CONFIG_IP_NF_FTP - 这个选项提供针对FTP连接进行连接跟踪的功能。一般情况下，对FTP连接进行连接跟踪是很困难的，要做到这一点，需要一个名为helper的动态链接库。此选项就是用来编译helper的。假如没有这个功能，就无法穿越防火墙或网关使用FTP。
CONFIG_IP_NF_IPTABLES - 有了他，您才能使用过滤、伪装、NAT。他为内核加入了iptables标识框架。没有他，iptables毫无作用。
CONFIG_IP_NF_MATCH_LIMIT - 此模块并不是十分必要，但我在例子rc.firewall.txt中用到了。他提供匹配LIMIT的功能，以便于使用一个适当的规则来控制每分钟要匹配的数据包的数量。比如， -m limit --limit 3/minute 的作用是每分钟最多匹配三个数据包。这个功能也可用来消除某种DoS攻击。
CONFIG_IP_NF_MATCH_MAC - 选择这个模块，能够根据MAC地址匹配数据包。例如，我们想要阻塞使用了某些MAC地址的数据包，或阻塞某些电脑的通信，用这个很容易。因为每个Ethernet网卡都有他自己的MAC地址，且几乎从不会改变。但我在 rc.firewall.txt中没有用到这个功能，其他例子也未用到。（译者注：这又一次说明了学习是为将来打基础:) ）
CONFIG_IP_NF_MATCH_MARK - 这个选项用来标记数据包。对数据包做 MARK（标记）操作，我们就能够在后面的表中用这个标记来匹配数据包。后文有周详的说明。
CONFIG_IP_NF_MATCH_MULTIPORT - 选择这个模块我们能够使用端口范围来匹配数据包，没有他，是无法做到这一点的。
CONFIG_IP_NF_MATCH_TOS - 使我们能够配置数据包的TOS（Type Of Service 服务类型）。这个工作也能够用命令ip/tc完成，还可在mangle表中用某种规则设定。
CONFIG_IP_NF_MATCH_TCPMSS - 能够基于MSS匹配TCP数据包。
CONFIG_IP_NF_MATCH_STATE - 相比较ipchains 这是最大的更新，有了他，我们能够对数据包做状态匹配。比如，在某个TCP连接的两个方向上已有通信，则这个连接上的数据包就被看作ESTABLISHED（已建立连接）状态。在rc.firewall.txt 里大量使用了此模块的功能。
CONFIG_IP_NF_MATCH_UNCLEAN - 匹配那些不符合类型标准或无效的 P、TCP、UDP、ICMP数据包（译者注：之所以此模块名为UNCLEAN，能够这样理解，凡不是正确模式的包都是脏的。这有些象操作系统内存管理中的“脏页”，那这里就能够称作“脏包”了，自然也就UNCLEAN了）。我们一般丢弃这样的包，但不知这样做是否正确。另外要注意，这种匹配功能还在实验阶段，可能会有些问题。
CONFIG_IP_NF_MATCH_OWNER - 根据套接字的拥有者匹配数据包。比如，我们只允许root访问Internet。在iptables中，这个模块最初只是用一个例子来说明他的功能。同样，这个模块也处于实验阶段，还无法使用。
CONFIG_IP_NF_FILTER - 这个模块为iptables添加基本的过滤表，其中包含INPUT、FORWARD、OUTPUT链。通过过滤表能够做完全的IP过滤。只要想过滤数据包，不管是接收的还是发送的，也不管做何种过滤，都必需此模块。
CONFIG_IP_NF_TARGET_REJECT - 这个操作使我们用ICMP错误信息来回应接收到的数据包，而不是简单地丢弃他。有些情况必须要有回应的，比如，相对于ICMP和UDP来说，要重置或拒绝TCP连接总是需要一个TCP RST包。
CONFIG_IP_NF_TARGET_MIRROR - 这个操作使数据包返回到发送他的电脑。例如，我们在INPUT链里对目的端口为HTTP的包配置了MIRROR操作，当有人访问HTTP时，包就被发送回原电脑，最后，他访问的可能是他自己的主页。（译者注：应该不难理解为什么叫做MIRROR了）
CONFIG_IP_NF_NAT - 顾名思义，本模块提供NAT功能。这个选项使我们有权访问nat表。端口转发和伪装是必需此模块的。当然，假如您的LAN里的任何电脑都有唯一的有效的 IP地址，那在做防火墙或伪装时就无须这个选项了。rc.firewall.txt 是需要的:)
CONFIG_IP_NF_TARGET_MASQUERADE - 提供MASQUERADE（伪装）操作。假如我们不知道连接Internet的IP，最好选择的方法就是使用MASQUERADE，而不是DNAT或SNAT。换句话说，就是假如我们使用PPP或SLIP等连入Internet，由DHCP或其他服务分配IP，使用这个比SNAT好。因为MASQUERADE 无需预先知道连接Internet的IP，虽然对于电脑来说MASQUERADE要比NAT的负载稍微高一点。
CONFIG_IP_NF_TARGET_REDIRECT - 这个操作和代理程式一起使用是很有用的。他不会让数据包直接通过，而是把包重新映射到本地主机，也就是完成透明代理。
CONFIG_IP_NF_TARGET_LOG - 为iptables增加 LOG（日志）操作。通过他，能够使用系统日志服务记录某些数据包，这样我们就能了解在包上发生了什么。这对于我们做安全审查、调试脚本的帮助是无价的。
CONFIG_IP_NF_TARGET_TCPMSS - 这个选项能够对付一些阻塞ICMP分段信息的ISP（服务提供商）或服务。没有ICMP分段信息，一些网页、大邮件无法通过，虽然小邮件能够，更有，在握手完成之后，ssh能够但scp不能工作。我们能够用TCPMSS解决这个问题，就是使MSS（Maximum Segment Size）被钳制于PMTU（Path Maximum Transmit Unit）。这个方法能够处理被Netfilter研发者们在内核配置帮助中称作“criminally brain-dead ISPs or servers”的问题。
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
