Tablas, cadenas y ganchos

Un filtro de paquetes de Linux organiza sus reglas en tablas (con una familia: ip, ip6 o inet para las dos a la vez), las tablas en cadenas y las cadenas en reglas. Las cadenas que reciben tráfico son las cadenas base, y cada una declara un tipo, un gancho y una prioridad.

El gancho es el punto del recorrido del paquete en el que el núcleo se lo entrega a la cadena. El recorrido es: el paquete que llega pasa por prerouting; después por input si es para el propio equipo o por forward si va a otro destino; el que genera el propio equipo pasa por output; y todo el que sale, por postrouting.

Una cadena regular se crea sin gancho. Por sí sola no ve tráfico: solo procesa los paquetes que una regla de otra cadena le envía con un salto (jump o goto). Sirve para ordenar un conjunto de reglas largo en bloques con nombre.

Esto importa al revisar: una cadena bien escrita pero que nadie llama no protege nada, y no hay error ni advertencia que lo diga.

Consulta cadenas y filtra por gancho. Una pasarela existe para llevar tráfico de una red a otra; el gancho que ve esos paquetes, los que no son para el propio equipo y se reenvían, es forward. La cadena base de filtrado colgada de ese gancho es donde viven las reglas entre zonas.

Mira las columnas tipo y gancho de todas las cadenas. Las cadenas base tienen un tipo (filter o nat) y un gancho; la regular los lleva vacíos, con un guion en la exportación.

Cuenta solo las cadenas base de las dos tablas, es decir, las que tienen gancho. Las de la tabla de traducción de direcciones también cuentan: son cadenas base de tipo nat.