在核心中netfilter 架构里有五个hooks点，NF_IP_PRE_ROUTING、NF_IP_POST_ROUTING、NF_IP_LOCAL_IN、NF_IP_LOCAL_OUT、NF_IP_FORWARD，这些hooks应该就是iptables使用的五个chains，但不知这些chains跟hook 点是什么关联?

以下是我的理解:

比如当执行 iptables 指令设定到了INPUT chain时，就等于将INPUT的规则设至NF_IP_LOCAL_IN这个hook 点上，并挂上相关的模组，这样当封包进入后，即可透过模组对封包进行检查过滤的动作。

比方这篇内..

这张图：

若要讨论程式面，要翻阅 source code 会比较清楚。