#man iptables
centos7之前只有4张表，centos7开始后5张表，加了security表
filter是一个默认的表，包含三个内置的链：INPUT、FORWARD、OUTPUT
INPUT是进来时需要经过的链，发现原ip是什么，发现可以ip禁用掉；FORWARD是判断目标地址是不是本机，如果不是本机，需要经过FORWARD链，把目标地址做个更改或转发；OUTPUT是在本机产生的一些包，出去之前做的一些操作
nat表也包含三个链：PREROUTING、OUTPUT、POSTROUTING
PREROUTING用来在它们进来时更改数据包；POSTROUTING用来在它们出去时更改数据包，做映射其实就是使用的nat表
总结：
如果是本机：需要经过PREROUTING、INPUT、OUTPUT、POSTROUTING 4个链
不是本机：经过PREROUTING、FORWARD、POSTROUTING 3个链
在相应的链中做规则处理，这就是iptables
参考文章 http://www.cnblogs.com/metoy/p/4320813.html
netfilter5表5链介绍
原文地址：http://blog.51cto.com/13669226/2114261