基于Linux的防火墙设计
NF-IP-LOCAL-IN；3）NF-IP-FORWARD；4）NF-IP-POST-ROUTING；5）NF-IP-LOCAL-OUT。如图所示：
数据包从左边进入系统，进行简单的校验（如版本、IP校验）后，经过HOOK点①，由钩子函数NF-IP-PRE-ROUTING进行处理；然后进入路由代码，其决定该数据包是转发还是发给本机；若该数据包是发给本机的则在HOOK点②，则由钩子函数NF-IP-LOCAL-IN处理后传递给上层协议；若该数据包应该被
转发，则它在HOOK点③由NF-IP-FORWARD钩子函数处理；经过转发的数据包在HOOK点④由NF-IP-POST-ROUTING处理后再传输到网络上。而且本地产生的数据包在HOOK点⑤经由NF-IP-LOCAL-OUT钩子函数处理后进行路由选择处理，然后经由NF-IP-POST-ROUTING处理并发送到网络上。
数据包在经过这些HOOK点时，相应的钩子函数将被调用，通过对数据包进行操作，向Netfilter返回表示接受或丢弃。
3.2 管理工具：Iptables
3.2.1 Iptables 防火墙规则配置管理工具
防火墙提供有关对来自某个源地址、到某个目的地或具有特定协议类型的信息包要做些什么的指令，规则控制信息包的过滤。通过使用iptables系统提供的特殊命令iptables建立这些规则，并将其添加到内核空间特定信息包过滤表内的链中。
3.2.1 Iptables工具的应用方法
一个Iptables命令基本上包含如下五部分 （1）希望工作在哪个表上 （2）希望使用该表的哪个链
（3）进行操作（插入、添加、删除、修改） （4）对特定规则的目标动作