheiden, ob es angenommen, verworfen oder umgeschrieben wird. Der Nachfolger heißt nftables.

Im Detail

• Tabellen: filter (erlauben/verbieten), nat (Adressen umschreiben), mangle (Pakete verändern).
• Ketten: INPUT (an diesen Rechner), OUTPUT (von ihm), FORWARD (durchgereicht), außerdem PREROUTING und POSTROUTING.
• Regel: Bedingung plus Ziel, etwa -p tcp --dport 22 -j ACCEPT. Die erste passende Regel gewinnt, sonst gilt die Standardrichtlinie der Kette.
• Zustandsverfolgung: -m conntrack --ctstate ESTABLISHED,RELATED erlaubt Antworten auf eigene Verbindungen.
• Einsatz: Heimrouter, Server-Firewalls, Docker (legt eigene Regeln an), Port-Weiterleitung.
• Heute: Neue Systeme nutzen nftables oder Frontends wie ufw und firewalld. Siehe NAT.

Siehe auch: fail2ban