42.2.3. 非推奨となった iptables フレームワークの概念

現在も活発にメンテナンスされている nftables フレームワークと同様に、非推奨となった iptables フレームワークでも、さまざまなパケットフィルタリング、ロギングと監査、NAT 関連の設定タスクを実行できます。

iptables フレームワークは複数のテーブルに構造化されています。各テーブルは特定の目的のために設計されています。

これらのテーブルは、個別のカーネルモジュールとして実装されています。各テーブルは、INPUT、OUTPUT、FORWARD など、一定の組み込みチェーンのセットを提供します。チェーンは、パケットの評価基準となる一連のルールです。このチェーンは、カーネル内のパケット処理フローの特定のポイントにフックします。チェーンの名前は異なるテーブル間で同じですが、チェーンの実行順序はそれぞれのフックの優先順位によって決まります。ルールが正しい順序で適用されるように、優先順位はカーネルによって内部的に管理されます。

iptables フレームワークは、元々は IPv4 トラフィック用に設計されたものでした。後に ip6tables ユーティリティーによって補完され、IPv6 パケットのファイアウォールルール管理をサポートするようになりました。同様に、arptables が Address Resolution Protocol (ARP) トラフィック用に開発され、ebtables がイーサネットブリッジングフレーム用に開発されました。これらのユーティリティーにより、iptables のパケットフィルタリング機能を複数のプロトコルに拡張し、包括的なネットワークカバレッジを確保しています。

iptables の機能を強化するために、機能拡張の開発が開始されました。通常、機能拡張は、ユーザー空間の動的共有オブジェクト (DSO) とペアになったカーネルモジュールとして実装されます。この拡張により、"マッチ" と "ターゲット" が導入されます。これらをファイアウォールルールで使用すると、より高度な操作を実行できます。拡張は複雑なマッチやターゲットを実装できます。たとえば、特定のレイヤー 4 プロトコルヘッダー値をマッチさせたり操作したり、レート制限を実行したり、クォータを適用したりすることができます。一部の拡張は、デフォルトの iptables 構文の制限に対処するように設計されています ("マルチポート" マッチ拡張など)。この拡張により、単一のルールを複数の非連続ポートにマッチさせることができるため、ルール定義が簡素化され、必要な個別のルールの数を減らすことができます。

ipset は、iptables に対する特別な種類の機能拡張です。これはカーネルレベルのデータ構造であり、パケットとマッチできる IP アドレス、ポート番号、その他のネットワーク関連要素のコレクションを作成するために、iptables と一緒に使用されます。これらのセットにより、ファイアウォールルールの作成と管理のプロセスが大幅に効率化、最適化、高速化されます。