"Oskar Andreasson. Iptables Tutorial 1.1.19 " - читать интересную книгу автора

Действие MARK устанавливает специальную метку на пакет, которая затем
может быть проверена другими правилами в iptables или другими программами,
например iproute2. С помощью "меток" можно управлять маршрутизацией пакетов,
ограничивать траффик и т.п.

3.3. Таблица Nat

Эта таблица используется для выполнения преобразований сетевых адресов
NAT (Network Address Translation). Как уже упоминалось ранее, только первый
пакет из потока проходит через цепочки этой таблицы, трансляция адресов или
маскировка применяются ко всем последующим пакетам в потоке автоматически.
Для этой таблицы характерны действия:

DNAT
SNAT
MASQUERADE

Действие DNAT (Destination Network Address Translation) производит
преобразование адресов назначения в заголовках пакетов. Другими словами,
этим действием производится перенаправление пакетов на другие адреса,
отличные от указанных в заголовках пакетов.
SNAT (Source Network Address Translation) используется для изменения
исходных адресов пакетов. С помощью этого действия можно скрыть структуру
локальной сети, а заодно и разделить единственный внешний IP адрес между
компьютерами локальной сети для выхода в Интернет. В этом случае брандмауэр,
с помощью SNAT, автоматически производит прямое и обратное преобразование
адресов, тем самым давая возможность выполнять подключение к серверам в
Интернете с компьютеров в локальной сети.
Маскировка (MASQUERADE) применяется в тех же целях, что и SNAT, но в
отличие от последней, MASQUERADE дает более сильную нагрузку на систему.
Происходит это потому, что каждый раз, когда требуется выполнение этого
действия - производится запрос IP адреса для указанного в действии сетевого
интерфейса, в то время как для SNAT IP адрес указывается непосредственно.
Однако, благодаря такому отличию, MASQUERADE может работать в случаях с
динамическим IP адресом, т.е. когда вы подключаетесь к Интернет, скажем
через PPP, SLIP или DHCP.

3.4. Таблица Filter

Как следует из названия, в этой таблице должны содержаться наборы
правил для выполнения фильтрации пакетов. Пакеты могут пропускаться далее,
либо отвергаться (действия ACCEPT и DROP соответственно), в зависимости от
их содержимого. Конечно же, мы можем отфильтровывать пакеты и в других
таблицах, но эта таблица существует именно для нужд фильтрации. В этой
таблице допускается использование большинства из существующих действий,
однако ряд действий, которые мы рассмотрели выше в этой главе, должны
выполняться только в присущих им таблицах.

Глава 4. Механизм определения состояний