【Iptables】07 IPtables扩展匹配条件之UDP扩展与ICMP扩展

特别说明：此系列博文根据 朱双印博客-iptables系列博文，个人实践后总结，此为个人笔记精简版，更通俗易懂请参考 朱双印博客-iptables系列博文 原文内容，诸君必能有所收获

07 IPtables扩展匹配条件之UDP扩展与ICMP扩展

udp扩展模块

先来看看UDP扩展模块，该模块和tcp扩展模块相似，但只要两个扩展选项，即 --sport 和 --dport，用于匹配源地址端口号和目标地址端口号，使用方式也和tcp扩展模块一样，只不过在使用时用 -p 指定udp端口和 -m 选项指定了 udp 扩展模块；

下面是一些示例，如匹配目标地址的UDP端口10050，可以定义以下规则

iptables -I INPUT -p udp -m udp --dport 10050 -j REJECT

在使用了-p 选项指定了udp端口后，可以不使用 -m选项指定dup扩展模块

iptables -I INPUT -p udp --dport 10050 -j REJECT

也同样可以指定连续端口，同样可以使用multiport扩展模块指定不连续端口

iptables -t filter -I INPUT -p udp --dports 22:80 -j REJECT

iptables -I INPUT -p udp -m multiport --dports 22,80,3306 -j REJECT

icmp扩展模块

ICMP协议即互联网控制报文协议，它主要是用于探测网络上的主机是否可用，目标是否到达，网络是否通畅等，我们常用的ping命令就是使用的这个协议

当我们使用ping命令时，如果可用联通，主机一般会对Ping命令做出回应，虽然都是icmp协议的报文，但是它们的所属类型是不一样的，如发出去的ping请求类型为8的icmp报文，对方主机返回的ping报文则属于类型0的ICMP报文，由于类型较多，这里只介绍常用的几个类型

如，所以表示"目标不可达"的icmp报文的type码都是3，而目标不可达有可能是网络不可达，主机不可达，端口不可达等，我们就需要细化区分，icmp对每种type细分了对应的code，用不同的code对应具体的场景，使用时，一般用type/code去匹配具体类型的icmp报文，如使用"3/1"去表示主机不可达的icmp报文

我们常用的ping命令的回应icmp报文类型为0，其code也为0，并且它是属于Query，即查询类型的报文，而类型3这种，属于的是错误类报文

我们发出的ping命令，其报文类型为8，code为0；而对方回复(回应)，则类型是0，code为0；

现在，我们假设不让所有的icmp类型的报文进入本机，可以直接 -p选项指定协议类型，进行协议匹配，不区分type和code这些

iptables -I INPUT -p icmp -j REJECT

如果想要我们能ping通别人，别人不能ping通我们，我们就需要更改规则了

iptables -I INPUT -p icmp -m icmp --icmp-type 8/0 -j REJECT


可以看到，别的主机ping本机时会返回错误信息，ping发送的报文信息type为8，code为0，返回的报文信息type为0，code为0；所以我们能ping通别人，因为没有INPUT链上的规则禁止了类型为0，code为0的报文，而别人ping我们主机时，则因为是类型为8的报文，被规则匹配后拒绝

由于类型8下面code不像类型3那样有很多code，所以我们可以省略code，直接使用类型8即可

iptables -I INPUT -p icmp -m icmp --icmp-type 8 -j REJECT

我们还能通过 --icmp-type选项匹配类型名称，如 echo request (type为8，code为0)

iptables -I INPUT -p icmp -m icmp --icmp-type "echo-request" -j REJECT

这样也能达到匹配type为8的报文，只是需要注意，需要将名称中分隔符空格替换成 “-” 短横线
【Iptables】iptables目录
【Iptables】08 Iptables扩展匹配条件之state扩展模块