linux防火墙iptables的笔记

防火墙添加规则

iptables -A FORWARD -d 2.0.0.0/32 -p tcp -m multiport --dports 2,9999 -m comment --comment "ec" -j r8

1.防火墙规则清空

iptables [-t tables ] [ -FXZ ]

  -F: 清除所有已制定的规则

  -X: 清除用户自定义链

  -Z: 将所有chain的计数和统计归零

例：iptables -F

2.定义防火墙默认策略（policy）

iptables [ -t nat ] -P [INPUT, OUTPUT, FORWARD] [ACCEPT,DROP]

  -P: 定义策略（policy），注意为大写

  ACCEPT：接受数据包

  DROP：丢弃数据包

例：iptables -P INPUT DROP

 

3.数据包基础对比：IP、网络及接口设备

iptabless [-AI 链名] [-io网络接口] [-p协议] [-s源地址] [-d目的地址] -j [ACCEPT|DROP|REJECT|LOG]

-AI 链名: -A:新增一条规则，放在原规则追后面

         -I: 插入一条规则，默认放在第一条前面

-io 网络接口：-i:数据包所进入的网络接口

             -o: 数据包所传出的网络接口

-p 协定：设置数据包格式：tcp,udp,icmp和all

-s 来源 IP/网络：设置规则来源

IP：192.168.1.2

网络：192.168.1.0/24，192.168.1.0/255.255.255.0

-d 目的网络：同-s,目的IP地址或网络

-j: 后面的操作，主要有ACCEPT接受, DROP丢弃, REJECT拒绝,LOG记录

例：iptables -A INPUT -i eth0  -s 192.168.1.2 -j ACCEPT

 

iptabless [-AI 链名] [-io网络接口] [-p协议] [-s源地址][-- sport端口范围] [-d目的地址] [--dport端口范围]-j [ACCEPT|DROP|REJECT|LOG]

例：iptables -A INPUT -i eth1 -p tcp -s 192.168.1.2 --sport 22:88 -j DROP

备注：因为TCP和UDP数据包才具有端口号，所以想要使用--sport,--dport时，要加上-tcp或-udp才可以。

 

4.iptables 外挂模块：state

 iptables -A INPUT [-m state] [--state 状态]

INVALID：无效的或破损的数据包

RELATED：这个数据包为主机发送的数据包的响应

ESTABLISHED：已经连接成功的连接状态

NEW：想要建立连接的的数据包状态

例：iptables -A INPUT -m state --state RELATED,ESTABLISHED

iptables的基本语法格式

iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］
说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；条件匹配用于指定对符合什么样 条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。

 

iptables命令的管理控制选项

-A 在指定链的末尾添加（append）一条新的规则
-D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除
-I 在指定链中插入（insert）一条新的规则，默认在第一行添加
-R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换
-L 列出（list）指定链中所有的规则进行查看
-E 重命名用户定义的链，不改变链本身
-F 清空（flush）
-N 新建（new-chain）一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链（delete-chain）
-P 设置指定链的默认策略（policy）
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式（numeric）显示输出结果
-v 查看规则表详细信息（verbose）的信息
-V 查看版本(version)
-h 获取帮助（help）