1、黑白名单
当链的默认策略为ACCEPT时，链中的规则对应的动作应该为DROP或者REJECT，表示只有匹配到规则的报文才会被拒绝，没有被规则匹配到的报文都会被默认接受，这就是"黑名单"机制。
当链的默认策略为DROP时，链中的规则对应的动作应该为ACCEPT，表示只有匹配到规则的报文才会被放行，没有被规则匹配到的报文都会被默认拒绝，这就是"白名单"机制。
如果使用白名单机制，我们就要把所有人都当做坏人，只放行好人。如果使用黑名单机制，我们就要把所有人都当成好人，只拒绝坏人。白名单机制似乎更加安全一些，黑名单机制似乎更加灵活一些。
白名单机制设置技巧：默认策略设置为ACCEPT，先将放行规则放在前面，最后插入一条拒绝所有报文的规则。不是将默认策略设置为DROP，否则管理员都登录不进去。
eg：
iptables -P INPUT ACCEPT
iptables -I INPUT -p tcp --dport 22 -j ACCEPT
iptables -I INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -j REJECT
2、自定义链
自定义一条链，链名叫IN_WEB，我们可以将所有针对80端口的入站规则都写入到这条自定义链中，当以后想要修改针对web服务的入站规则时，就直接修改IN_WEB链中的规则就好了；
同理，可以将针对sshd的出站规则放入到OUT_SSH自定义链中，将针对Nginx的入站规则放入到IN_NGINX自定义链中，这样，我们就能想改哪里改哪里，再也不同担心找不到规则在哪里了。
(1)新建
#新建名字为IN_WEB的自定义链
iptables -t filter -N IN_WEB
(2)引用
让自定义链生效，需要用默认链引用自定义链,-j后面不是动作而是自定义链
eg:
iptables -I INPUT -p tcp --dport 80 -j IN_WEB
(3)修改
#将自定义链IN_WEB名字改为WEB
iptables -E IN_WEB WEB
(4)删除
#删除自定义链WEB
iptables -X IN_WEB WEB
删除自定义链要满足两个条件：
(4.1)自定义链没有被任何默认链引用，即自定义链的引用计数为0,否则报错：Too many links
eg:iptables -D INPUT 1
(4.2)自定义链中没有任何规则，即自定义链为空，否则报错：Directory not empty
eg:iptables -t filter -F WEB
3、网络防火墙
防火墙从逻辑上讲，可以分为主机防火墙与网络防火墙。
主机防火墙：针对于单个主机进行防护，起作用的是INPUT链与OUTPUT链；
网络防火墙： 往往处于网络入口或边缘，针对于网络入口进行防护，服务于防火墙背后的本地局域网。
网络防火墙的职责就是"过滤并转发"，要想"过滤"，只能在INPUT、OUTPUT、FORWARD三条链中实现，要想"转发"，报文则只会经过FORWARD链（发往本机的报文才会经过INPUT链），所以，iptables的角色变为"网络防火墙"时，规则只能定义在FORWARD链中。
上图中，橘黄色主机为iptables所在主机，iptables充当网络防火墙的角色，浅蓝色圆形表示网络防火墙所防护的网络区域，圆形内的蓝色矩形表示网络内的主机。
当外部网络中的主机与网络内部主机通讯时，不管是由外部主机发往内部主机的报文，还是由内部主机发往外部主机的报文，都需要经过iptables所在的主机，由iptables所在的主机进行"过滤并转发"，所以，防火墙主机的主要工作就是"过滤并转发"。
网络防火墙设置
(1)开启网络防火墙的转发功能
#如果想要iptables作为网络防火墙，iptables所在主机开启核心转发功能，以便能够转发报文。
#使用如下命令查看当前主机是否已经开启了核心转发，0表示为开启，1表示已开启
cat /proc/sys/net/ipv4/ip_forward
#使用如下两种方法均可临时开启核心转发，立即生效，但是重启网络配置后会失效。
方法一：echo 1 > /proc/sys/net/ipv4/ip_forward
方法二：sysctl -w net.ipv4.ip_forward=1
#使用如下方法开启核心转发功能，重启网络服务后永久生效。
配置/etc/sysctl.conf文件（centos7中配置/usr/lib/sysctl.d/00-system.conf文件），在配置文件中将 net.ipv4.ip_forward设置为1
(2)配置防火墙FORWAED链规则
#示例为允许网络内主机访问网络外主机的web服务与sshd服务。
iptables -A FORWARD -j REJECT
iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD -d 10.1.0.0/16 -p tcp --sport 80 -j ACCEPT
iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 22 -j ACCEPT
iptables -I FORWARD -d 10.1.0.0/16 -p tcp --sport 22 -j ACCEPT
#可以使用state扩展模块，对上述规则进行优化，使用如下配置可以省略许多"回应报文放行规则"。
iptables -A FORWARD -j REJECT
iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 22 -j ACCEPT
iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
参考：