网络管理工具 iptable 详解

前进的程序员

于 2025-05-02 09:00:00 发布

阅读量813

点赞数 13

分类专栏：通信协议相关文章标签：网络服务器运维

本文链接：https://blog.csdn.net/a247534855/article/details/147612003

版权

通信协议相关专栏收录该内容

4 篇文章

订阅专栏

一、iptables 介绍

iptables 是基于 Linux 内核的 Netfilter 框架的一款用户空间工具，用于配置和管理数据包过滤、网络地址转换（NAT）以及数据包重定向等功能。Netfilter 是 Linux 内核中的一个数据包过滤框架，它提供了一系列的钩子函数，允许在数据包流经内核协议栈的不同阶段对其进行处理。而 iptables 就是通过与 Netfilter 交互，定义各种规则来实现对网络数据包的控制。

iptables 的规则存储在系统内存中，主要由表（tables）、链（chains）和规则（rules）三个基本概念构成。表是规则的集合，不同的表负责不同类型的网络功能，例如filter表用于数据包过滤，nat表用于网络地址转换，mangle表用于修改数据包的头部信息等。链则是规则的容器，每个表包含若干条链，比如filter表包含INPUT（处理进入本地的数据包）、OUTPUT（处理本地发出的数据包）和FORWARD（处理经过本地转发的数据包）链。规则是具体的匹配条件和处理动作，它定义了什么样的数据包应该被如何处理，如允许通过、丢弃、拒绝或进行地址转换等。

二、iptables 使用方法

（一）规则语法

iptables 命令的基本语法为iptables [ -t table ] command [ match ] [ target ]。其中，-t table用于指定要操作的表，若不指定则默认为filter表；command表示执行的操作，如-A（在链末尾追加规则）、-I（在链中插入规则）、-D（删除规则）等；match是数据包的匹配条件，包括源地址（-s）、目的地址（-d）、协议（-p）、端口（--dport和--sport）等；target是满足匹配条件时对数据包执行的动作，常见的有ACCEPT（允许通过）、DROP（丢弃数据包且不返回任何响应）、REJECT（拒绝数据包并返回错误信息）等。

（二）常见操作示例

允许特定 IP 访问本地 SSH 服务：

假设要允许 IP 地址为192.168.1.100的主机访问本地的 SSH 服务（端口 22），可以使用命令iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -j ACCEPT。该命令在filter表的INPUT链中追加一条规则，匹配源地址为192.168.1.100、协议为 TCP 且目的端口为 22 的数据包，并允许其通过。

2.禁止某个 IP 访问网络：

若要禁止 IP 地址为10.0.0.5的主机访问网络，可以执行iptables -A INPUT -s 10.0.0.5 -j DROP。此命令在INPUT链中添加规则，丢弃所有源地址为10.0.0.5的数据包。

3.端口转发：

将本地 8080 端口的流量转发到目标服务器的 80 端口，使用iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 目标服务器IP:80，同时还需要在POSTROUTING链添加源地址转换规则iptables -t nat -A POSTROUTING -j MASQUERADE，以实现正确的地址转换和流量转发。