iptables命令

最新推荐文章于 2024-08-22 17:22:53 发布
最新推荐文章于 2024-08-22 17:22:53 发布
阅读量380 收藏
点赞数
分类专栏： Linux服务器网络运维 Linux基础 linux命令
原文链接：https://www.jianshu.com/p/ed001ae61c58
版权

Linux之iptables详解及tcpdump

Linux之iptables(四、网络防火墙及NAT)
iptables规则重启自动生效--永久生效

 

iptables命令
使用通用格式 
iptables [-t tables] COMMAND chain [-m matchname [per-match-options]] -j targetname [per-target-options]
————————————————
# iptables  [-t tables] [-AI 链] [-io 网络接口] [-p 协议] [-s 来源IP/网域] [-d 目标IP/网域]  -j [ACCEPT|DROP|REJECT|LOG] 
# iptables  [-t tables] [-AI 链] [-io 网络接口] [-p tcp,udp] [-s 来源IP/网域] [--sport 埠口范围] [-d 目标IP/网域] [--dport 埠口范围] -j [ACCEPT|DROP|REJECT]

COMMAND 

 


  1. 链管理

    1.1 -N :   new,自定义一条新的规则链 
    ~]# iptables -N in_icmp

    1.2 -X : delete/drop, 删除自定义的规则链,指明名字删除一个, 不指明将删除多个
                 杀掉所有使用者 "自定义" 的 chain (应该说的是 tables ）            

    ~]# iptables -X in_icmp
~]# iptables -X -t nat   #也可以一个一个table的清除<清除具体某一个table的规则>

    1.3 -P : policy, 设置默认策略, 指明是黑名单还是白名单,对于filter表中的链而方, 其默认策略有:
         1.3.1 ACCEPT : 接受 
         1.3.2 DROP : 丢弃
         1.3.3 REJECT : 拒绝

    ~]# iptables -t filter -P FORWARD ACCEPT
~]# iptables -t filter -P FORWARD DROP

    1.4 -E : 重命名自定义链, 引用计数不为0的自定义链, 不能被重命名或者删除

    ~]# iptables -E OLD_NAME NEW_NAME

  2. 规则管理
    2.1 -A : append, 追加规则
    2.2 -I : insert, 插入规则,需要指明位置,省略时表示第一条
    2.3 -D : delete, 删除规则
         ** 指明规则号删除
         ** 指明规则本身
     

    #查看原有规则
~$ sudo iptables-save -t filter
# Generated by iptables-save v1.4.14 on Tue May 19 01:51:33 2020
*filter
:INPUT ACCEPT [23230:2572269]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [29398:3001269]
COMMIT
# Completed on Tue May 19 01:51:33 2020

#添加一个规则

~$ sudo iptables -A INPUT -p tcp --syn -m state --state NEW -j ACCEPT

#再次查看
umbra@UMB-BOX-094143:/etc/umbra$ sudo iptables-save -t filter
# Generated by iptables-save v1.4.14 on Tue May 19 01:52:58 2020
*filter
:INPUT ACCEPT [1071:109891]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1938:184341]
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
COMMIT
# Completed on Tue May 19 01:52:58 2020

#删除这个规则
~$ sudo iptables -D INPUT -p tcp --syn -m state --state NEW -j ACCEPT
#查看删除结果
~$ sudo iptables-save -t filter
# Generated by iptables-save v1.4.14 on Tue May 19 01:53:54 2020
*filter
:INPUT ACCEPT [92:9212]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [161:15459]
COMMIT
# Completed on Tue May 19 01:53:54 2020



    2.4 -R : replace, 替换指定链上的指定规则
         ** 指明替换号
         ** 指明替换规则本身
    2.5 -F : flush, 清空指定的规则链 

    ~]# iptables -F  # 不指明链, 清除所有的已订定的规则
~]# iptables -F -t filter # 也可以指明某个table的清除<清除具体某一个table的规则>
~]# iptables -F -t nat

    2.6 -Z : zero, 置零
        ** 匹配到的报文个数
        ** 匹配到的所有报文的大小之和(字节数)

    将所有的 chain 的计数与流量统计都归零
#清除本机防火墙 (filter)的计数与流量统计
~]# iptables -Z 
~]# iptables -Z -t filter
#清除本机防火墙 (nat)的计数与流量统计
~]# iptables -Z -t nat

     

  3. 查看
     3.1 -L : list, 列出指定链上的所有规则 
           3.1.1 -n : numberic ,以数据格式显示地址和端口
           3.1.2 -v : verbose ,详细信息 
              vv
              vvv
          3.1.3 -x : exactly(精确的),显示计数器结果的精确值
          3.1.4 --line-numbers : 显示规则的序号

chain

  1. PREROUTING
  2. INPUT
  3. FORWARD
  4. OUTPUT
  5. POSTROUTING

匹配条件
 

  1. 基本匹配条件
      无需加载任何模块,由iptables/netfilter自行提供
    1.1 [!]-s  address[/mask][,...]
      检查报文中源IP地址, 是否符合此处指定的地址或范围
    1.2 [!]-d  address[/mask][,...]
      检查报文中的目标IP地址,是否符合此处指定的地址或范围
    1.3 [!]-p  protocol
          表明在传输层应用的协议,其可以有tcp,udp,udplite,icmp,icmpv6, esp,ah,sctp,mh 或者all
    1.4 [!]-i   in-interface name
      只能应用于数据报文流入的接口,INPUT,FORWARD and PREROUTING chains
    1.5 [!]-o  out-interface name
      只能应用于数据报文流出的接口,OUTPUT,FORWARD POSTROUTING
  2. 隐匿扩展
      不需要手动加载扩展模块,因为它们是对协议的扩展,所以但凡使用-p指明了协议,就表示已经指明了要扩展的模块
    2.1 tcp
             2.1.1 [!]--sport  port[:port]
                  匹配报文的源端口,可以是连续的端口范围
             2.1.2  [!]--dport  port[:port]
                  匹配报文的目标端口,可以是连续的端口范围
             2.1.3 [!]--tcp-flags  mask comp
                  mask : 必须要检查的标识位,必须以,号分隔
              comp : 必须为1的标识位,必须以,号分隔 
    --tcp-flags syn,ack,fin,rst syn : 
#表示要检查的标识位为syn,ack,fin,rst. 但syn必须为1,余下的必须为0,其是匹配每一次握手
 iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
 iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
 iptables -A INPUT -p tcp !--syn -m state --state NEW -j DROP 
                                  #不是TCP第一次握手,但状态又是new的报文
         2.1.4 --syn
                     匹配第一次握手,相当于 --tcp-flags syn,ack,fin,rst  syn


    2.2 udp
             2.2.1  [!]--sport port[:port]
                   匹配报文的源端口,可以是端口范围
         2.2.2  [!]--dport port[:port]
              匹配报文的目标端口,可以是连续的端口范围


    2.3 icmp
              2.3.1  [!] --icmp {type[/code] | typename} 
     ~]# iptables -A INPUT [-p icmp] [--icmp-type 类型] -j ACCEPT 
          --icmp-type ：后面必须要接 ICMP 的封包类型，也可以使用代号， 
                                    例如 8  代表 echo request 的意思。

范例：让 0,3,4,11,12,14,16,18 的 ICMP type 可以进入本机： 
[root@www ~]# vi somefile 
#!/bin/bash 
icmp_type="0 3 4 11 12 14 16 18" 
for typeicmp in $icmp_type 
do 
  iptables -A INPUT -i eth0 -p icmp --icmp-type $typeicmp -j ACCEPT 
done 
     
[root@www ~]# sh  somefile

显示扩展
     必须使用-m选项手动加载模块, 其扩展模块路径为:/lib/xtables,其中大写的为目标扩展,小写的为规则扩展
     获取扩展选项帮助 ： Centos 6 : man iptables                Centos 7 : man iptables-extensions
3.1 multiport扩展 : 以离散方式定义多端口匹配,但最多指定15个端口
        3.1.1  [!] --sports port[,port | ,port:port]  
             指定多个源端口        
     3.1.2  [!] --dports port[,port | ,port:port]
             指定多个目标端口
        3.1.3   --ports port[,port | ,port:port]
             指定多个目标及源端口

示例:
iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.67 -p tcp -m multiport --dports 22,80 -j ACCEPT

3.2 state扩展
         
      3.2.1 

       根据连接追踪机制,查检连接的状态, 跟TCP没有关系,是内核中netfilter实现, 能实现tcp,udp,icmp的连接追踪,内核会记录每一个连接(放置在内存中),谁,通过什么协议, 访问什么服务, 访问的时间,这种机制被称之为conntrack机制.也正是有了state扩展,iptables成为了有连接追踪的防火墙,安全性是更高. 是由state扩展提供,库文件为/lib/xtables/libxt_conntrack.so . 追踪连接功能在内核的内存空间中,把出去和进来的连接通过模板建立关联关系. 追踪本机的请求和响应之间的关系,状态如下几种:
      3.2.2   STATE 

  •        NEW : 新发起的请求
  •        ESTABLISHED : new状态之后,连接追踪模板中为其建立的条目失效之前期间内所有的通信状态
  •        RELATED : 相关的连接,如FTP协议中的命令连接与数据连接之间的关系
  •        INVALID : 无效的连接,如tcp状态全为1或者全为0的连接
  •        UNTRACKED : 未进行追踪的连接

    3.2.3 [!] --state STATE : 多个state可以使用,号分隔 
    iptables -A INPUT -d 172.168.100.67 -p tcp -m multiport --dport 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -s 172.16.100.67 -p tcp -m multiport --sport 22,80 -m state --state ESTABLISHED -j ACCEPT

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

     

 

target的分类
 

  •        ACCEPT : 接受
  •        DROP : 丢弃
  •        REJECT : 拒绝
  •        RETURN : 返回调用链
  •        REDIRECT : 端口重定向
  •        LOG : 记录日志

                      --log-level LEVEL : 日志的等级
                      --log-prefix FREFIX : 日志的提示语句的前缀
                                         

iptables -A INPUT -d 172.16.36.61 -p tcp --dport 21 -j LOG --log-prefix "netfilter log"
  •      MASK : 做防火墙标记
  •      DNAT : 目标地址转换
  •      SNAT : 源地址转换
  •      MASQUERADE : 地址伪装
  •      用户自定义链

     

 

搜搜秀
关注
专栏目录
全网超详细的Linux iptables命令详解以及详解iptables-save和iptables-restore命令
念兮为美
02-21 4584
全网超详细的Linux iptables命令详解，详解iptables-save和iptables-restore命令，防火墙的备份与删除，iptables的四表——filter表(过滤规则表)，nat表(地址转换规则表)，mangle表(修改数据标记位规则表)，raw表(跟踪数据表规则表)和五链——input，output，forward，preRouting，postRounting， iptables语法格式，ChatGPT的详细介绍等
linux iptables 编译,linux命令：编译安装iptables
weixin_28309571的博客
05-03 404
linux命令：编译安装iptables一、编译安装iptables前准备：卸载iptables前需备份三个文档：iptables启动脚本，iptables-config配置文档，以及已经建立好的iptables规则文档[root@johntest ~]# cp /etc/init.d/iptables ~/iptables #复制iptables启动脚本[root@johntest ~]# c...
linux系统防护-iptables
01-02 581
转发一篇文章http://man.linuxde.net/iptables 点击打开链接 iptables命令是Linux上常用的防火墙软件，是netfilter项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。 语法 iptables(选项)(参数) 选项 -t：指定要操纵的表； -A：向规则链中添加条目； -D：从规则链中删除条目； -i：向
iptable命令详解
weixin_49840888的博客
08-22 2155
说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；条件匹配用于指定对符合什么样 条件的数据包进行处理；会按照规则的顺序进行检查，一旦某个数据包匹配到了某条规则，就不会继续检查后面的规则。通常，更具体的规则（如单个 IP 地址）应该放在前面，而更宽泛的规则（如整个子网）放在后面。iptables-save把规则保存到文件中，再由目录rc.d下的脚本（/etc/rc.d/init.d/iptables）自动装载。
iptables的处理动作的一些 -j
BUG_MeDe的博客
07-07 919
关于iptables的一些动作处理
iptables
yijiull
05-21 185
文章目录一些概念语法NATSNATDNAT端口映射 最近使用了路由器，然后就不能远程登录宿舍的电脑了，今天学习了一下iptables怎么设置端口转发。 一些概念 iptables中有多个表格，每个表格都定义自己的默认策略与规则，且每个表格的用途都不同。 Filter：管理本机进出 NAT：管理后端主机（防火墙内部的其他计算机） Mangle：管理特殊标志（较少使用） 每个表格中又有自己的链...
Iptables
soyo的专栏
11-06 156
http://www.net527.cn/a/anquan/kaiyuanfanghuoqiang/6428.html     防范DDOS攻击脚本 防范CC攻击  http://hi.baidu.com/wbwssb/blog/item/b711cbfa44c2ae54242df27c.html         1) 重启后生效 开启： chkconfig iptables ...
详解Linux iptables 命令
01-20
查看规则的命令格式为： iptables [-t tables] [-L] [-nv] -t ：后面接 table ，例如 nat 或 filter ，若省略此项目，则使用默认的 filter -L ：列出某个 table 的所有链或某个链的规则 -n ：直接显示 IP，速度会快...
iptables命令实例
08-04
iptables 命令实例 本文档主要介绍了 Linux 中的iptables 命令的实例，涵盖了 iptables 的基本用法、规则设定、端口控制、NAT 转发等方面的知识点。 一、iptables 的基本概念 iptables 是 Linux 系统中的一个...
iptables命令参数大全
05-15
1. 打开ip包转发功能　 echo 1 > /proc/sys/...2. 在NAT/防火墙计算机上的NAT表中添加目的地址转换规则: iptables -t nat -I PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 202.96.134.130:80
iptables [-j target/jump] 常用的处理动作
weixin_30298497的博客
07-04 403
-j 参数用来指定要进行的处理动作，常用的处理动作包括：ACCEPT、REJECT、DROP、REDIRECT、MASQUERADE、LOG、DNAT、SNAT、MIRROR、QUEUE、RETURN、MARK，分别说明如下： ACCEPT： 将封包放行，进行完此处理动作后，将不再匹配其它规则，直接跳往下一个规则链（natostrouting）。 REJECT： 拦阻该封包，并传送封包通知对方...
iptables命令简介
衡水铁头哥的博客
04-20 971
正文共：3456 字 22 图，预估阅读时间：3 分钟iptables/ip6tables命令，用于在Linux内核中设置、维护和检查IPv4和IPv6数据包过滤规则的表，从而实现IPv4/IPv6数据包过滤和NAT的管理工具。它可以定义多个不同的表，每个表中包含多个预定义的链，也可能包含用户自定义的链。每个链都是一个规则列表，用来匹配一组数据包，每个规则都指定如何处理匹配到的数据包，也被称为“目...
【博客621】iptables -J动作总结
qq_43684922的博客
02-18 1203
通过MASQUERADE即可解决这个问题，MASQUERADE会动态的将源地址转换为可用的IP地址，其实与SNAT实现的功能完全一致，都是修改源地址，只不过SNAT需要指明将报文的源地址改为哪个IP，而MASQUERADE则不用指定明确的IP，会动态的将报文的源地址修改为指定网卡上可用的IP地址。LOG动作只负责记录匹配到的报文的相关信息，不负责对报文的其他处理，如果想要对报文进行进一步的处理，可以在之后设置具体规则，进行进一步的处理。作用：用于接收匹配的流量，使得流量继续往后面的规则和链路去匹配。
关于iptables命令
weixin_30698297的博客
11-04 109
iptables 指令语法：iptables [-t table] command [match] [-j target/jump]-t参数用来指定规则表，内建的规则表有三个，分别是：nat、mangle 和 filter，当未指定规则表时，则一律视为是 filter。个规则表的功能如下：nat 此规则表拥有 Prerouting 和 postrout...
iptables中-j选项与-g选项的区别
雜貨鋪
05-05 8873
手册 # man iptables ... -j, --jump target This specifies the target of the rule; i.e., what to do if the packet matches it. The target can be a user- defined
Linux防火墙 iptables的用法
xiangmomo1的博客
05-08 252
主要了解防火墙的基本了解和iptables的使用
iptables 指令详解。
在水一方
06-12 665
iptables 指令语法：iptables [-t table] command [match] [-j target/jump]-t 参数用来指定规则表，内建的规则表有三个，分别是：nat、mangle 和 filter，当未指定规则表时，则一律视为是 filter。个规则表的功能如下：nat 此规则表拥有 Prerouting 和 postrouting 两个规则链，
iptables命令详解和举例（完整版）
热门推荐
09-07 4万+
1、防火墙概述 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其...
iptables 命令
最新发布
08-31
通过iptables命令，你可以添加、删除或修改规则，以满足网络安全需求。例如，可以创建一条规则阻止特定IP访问某个服务，或者设置端口转发功能。不过，要注意的是，iptables在一些现代Linux发行版中已经被更高级的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值