パケットフィルタリング - アスタリスク インフラTECH wiki

Ethernetでは、ネットワーク上を流れる情報はパケット単位で伝送されます。
ネットワークインターフェイスをパケットが出入りする際、パケットの持つ情報を調べて
不要なパケットを遮断することをパケットフィルタリングといいます。

パケットフィルタリングを行うには、カーネル2.2系ではipchains、
カーネル2.4系ではnetfilterを使います。
Linuxカーネルは、基本的に入力(input)、出力(output)、転送(forward)の3つのチェインを持っています。
チェインと言うのは、パットを検査するための一連のルールのことで、
それらのチェインに新しいルールを追加したり、あるいはチェインを追加したりして設定します。
ネットワークインターフェイスを通過するパケットは、それぞれのチェインのルールに適合するかどうか検査されます。
その結果によってパケットが破棄されたり、通過を許可されたりします。