iptables常用用法总结

• 清除目前所有规则

iptables -F

• INPUT、OUTPUT、FORWARD 含义

INPUT   如果包的目标就是本机，则包直接进入INPUT链，再被本地正在等待该包的进程接
OUTPUT   两类包走OUTPUT，一类是INPUT入的包，一类是主机本身产生的包
FORWARD   如果包的目标不是本机，而是穿过本机的包，则进入FORWARD链，FORWARD既不走INPUT，也不走OUTPUT

• 允许通过tcp协议访问22端口，禁止访问除22端口以外的所有端口

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -P INPUT DROP  
#  -P，--pollicy，设置缺省的target设置filter表的INPUT链的默认策略为丢包。就是本机默认不接受任何连接，除非在INPUT链上再设置接收的规则，即除了-A定义的，其他的都被禁止。
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
# iptables -P OUTPUT DROP要尽量慎重，没把握就OUTPUT ACCEPT

• icmp端口限制

iptables  -A INPUT -p icmp --icmp 8 -j ACCEPT  #允许请求进来
iptables -A OUTPUT  -p icmp --icmp 0 -j ACCEPT  #允许响应出去

• 允许本地内部访问

iptables -A INPUT -i lo -j ACCEPT

• 允许数据包响应

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

• 允许从本地访问外部端口

iptables -A OUTPUT -j ACCEPT

• 保存设置：service iptables save，如果不执行保存配置，就不会保存到配置文件里面，重启后配置的策略就掉了。

service iptables save
[root@localhost ~]# cat /etc/sysconfig/iptables
# Generated by iptables-save v1.4.21 on Mon Apr 26 11:01:24 2021
*filter
:INPUT DROP [3092:160217]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -s 127.0.0.1/32 -j ACCEPT
-A INPUT -s 127.0.0.1/32 -j ACCEPT
-A INPUT -s 127.0.0.1/32 -j ACCEPT
-A INPUT -s 127.0.0.1/32 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 11 -j DROP
-A INPUT -p icmp -m icmp --icmp-type 13 -j DROP
-A INPUT -p icmp -m icmp --icmp-type 14 -j DROP
-A INPUT -p tcp -m tcp --dport 23 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 11 -j DROP
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8090 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A OUTPUT -j ACCEPT
COMMIT
# Completed on Mon Apr 26 11:01:24 2021
# Generated by iptables-save v1.4.21 on Mon Apr 26 11:01:24 2021
*raw
:PREROUTING ACCEPT [11066723:8016804616]
:OUTPUT ACCEPT [11181757:7926685152]
COMMIT
# Completed on Mon Apr 26 11:01:24 2021

• 查看iptables状态：iptables -L -v -n

[root@localhost ~]# iptables -L -v -n
Chain INPUT (policy DROP 2688 packets, 137K bytes)
 pkts bytes target     prot opt in     out     source               destination         
9890K 7575M ACCEPT     all  --  *      *       127.0.0.1            0.0.0.0/0           
    0     0 ACCEPT     all  --  *      *       127.0.0.1            0.0.0.0/0           
    0     0 ACCEPT     all  --  *      *       127.0.0.1            0.0.0.0/0           
    0     0 ACCEPT     all  --  *      *       127.0.0.1            0.0.0.0/0           
    0     0 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 11
    0     0 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 13
    0     0 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 14
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:23
    0     0 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 11
 2532  114K ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
11830 1620K ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:8090
 2144  395K ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 238K  199M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0