Linux. От новичка к профессионалу. 6-е изд

□ 
accept
 
— принять пакет;
□ 
drop
— 
отбросить пакет, после этого пакет удаляется, больше над ним не выпол-
няются какие-либо действия;
□ 
masquerade
 
— скрыть IP-адрес пакета.
Это не все действия, но пока нам больше знать ни к чему. На рис. 31.2 изображена 
схема обработки пакета. Входящий пакет (на схеме 
пакет
in
) 
поступает в цепочку 
prerouting
 
таблицы 
mangle
. 
После чего (если он не был отброшен правилами табли-
цы 
mangle
) 
пакет обрабатывается правилами цепочки 
prerouting
, 
но
таблицы 
nat.
На этом этапе проверяется, нужно ли модифицировать назначение пакета (этот вид 
NAT называется Destination NAT, DNAT).
Затем пакет может быть направлен либо в цепочку 
input
 
(если получателем пакета 
является этот компьютер), либо в цепочку 
forward
 
(если пакет нужно передать дру-
гому компьютеру).
Если получатель компьютера — сам шлюз (на нем может быть запущен, например, 
почтовый или Web-сервер), то пакет сначала обрабатывается правилами цепочки
Б
р а н д м а у э р ы
: 
с т а р ы й
 
и
 
н о в ы й
Ранее брандмауэр в Linux поддерживал только цепочки правил и назывался ipchains, 
сейчас брандмауэр поддерживает и цепочки правил, и таблицы цепочек и называется 
iptables. Это примечание сделано, чтобы вы понимали разницу между старым бранд­
мауэром ipchains (ядра 2.2 и ниже) и новым iptables (ядра 2.4 и выше).
Предположим, что пакет пришел из сети 192.168.4.0 для узла 192.168.1.7 (это наша 
сеть). Пакет не соответствует первому правилу (отправитель не из сети 
192.168.1.0), поэтому он передается правилу 2. Пакет не соответствует и этому пра-
вилу. Пакет адресован компьютеру 192.168.1.7, а не компьютеру из сети 
192.168.2.0, поэтому он не соответствует третьему правилу. Брандмауэру остается 
применить правило по умолчанию — пакет будет отброшен (действие