iptables 的最大优点是它可以配置有状态的防火墙，这是 ipfwadm 和 ipchains 等以前的工具都无法提供的一种重要功能。有状态的防火墙能够指定并记住为发送或接收信息包所建立的连接的状态。防火墙可以从信息包的连接跟踪状态获得该信息。在决定新的信息包过滤时，防火墙所使用的这些状态信息可以增加其效率和速度。这里有四种有效状态，名称分别为 ESTABLISHED 、 INVALID 、 NEW 和 RELATED。
一.概述
TARGETS防火墙的规则指定所检查包的特征，和目标。如果包不匹配，将送往该链中下一条规则检查；如果匹配，那么下一条规则由目标值确定.该目标值可以是用户定义的链名，或是某个专用值，如ACCEPT[通过],DROP[删除],QUEUE[排队]，或者 RETURN[返回]。
ACCEPT
表示让这个包通过。DROP表示将这个包丢弃。QUEUE表示把这个包传递到用户空间。RETURN表示停止这条链的匹配，到前一个链的规则重新开始。如果到达了一个内建的链（的末端），或者遇到内建链的规则是RETURN，包的命运将由链准则指定的目标决定。
TABLES当前有三个表（哪个表是当前表取决于内核配置选项和当前模块）。-t table这个选项指定命令要操作的匹配包的表。如果内核被配置为自动加载模块，这时若模块没有加载，（系统）将尝试（为该表）加载适合的模块。这些表如下：filter，这是默认的表，包含了内建的链INPUT（处理进入的包）、FORWARD（处理通过的包）和OUTPUT（处理本地生成的包）。nat，这个表被查询时表示遇到了产生新的连接的包，由三个内建的链构成：PREROUTING （修改到来的包）、OUTPUT（修改路由之前本地的包）、POSTROUTING（修改准备出去的包）。mangle 这个表用来对指定的包进行修改。它有两个内建规则：PREROUTING（修改路由之前进入的包）和OUTPUT（修改路由
之前本地的包）。
[root@router-server yum.repos.d]# systemctl enable iptables.service
[root@router-server yum.repos.d]# iptables -nL
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
二.参数详接
-A -append在所选择的链末添加一条或更多规则。当源（地址）或者/与 目的（地址）转换为多个地址时，这条规则会加到所有可能的地址（组合）后面。-D -delete从所选链中删除一条或更多规则。这条命令可以有两种方法：可以把被删除规则指定为链中的序号（第一条序号为1），或者指定为要匹配的规则-R -replace从选中的链中取代一条规则。如果源（地址）或者/与 目的（地址）被转换为多地址，该命令会失败。规则序号从1开始。-I -insert根据给出的规则序号向所选链中插入一条或更多规则。所以，如果规则序号为1，规则会被插入链的头部。这也是不指定规则序号时的默认方式。-L -list显示所选链的所有规则。如果没有选择链，所有链将被显示。也可以和z选项一起使用，这时链会被自动列出和归零。精确输出受其它所给参数影响。-F -flush清空所选链。这等于把所有规则一个个的删除。--Z -zero把所有链的包及 字节的计数器清空。它可以和 -L配合使用，在清空前察看计数器，请参见前文。-N -new-chain根据给出的名称建立一个新的用户定义链。这必须保证没有同名的链存在。-X -delete-chain删除指定的用户自定义链。这个链必须没有被引用，如果被引用，在删除之前你必须删除或者替换与之有关的规则。如果没有给出参数，这条命令将试着删除每个非内建的链。-P -policy设置链的目标规则。-E -rename-chain根据用户给出的名字对指定链进行重命名，这仅仅是修饰，对整个表的结构没有影响。TARGETS参数给出一个合法的目标。只有非用户自定义链可以使用规则，而且内建链和用户自定义链都不能是规则的目标。-h Help.帮助。给出当前命令语法非常简短的说明。
-p -protocal [!]protocol规则或者包检查（待检查包）的协议。指定协议可以是tcp、udp、icmp中的一个或者全部，也可以是数值，代表这些协议中的某一个。当然也可以使用在/etc/protocols中定义的协议名。在协议名前加上"!"表示相反的规则。数字0相当于所有all。Protocol all会匹配所有协议，而且这是缺省时的选项。在和check命令结合时，all可以不被使用。-s -source [!] address[/mask]指定源地址，可以是 主机名、网络名和清楚的IP地址。mask说明可以是 网络掩码或清楚的数字，在网络掩码的左边指定网络掩码左边"1"的个数，因此，mask值为24等于255.255.255.0。在指定地址前加上"!"说明指定了相反的地址段。标志 --src 是这个选项的简写。-d --destination [!] address[/mask]指定目标地址，要获取详细说明请参见 -s标志的说明。标志 --dst 是这个选项的简写。-j --jump target-j 目标跳转指定规则的目标；也就是说，如果包匹配应当做什么。目标可以是用户自定义链（不是这条规则所在的），某个会立即决定包的命运的专用内建目标，或者一个扩展（参见下面的EXTENSIONS）。如果规则的这个选项被忽略，那么匹配的过程不会对包产生影响，不过规则的计数器会增加。-i -in-interface [!] [name]i -进入的（网络）接口 [!][名称]这是包经由该接口接收的可选的入口名称，包通过该接口接收（在链INPUT、FORWORD和PREROUTING中进入的包）。当在接口名前使用"!"说明后，指的是相反的名称。如果接口名后面加上"+"，则所有以此接口名开头的接口都会被匹配。如果这个选项被忽略，会假设为"+"，那么将匹配任意接口。-o --out-interface [!][name]-o --输出接口[名称]这是包经由该接口送出的可选的出口名称，包通过该口输出（在链FORWARD、OUTPUT和POSTROUTING中送出的包）那么将匹配所有任意接口。[!] -f,--fragment[!] -f --分片这意味着在分片的包中，规则只询问第二及以后的片。自那以后由于无法判断这种把包的 源端口或目标端口（或者是ICMP类型的），这类包将不能匹配任何指定对他们进行匹配的规则。如果"!"说明用在了"-f"标志之前，表示相反的意思。
其他选项还可以指定下列附加选项：-v --verbose-v --详细详细输出。这个选项让list命令 显示接口地址、规则选项（如果有）和TOS（Type of Service）掩码。包和字节计数器也将被显示，分别用K、M、G（前缀）表示1000、1,000,000和1,000,000,000倍（不过请参看-x标志改变它），对于添加，插入，删除和替换命令，这会使一个或多个规则的相关详细信息被打印。-n --numeric-n --数字数字输出。IP地址和端口会以数字的形式打印。默认情况下，程序试显示 主机名、网络名或者服务（只要可用）。-x -exact-x -精确扩展数字。显示包和 字节计数器的精确值，代替用K,M,G表示的约数。这个选项仅能用于 -L 命令。--line-numbers当列表显示规则时，在每个规则的前面加上行号，与该规则在链中的位置相对应。
tcp当 --protocol tcp 被指定，且其他匹配的扩展未被指定时，这些扩展被装载。它提供以下选项：--source-port [!] [port[:port]]源端口或端口范围指定。这可以是服务名或 端口号。使用格式端口：端口也可以指定包含的（端口）范围。如果首端口号被忽略，默认是"0"，如果末端口号被忽略，默认是"65535"，如果第二个端口号大于第一个，那么它们会被交换。这个选项可以使用 --sport的别名。--destionation-port [!] [port:[port]]目标端口或端口范围指定。这个选项可以使用 --dport别名来代替。--tcp-flags [!] mask comp匹配指定的TCP标记。第一个参数是我们要检查的标记，一个用逗号分开的列表，第二个参数是用逗号分开的标记表，是必须被设置的。标记如下：SYN ACK FIN RST URG PSH ALL NONE。因此这条命令：iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST SYN只匹配那些SYN标记被设置而ACK、FIN和RST标记没有设置的包。[!] --syn只匹配那些设置了SYN位而清除了ACK和FIN位的TCP包。这些包用于TCP连接初始化时发出请求；例如，大量的这种包进入一个接口发生堵塞时会阻止进入的TCP连接，而出去的TCP连接不会受到影响。这等于 --tcp-flags SYN,RST,ACK SYN。如果"--syn"前面有"!"标记，表示相反的意思。--tcp-option [!] number
三.策略优化
1.基础配置
列出指定filter表信息
[root@route ~]# iptables -t filter -nL
查看配置文件
[root@route ~]# vim /etc/sysconfig/iptables
刷新清空iptables
[root@route ~]# iptables -F
保存状态
[root@route ~]# service iptables save
列出默认表信息
[root@route ~]# iptables -nL
所有INPUT服务都丢弃并且不回应
[root@route ~]# iptables -P INPUT DROP
2.优化策略
添加接受来自回环地址的
[root@route ~]# iptables -A INPUT -i lo -j ACCEPT
添加接受tcp协议80端口的服务
[root@route ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
添加接受tcp协议22端口的服务
[root@route ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
拒绝全部的INPUT链服务
[root@route ~]# iptables -A INPUT -j REJECT
查看
[root@route ~]# iptables -nL
3.链中策略的管理
1.基础配置
列出指定filter表信息
[root@route ~]# iptables -t filter -nL
查看配置文件
[root@route ~]# vim /etc/sysconfig/iptables
刷新清空iptables
[root@route ~]# iptables -F
保存状态
[root@route ~]# service iptables save
列出默认表信息
[root@route ~]# iptables -nL
所有INPUT服务都丢弃并且不回应
[root@route ~]# iptables -P INPUT DROP
2.优化策略
添加接受来自回环地址的
[root@route ~]# iptables -A INPUT -i lo -j ACCEPT
添加接受tcp协议80端口的服务
[root@route ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
添加接受tcp协议22端口的服务
[root@route ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
拒绝全部的INPUT链服务
[root@route ~]# iptables -A INPUT -j REJECT
查看
[root@route ~]# iptables -nL
方法一：根据行数删除
[root@route ~]# iptables -D INPUT 2 ##删除INPUT链中的第2行
方法二：根据内容删除
[root@route ~]# iptables -D INPUT -p tcp --dport 22 -j ACCEPT ##删除指定策略内容
[root@route ~]# iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT ##接受协议为tcp的22端口插入到第2行
iptables -N REDHAT ##新建一个链，名为REDHAT
iptables -E REDHAT Linux ##修改指定链的名称，将REDHAT修改为Linux
iptables -X Linux ##删除指定链，删除Linu
iptables -E REDHAT Linux ##修改指定链的名称，将REDHAT修改为Linux
iptables -X Linux ##删除指定链，删除Linu
7.地址伪装和端口重定向
*)[root@desktop ~]# sysctl -a | grep ip_forward ##查看网卡通信状态
*)[root@desktop ~]# vim /etc/sysctl.conf
net.ipv4.ip_forward = 1 ##配置文件里改称1
*)[root@desktop ~]# sysctl -p
*)[root@route ~]# iptables -t nat -nL
*)[root@route ~]# iptables -t nat -nL
*)[root@route ~]# iptables -t nat -A PREROUTING -i eth0 -d 172.25.254.100 -j DNAT --to-dest 172.25.99.1 ##添加nat表的 PREROUTING链 链接100的主机自动条状到99.1 -i eth0:匹配从网络接口 eth0 进来
*)[root@route ~]# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.254.100 ##连进来的私网伪装成114 -o eth0:匹配从网络接口 eth0 出去
*)[root@route ~]# iptables -t nat -nL
附录：
关于iptables的参数：
-t 指定表
-L 列出表
-A 永远加在最后一条
-D 删除某一条链里面的策略
-i 输入 (-i lo 表示是从回环地址进来的)
-o 输出
-I 插入到某一条，默认第一条（-I INPUT 3 插入到第三行，不写3的话默认添加到第一个）
-m 状态
-j 动作（ACCEPT | REJECT）
-s 资源（无，则所有）
-P 策略
-p 协议
-R 更改
--dport 端口
-N 新建一个链
-E 修改链名称
-X 删除链
7298
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
