四表五链
四表：filter , nat, manager, raw
五链: 五个HOOK点的链接，pre_rout, foward, post_rout, in ,out
问题：
内核如何匹配，内核使能
ｉptable 命令转换，和内核交互
libiptc库和内核交互
最终是转换到hook点的处理函数上来．
match模块被添加到系统的链表中
当iptables 调用命令，会把这个过滤规则添加到过滤表中．
在每个HOOK点用操作表组成了操作链，分别调用表中的匹配和过滤函数．
内和match注册：
xt_register_match
filter表分析
match 模块查找
do_command4
command_match
xtables_find_match
表的插入
insert_entry
iptc_insert_entry <libiptc.h>
libiptc和内核交互
http://blog.chinaunix.net/uid-29732842-id-4975834.html
get_socket
set_socket
网络命名空间相关
struct netns_ipv4
#ifdef CONFIG_NETFILTER
struct xt_table *iptable_filter;
struct xt_table *iptable_mangle;
struct xt_table *iptable_raw;
struct xt_table *arptable_filter;
#ifdef CONFIG_SECURITY
struct xt_table *iptable_security;
#endif
struct xt_table *nat_table;
#endif