linux常用指令04--防火墙操作

1.防火墙

防火墙是根据配置文件/etc/sysconfig/iptables来控制本机的“出，入”网络访问行为

Filter表 主要跟进入Linux本机的数据包有关，过滤数据包，默认表
INPUT链 过滤所有目标地址是本机的数据。（对进入本机的数据包进行过滤）
OUTPUT链 过滤本机产生的数据（对源地址是本机的数据包进行过滤）
FORWARD链 过滤所有路过本机的数据包（源地址和目的地址都不是本机的数据包）
NAT表： 网络地址转换

1.1防火墙基本操作

查看帮助
iptables -h
man iptables
info iptables
列举所有规则
iptables -L -n -t nat
iptables -L -n
-L 列举在一个表或者链的所有规则
-n 以数字的方式输出地址和端口

显示规则编号
–line-numbers 当查询时打印编号
iptables -L -n --line-numbers
指定表显示规则
iptables -L -n -t nat

清除表规则
-F 删除一个或多个链的所有规则
iptables -F -t nat

保存规则
service iptables save
/etc/rc.d/init.d/iptables save

禁止ssh登录
iptables -A INPUT -p tcp --dport 22 -j DROP

删除eth0这块网卡
iptables -D INPUT -p tcp --dport 22 -j DROP
iptables -D INPUT 编号

禁止ip地址非192.168.137.113的所有类型的数据进入
iptables -A INPUT ! -s 192.168.137.113 -j DROP

扩展匹配：1.隐式扩展 2.显式扩展
隐式扩展
-p tcp
–sport 源端口
–dport 目的端口
显式扩展

匹配端口范围
iptables -A INPUT -p tcp --dport 22:80 -j DROP

匹配多个端口
iptables -A INPUT -p tcp --dport 22,80,3306 -j DROP

-m 匹配扩展
iptables -A INPUT -p tcp -m multiport --dport 22,80,3306 -j DROP

不允许源端口80数据
iptables -A OUTPUT -p tcp --sport 80 -j DROP