iptables命令

最新推荐文章于 2023-10-30 18:03:32 发布
最新推荐文章于 2023-10-30 18:03:32 发布
阅读量317 收藏
点赞数
分类专栏： Linux服务器网络运维 Linux基础 linux命令
原文链接：https://www.jianshu.com/p/ed001ae61c58
版权

Linux之iptables详解及tcpdump

Linux之iptables(四、网络防火墙及NAT)
iptables规则重启自动生效--永久生效

 

iptables命令
使用通用格式 
iptables [-t tables] COMMAND chain [-m matchname [per-match-options]] -j targetname [per-target-options]
————————————————
# iptables  [-t tables] [-AI 链] [-io 网络接口] [-p 协议] [-s 来源IP/网域] [-d 目标IP/网域]  -j [ACCEPT|DROP|REJECT|LOG] 
# iptables  [-t tables] [-AI 链] [-io 网络接口] [-p tcp,udp] [-s 来源IP/网域] [--sport 埠口范围] [-d 目标IP/网域] [--dport 埠口范围] -j [ACCEPT|DROP|REJECT]

COMMAND 

 


  1. 链管理

    1.1 -N :   new,自定义一条新的规则链 
    ~]# iptables -N in_icmp

    1.2 -X : delete/drop, 删除自定义的规则链,指明名字删除一个, 不指明将删除多个
                 杀掉所有使用者 "自定义" 的 chain (应该说的是 tables ）            

    ~]# iptables -X in_icmp
~]# iptables -X -t nat   #也可以一个一个table的清除<清除具体某一个table的规则>

    1.3 -P : policy, 设置默认策略, 指明是黑名单还是白名单,对于filter表中的链而方, 其默认策略有:
         1.3.1 ACCEPT : 接受 
         1.3.2 DROP : 丢弃
         1.3.3 REJECT : 拒绝

    ~]# iptables -t filter -P FORWARD ACCEPT
~]# iptables -t filter -P FORWARD DROP

    1.4 -E : 重命名自定义链, 引用计数不为0的自定义链, 不能被重命名或者删除

    ~]# iptables -E OLD_NAME NEW_NAME

  2. 规则管理
    2.1 -A : append, 追加规则
    2.2 -I : insert, 插入规则,需要指明位置,省略时表示第一条
    2.3 -D : delete, 删除规则
         ** 指明规则号删除
         ** 指明规则本身
     

    #查看原有规则
~$ sudo iptables-save -t filter
# Generated by iptables-save v1.4.14 on Tue May 19 01:51:33 2020
*filter
:INPUT ACCEPT [23230:2572269]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [29398:3001269]
COMMIT
# Completed on Tue May 19 01:51:33 2020

#添加一个规则

~$ sudo iptables -A INPUT -p tcp --syn -m state --state NEW -j ACCEPT

#再次查看
umbra@UMB-BOX-094143:/etc/umbra$ sudo iptables-save -t filter
# Generated by iptables-save v1.4.14 on Tue May 19 01:52:58 2020
*filter
:INPUT ACCEPT [1071:109891]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1938:184341]
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j ACCEPT
COMMIT
# Completed on Tue May 19 01:52:58 2020

#删除这个规则
~$ sudo iptables -D INPUT -p tcp --syn -m state --state NEW -j ACCEPT
#查看删除结果
~$ sudo iptables-save -t filter
# Generated by iptables-save v1.4.14 on Tue May 19 01:53:54 2020
*filter
:INPUT ACCEPT [92:9212]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [161:15459]
COMMIT
# Completed on Tue May 19 01:53:54 2020



    2.4 -R : replace, 替换指定链上的指定规则
         ** 指明替换号
         ** 指明替换规则本身
    2.5 -F : flush, 清空指定的规则链 

    ~]# iptables -F  # 不指明链, 清除所有的已订定的规则
~]# iptables -F -t filter # 也可以指明某个table的清除<清除具体某一个table的规则>
~]# iptables -F -t nat

    2.6 -Z : zero, 置零
        ** 匹配到的报文个数
        ** 匹配到的所有报文的大小之和(字节数)

    将所有的 chain 的计数与流量统计都归零
#清除本机防火墙 (filter)的计数与流量统计
~]# iptables -Z 
~]# iptables -Z -t filter
#清除本机防火墙 (nat)的计数与流量统计
~]# iptables -Z -t nat

     

  3. 查看
     3.1 -L : list, 列出指定链上的所有规则 
           3.1.1 -n : numberic ,以数据格式显示地址和端口
           3.1.2 -v : verbose ,详细信息 
              vv
              vvv
          3.1.3 -x : exactly(精确的),显示计数器结果的精确值
          3.1.4 --line-numbers : 显示规则的序号

chain

  1. PREROUTING
  2. INPUT
  3. FORWARD
  4. OUTPUT
  5. POSTROUTING

匹配条件
 

  1. 基本匹配条件
      无需加载任何模块,由iptables/netfilter自行提供
    1.1 [!]-s  address[/mask][,...]
      检查报文中源IP地址, 是否符合此处指定的地址或范围
    1.2 [!]-d  address[/mask][,...]
      检查报文中的目标IP地址,是否符合此处指定的地址或范围
    1.3 [!]-p  protocol
          表明在传输层应用的协议,其可以有tcp,udp,udplite,icmp,icmpv6, esp,ah,sctp,mh 或者all
    1.4 [!]-i   in-interface name
      只能应用于数据报文流入的接口,INPUT,FORWARD and PREROUTING chains
    1.5 [!]-o  out-interface name
      只能应用于数据报文流出的接口,OUTPUT,FORWARD POSTROUTING
  2. 隐匿扩展
      不需要手动加载扩展模块,因为它们是对协议的扩展,所以但凡使用-p指明了协议,就表示已经指明了要扩展的模块
    2.1 tcp
             2.1.1 [!]--sport  port[:port]
                  匹配报文的源端口,可以是连续的端口范围
             2.1.2  [!]--dport  port[:port]
                  匹配报文的目标端口,可以是连续的端口范围
             2.1.3 [!]--tcp-flags  mask comp
                  mask : 必须要检查的标识位,必须以,号分隔
              comp : 必须为1的标识位,必须以,号分隔 
    --tcp-flags syn,ack,fin,rst syn : 
#表示要检查的标识位为syn,ack,fin,rst. 但syn必须为1,余下的必须为0,其是匹配每一次握手
 iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
 iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
 iptables -A INPUT -p tcp !--syn -m state --state NEW -j DROP 
                                  #不是TCP第一次握手,但状态又是new的报文
         2.1.4 --syn
                     匹配第一次握手,相当于 --tcp-flags syn,ack,fin,rst  syn


    2.2 udp
             2.2.1  [!]--sport port[:port]
                   匹配报文的源端口,可以是端口范围
         2.2.2  [!]--dport port[:port]
              匹配报文的目标端口,可以是连续的端口范围


    2.3 icmp
              2.3.1  [!] --icmp {type[/code] | typename} 
     ~]# iptables -A INPUT [-p icmp] [--icmp-type 类型] -j ACCEPT 
          --icmp-type ：后面必须要接 ICMP 的封包类型，也可以使用代号， 
                                    例如 8  代表 echo request 的意思。

范例：让 0,3,4,11,12,14,16,18 的 ICMP type 可以进入本机： 
[root@www ~]# vi somefile 
#!/bin/bash 
icmp_type="0 3 4 11 12 14 16 18" 
for typeicmp in $icmp_type 
do 
  iptables -A INPUT -i eth0 -p icmp --icmp-type $typeicmp -j ACCEPT 
done 
     
[root@www ~]# sh  somefile

显示扩展
     必须使用-m选项手动加载模块, 其扩展模块路径为:/lib/xtables,其中大写的为目标扩展,小写的为规则扩展
     获取扩展选项帮助 ： Centos 6 : man iptables                Centos 7 : man iptables-extensions
3.1 multiport扩展 : 以离散方式定义多端口匹配,但最多指定15个端口
        3.1.1  [!] --sports port[,port | ,port:port]  
             指定多个源端口        
     3.1.2  [!] --dports port[,port | ,port:port]
             指定多个目标端口
        3.1.3   --ports port[,port | ,port:port]
             指定多个目标及源端口

示例:
iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.67 -p tcp -m multiport --dports 22,80 -j ACCEPT

3.2 state扩展
         
      3.2.1 

       根据连接追踪机制,查检连接的状态, 跟TCP没有关系,是内核中netfilter实现, 能实现tcp,udp,icmp的连接追踪,内核会记录每一个连接(放置在内存中),谁,通过什么协议, 访问什么服务, 访问的时间,这种机制被称之为conntrack机制.也正是有了state扩展,iptables成为了有连接追踪的防火墙,安全性是更高. 是由state扩展提供,库文件为/lib/xtables/libxt_conntrack.so . 追踪连接功能在内核的内存空间中,把出去和进来的连接通过模板建立关联关系. 追踪本机的请求和响应之间的关系,状态如下几种:
      3.2.2   STATE 

  •        NEW : 新发起的请求
  •        ESTABLISHED : new状态之后,连接追踪模板中为其建立的条目失效之前期间内所有的通信状态
  •        RELATED : 相关的连接,如FTP协议中的命令连接与数据连接之间的关系
  •        INVALID : 无效的连接,如tcp状态全为1或者全为0的连接
  •        UNTRACKED : 未进行追踪的连接

    3.2.3 [!] --state STATE : 多个state可以使用,号分隔 
    iptables -A INPUT -d 172.168.100.67 -p tcp -m multiport --dport 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -s 172.16.100.67 -p tcp -m multiport --sport 22,80 -m state --state ESTABLISHED -j ACCEPT

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

     

 

target的分类
 

  •        ACCEPT : 接受
  •        DROP : 丢弃
  •        REJECT : 拒绝
  •        RETURN : 返回调用链
  •        REDIRECT : 端口重定向
  •        LOG : 记录日志

                      --log-level LEVEL : 日志的等级
                      --log-prefix FREFIX : 日志的提示语句的前缀
                                         

iptables -A INPUT -d 172.16.36.61 -p tcp --dport 21 -j LOG --log-prefix "netfilter log"
  •      MASK : 做防火墙标记
  •      DNAT : 目标地址转换
  •      SNAT : 源地址转换
  •      MASQUERADE : 地址伪装
  •      用户自定义链

     

 

搜搜秀
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
详解Linux iptables 命令
01-20
iptables 是 Linux 管理员用来设置 IPv4 数据包过滤条件和 NAT 的命令行工具。iptables 工具运行在用户态，主要是设置各种规则。而 netfilter 则运行在内核态，执行那些设置好的规则。 查看 iptables 的链和规则 查看规则的命令格式为： iptables [-t tables] [-L] [-nv] -t ：后面接 table ，例如 nat 或 filter ，若省略此项目，则使用默认的 filter -L ：列出某个 table 的所有链或某个链的规则 -n ：直接显示 IP，速度会快很多 -v ：列出更多的信息，包括通过该规则的数据包总位数、相关
linux 防火墙 iptables 命令详解
探索者的博客
03-08 4960
上述的iptables命令示例可以帮助管理员学习如何使用iptables命令来保护不同服务。是Linux操作系统上的一个防火墙工具，它可以控制进入、离开、转发的数据流，是Linux服务器安全性的重要保障。这个命令将iptables规则保存到文件中，以后可以通过cat命令查看或加载这些规则。这两条命令将允许SSH流量的进入，但拒绝来自特定IP地址的连接。这条命令将允许一个特定的IP地址来访问服务器的端口。这个命令会清空之前iptables定义的所有规则。这条命令将删除之前添加的规则。
关于iptables命令
weixin_30698297的博客
11-04 88
iptables 指令语法：iptables [-t table] command [match] [-j target/jump]-t参数用来指定规则表，内建的规则表有三个，分别是：nat、mangle 和 filter，当未指定规则表时，则一律视为是 filter。个规则表的功能如下：nat 此规则表拥有 Prerouting 和 postrout...
ubuntu配置iptables
viviliving的专栏
04-11 7949
是否安装iptables 查看命令：whereis iptables #没有请先安装 安装iptables 安装命令：sudo apt-get install iptables 查看配置 查看命令：iptables –L 添加规则 sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT sudo iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j...
iptables的四表五链以及一些应用小场景
最新发布
dayouzi的博客
10-30 552
iptables是Linux的防火墙管理工具而已，真正实现防火墙功能的是Netfilter，我们配置了iptables规则后Netfilter通过这些规则来进行防火墙过滤等操作Netfilter模块：它是主要的工作模块，位于内核中，在网络层的五个位置（也就是防火墙四表五链中的五链）注册了一些钩子函数，用来抓取数据包；把数据包的信息拿出来匹配各个各个链位置在对应表中的规则：匹配之后，进行相应的处理ACCEPT、DROP等等。下面这张图很明了的说明了Netfilter和iptables之间的关系。
iptables命令详解和举例（完整版）
热门推荐
09-07 3万+
1、防火墙概述 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其...
Linux防火墙——iptables实战操作
匠人精神，持之以恒！
06-13 1138
iptables原理以及参数介绍可以参考我上篇文章：Linux防火墙——iptables原理介绍 ：对应规则匹配到的报文的个数。：对应匹配到的报文包的大小总和。：规则对应的target，往往表示规则对应的"动作"，即规则匹配成功后需要采取的措施。：表示规则对应的协议，是否只针对某些协议应用此规则。：表示规则对应的选项。：表示数据包由哪个接口(网卡)流入，我们可以设置通过哪块网卡流入的报文需要匹配当前规则。：表示数据包由哪个接口(网卡)流出，我们可以设置通过哪块网卡流出的报文需要匹配当前规则。：表示规则对应的
Linux之端口操作
鹤啸九天
01-28 424
一、查看端口     1、查看指定端口的使用情况： lsof -i tcp:80     2、查看所有已使用的端口： netstat -ntlp     3、查看防火墙规则： /etc/init.d/iptables status 二、设置端口的“出”/“入”规则并生效     1、将端口的“出”/“入”规则写入iptables，有两种方式：         ①命令方式： ...
iptables基础学习（一）
lailaiquququ11的博客
10-30 542
主要学习罗列一些简单的iptables简单基础知识
关于iptables连接跟踪模块的NEW状态和INVALID状态的笔记
Chaowanq的博客
04-29 843
前面的状态介绍来源于以下两篇博文： https://blog.51cto.com/misliang/1371361 https://blog.csdn.net/dhRainer/article/details/84846417 状态跟踪 conntrack将数据流的状态信息以Hash表的形式储存在内存中，包括五元组信息以及超时时间等。这里说的状态跟踪并非是指状态协议（如TCP）中连接状态的跟踪，而...
iptables命令参数大全
05-15
1. 打开ip包转发功能　 echo 1 > /proc/sys/...2. 在NAT/防火墙计算机上的NAT表中添加目的地址转换规则: iptables -t nat -I PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 202.96.134.130:80
iptables命令实例
08-04
iptables命令实例
iptables命令整理
10-24
文档包含了iptables命令使用的一些例子，如NAT、端口重定向、访问控制等
iptables命令简单学习
12-11
iptables简单使用说明，iptables简介，iptables相关表的介绍
安全技术和iptables防火墙
ll945608651的博客
04-05 340
Linux的防火墙体系主要工作在网络层，针对数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）。 Linux系统的防火墙体系基于内核编码实现，具有非常稳定的性能和高效率，也因此获得广泛的应用。
iptables命令详解
weixin_30756499的博客
03-07 78
iptables 语法： iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作 iptables [-t table] {-A|-C|-D} chain rule-spec...
iptables 使用总结
weixin_30871701的博客
05-24 693
Linux 系统的防火墙功能是由内核实现的 　　2.0 版内核中,包过滤机制是 ipfw,管理工具是 ipfwadm 　　2.2 版内核中,包过滤机制是 ipchain,管理工具是 ipchains 　　2.4 版及以后的内核中,包过滤机制是 netfilter,管理工具是 iptables iptables 　　用户态 　　　　位于/sbin/ipta...
Linux 从开机到登陆界面的过程 三次四次断开 linux破密码 iptables详解
570588398
04-01 367
描述 Linux 系统从开机到登陆界面的启动过程 (1)开机 BIOS 自检,加载硬盘。 (2)读取 MBR,MBR 引导。 (3)grub 引导菜单(Boot Loader)。 (4)加载内核 kernel。 (5)启动 init 进程,依据 inittab 文件设定运行级别 (6)init 进程,执行 rc.sysinit 文件。 (7)启动内核模块,执行不同级别的脚本程序。 (8)执行/et...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值