Netfilter irietvars, kas dod iespējuLinux kodolam pievienot notikumu apstrādātājuspakešu pārtveršanai un apstrādei. Pazīstamākais komponents, kas balstīts uzNetfilter irugunsmūris, kuršfiltrē paketes, bet notikumu apstrādes "āķus" izmanto arī citi komponenti, kas veictīkla adrešu tulkošanu,stāvokļjūtīgu pakešu izsekošanu un pakešu sarindošanulietotāja atmiņas apgabalā. NosaukumsNetfilter attiecas arī uz projekta nosaukumu, kurā tiek izstrādāti ugunsmūra rīkiLinuksam. Šie kompenenti parasti irielādējami kodola moduļi, lai gan projekts arī piedāvā lietotāja apgabalā izvietojamus rīkus un bibliotēkas. Netfilter produkti pēdējā laikā vairs nenodrošina atpakaļsavietojamību aripchains.

iptables ir nosaukums rīkamlietotāja apgabalā, ar kuru Linuksa servera administratori veido likumus pakešu filtrēšanai un NAT moduļiem. Tehniski runājot, iptables ir rīks, kurš vienīgi kontrolē pakešu filtrēšanu un NAT komponentus kodolā, nosaukumuiptables bieži lieto, lai aprakstītu visu infrastruktūru, ieskaitot Netfilter,savienojumu sekošanu un NAT, kā arī pašuiptables komponentu. Tā ir standarta sastāvdaļa visās mūsdienīgāsLinux distribūcijās.

Netfilter/iptables projektu 1998. gadā uzsākaRastijs Rasels, kurš bija arī iepriekšējā projekta -ipchains autors. Projektam augot, viņš izveidojaNetfilter pamatkomandu (vai vienkāršipamatkomandu(coreteam))1999. gadā. Softs, ko viņi veido (kopš tā laika to saucnetfilter) ir licencēts arGNU General Public License (GPL), un tika sapludināts ar Linux 2.32000.gada martā.2003.gada augustāHarald Welte kļuva par pamatkomandas vadītāju, un2004.gada aprīlī, veicot šī projekta ietvaros izmeklēšanas darbības pret tiem, kas izplatīja viņu softuiegultās sistēmās -rūteros, neievērojot GPL licences noteikumus, WelteVācijas tiesā panāca svarīgu piekāpšanos no Sitecom Germany, kas līdz tam atteicās sekot GNU licences noteikumiem (sk.Tiesu strīdi saistībā ar GPL).

Pirms iptables, dominējošā programmatūraLinux ugunsmūru veidošanai bijaipchains versijaiLinux 2.2 unipfwadm versijaiLinux 2.0, kas savukārt bija balstīts uzBSDipfw. Gan ipchains, gan ipfwadm maina tīklošanās kodu tā, lai varētu manipulēt ar pakotnēm, jo pirms Netfilter nebija universāla pakešu vadības ietvara. iptables saglabā pamatidejas, ko Linux-ā ieviesa ipfwadm: likumu saraksts, no kuriem katrs rāda, kādas atbilstības meklēt paketē un ko darīt ar katru šādu paketi. ipchains pievienoja likumuķēžu jēdzienu, un iptables to tālāk paplašināja partabulām: vienu tabulu pārbaudīja, lai izlemtu, vai NAT-ot paketi, otru izmantoja, lai izlemtu, kā filtrēt paketi. Turklāt trīs punkti paketes ceļā, kur agrāk veica filtrēšanu tika izmainīti, tādēļ iptables gadījumā katra pakete iet cauri tikai vienam filtrēšanas punktam.

Kamēr ipchains un ipfwadm kombinē pakešu filtrēšanu un NAT (it īpaši trīs atsevišķus NAT paveidus, ko sauc "maskošanās", "portu pāradresēšana" un "novirzīšana"), Netfilter dod iespēju sadalīt pakešu operācijas trīs daļās - pakešu filtrēšana, savienojumu sekošana un tīkla adrešu tulkošana. Katra daļa piesaistās Netfilter atpakaļizsaukumiem ("āķiem") atšķirīgās koda vietās, lai piekļūtu paketēm. Savienojumu sekošana un NAT apakšsistēmas ir vispārīgākas un varenākas nekā vienkāršotās versijas, ko lieto ipchains un ipfwadm.

Šī atbildības dalīšana savukārt ļāva iptables izmantot informāciju, ko savienojumu izsekošanas slānis bija noteicis par pakotni - agrāk šī informācija bija piesaistīta NAT-am. iptables ir pārākas par ipchains, jo tām ir spēja novērot savienojuma stāvokli un novirzīt, pārveidot vai apturēt datu paketes, atkarībā no savienojuma stāvokļa, ne tikai no izcelsmes, galaadreses vai datu satura šajā paketē. Ugunsmūris, kurš balstīts uz iptables tādēļ kļūst parstāvokļjūtīgu ugunsmūri atšķirībā no ipchains, kas ļauj veidot vienīgibezstāvokļa ugunsmūri, izņemot ļoti specifiskus gadījumus. Var uzskatīt, ka ipchains nezina pilnu kontekstu, kurā datu pakete rodas, kamēr iptables to zina. Tādēļ iptables var pieņemt labākus lēmumus par pakešu un savienojumu likteni.

Iptables, NAT-a apakšsistēma un savienojumu sekošanas apakšsistēma arī ir paplašināmas, un daudzi paplašinājumi ir iekļauti pamata "iptables" risinājumā, piemēram "iptables" paplašinājums, kurš ļauj izdarīt vaicājumus par savienojuma stāvokli, kā izklāstīts augstāk. Papildu paplašinājumi tiek izplatīti līdzās iptables lietojumprogrammai, piemēram,ielāpi kodolapirmkodam, līdz ar ielāpu rīku, ko saucpatch-o-matic.

Tika izveidota arī iptables versija protokolamIPv6, kuru sauc parip6tables, atbilstoši administrēšanas rīka nosaukumam.

Netfilter ietvars ļaujsistēmas administratoram noteikt likumus, ko darīt ar tīklapaketēm. Likumus grupēķēdēs - katra ķēde ir sakārtots likumu saraksts. Ķēdes grupētabulās - katra tabula tiek saistīta ar citu pakešu apstrādes paveidu.

Katrs likums apraksta nosacījumu, kuras paketes tam atbilst unmērķi, kas norāda, ko darīt ar paketi, ja tā atbilst nosacījumam. Katra tīkla pakete, kas ienāk vai iziet no datora šķērso vismaz vienu ķēdi un katrs likums šajā ķēdē pārbauda savu nosacījumu. Atrodot pirmo likumu, kurš atbilst pakotnei, pārbaude beidzas, un likuma mērķis nosaka, ko darīt ar paketi. Ja pakete sasniedzpredefinētas ķēdes beigas, neatbilstot neviena šīs ķēdes likuma nosacījumam, ķēdespolitikas mērķis nosaka, ko darīt ar paketi. Ja pakete sasniedzlietotāja definētas ķēdes beigas, neatrodot nevienu atbilstošu likumu šajā ķēdē vai arī lietotāja definētā ķēde ir tukša, pārbaude turpinās izsaucošajā ķēdē (noklusētais mērķis ir RETURN). Vienīgipredefinētām ķēdēm ir politikas.

Katrs likums var izmest paketi no ķēdes (īsslēgums), un turpmākas ķēdes tad netiek apskatītas. Ķēde var saturēt norādi uz citu ķēdi - ja vai nu pakete iziet cauri visai ķēdei vai atbilst RETURN mērķim kārtējā likumā, tā turpināsies pirmajā ķēdē. Nav robežas uz to, cik daudzas iekļautas ķēdes var būt. Ir trīs vienkāršas predefinētas ķēdes (INPUT, OUTPUT un FORWARD), un lietotājs var radīt jaunas ķēdes pēc vajadzības. Likums var būt arī vienkārši norāde uz ķēdi.

iptables irlietotāja apgabala lietojumprogramma, kas ļauj sistēmas administratoram konfigurēt Netfilter tabulas, ķēdes un likumus kā paskaidrots agrāk. Tā kā "iptables" darbināšanai ir nepieciešamas papildu privilēģijas, to jāizpilda lietotājamroot, citādi tā nedarbosies. Vairumam Linux sistēmu, iptables ir instalēts kā/sbin/iptables un dokumentēts savāman lappusēArhivēts 2007. gada 29. jūnijā,Wayback Machine vietnē.. Šis vienkāršais piemērs iptables lietojumam ilustrē, kā novirzīt visudatu plūsmu, kura pienāk uz noklusētoHTTP portu tālāk uz portu 8080, atļaujot HTTP dēmonam darboties kā nepriviliģētam lietotājam, kurš nevar klausīties portus, kuru numuri ir mazāki par 1024.

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

ipset tiek lietots, lai izveidotu, uzturētu un pārlūkotu t.s. "IP kopas" Linux-a kodolā. "IP kopa" parasti satur kopu ar IP adresēm, bet var arī saturēt kopas ar citiem tīklošanā izmantotiem skaitliskiem identifikatoriem, atkarībā no tās "tipa".

Jebkuru elementu vienā kopā var piesaistīt arī citai kopai, kas ļauj veikt sarežģītas atbilstību meklēšanas darbības. IP kopu var izdzēst vienīgi tad, ja nav iptables likumu vai citu kopu, kas uz to norādītu.

• Shorewall, softs vienkāršākai iptables pārvaldīšanai.
• FireHOL, vienkāršalietojumprogramma, lai lietotu iptables ugunsmūri.
• NuFW, Netfilter paplašinājums lietotāja atmiņas apgabalam
• ipchains, Netfilter priekšgājējs.
• Netlink, Netfilter lietotais programmējamais interfeiss (API)
• PF (ugunsmūris)
• ipfw
• ipfilter

• Netfilter/iptables projekta sākumlapa
• IP Tables apmācības kurss
• Netfilter-a savienojumu izsekošanas sistēma, autors Pablo Neira Ayuso
• Kā iptables seko savienojumiem
• Iptables piemērs - likumsaraksti (rulesets)
• Vienkāršs iptables ugunsmūra scenārijs
• Iptables skaidrojums vienkāršiem vārdiem (ļoti izvērsts)
• Tiešsaistes Iptables ģenerēšanas scenārijs
• Netfilter un Iptables -- Stāvokļjūtīgi ugunsmūri Linux-am
• Iptables Linux 2.4 kodolā
• Kā programmēt Netfilter/iptables moduļus iekš "Rope"Arhivēts 2007. gada 7. jūlijā,Wayback Machine vietnē.
• Freshmeat projekta sākumlapa