iptables命令用于管理防火墙的规则策略
格式:iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]
-P 设置默认策略
iptables –P INPUT(DORP|ACCEPT) 将INPUT链的默认策略设置为..
-S 查看每个链默认的规则
-L 查看已有的规则
iptables –L
iptables -L --line-numbers (显示行号,便于查看)
-n:以数字的方式显示ip
-v:显示详细信息
-t nat:显示所有的关卡的信息
-F 清空已有的规则iptables –F
iptables -t nat -F 清空nat表的所有链
iptables -t nat -F PREROUTING
-A 在规则链末尾添加新规则
iptables –t filter –A INPU –j ACCEPT 允许未被其它规则匹配上的数据包
因为默认规则表是filter 所以上面的-t filter 可省略不写
-I num 在规则链头部添加新规则
-R num 替换/修改第几条规则
-D num 删除某条规则
iptables –D INPUT 2
-s 匹配来源地址IP/MASK,加叹号“!”表示除这个IP外。-d 匹配目标地址
-i 网卡名称 匹配从这块网卡流入的数据
-o 网卡名称 匹配从这块网卡流出的数据
-p 匹配协议,如tcp、udp、icmp
-dport num 匹配目标端口号
-sport num 匹配来源端口号
显示扩展(-m)扩展各种模块
-m multiport:表示启用多端口扩展
-m state --state NEW,ESTABLISHED 状态检测
规则表 用于容纳规则链
row表:确定是否对该数据包进行状态跟踪
mangle表:为数据包设置标记5个链PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING
nat表:修改数据包中的源、目标IP地址或端口(定义地址转换)3个链PREROUTING、OUTPUT、POSTROUTING
filter表:确定是否放行该数据包(默认规则表)3个链 INPUT、FORWARD、OUTPUT
规则链依据处理数据包的位置不同而进行分类:
PREROUTING:在进入路由选择前处理数据包
INPUT:处理入站的数据包
OUTPUT:处理出站的数据包
FORWORD:处理转发的数据包
POSTROUTING:在进行路由选择后处理数据包
常见的控制类型:
ACCEPT:允许通过。
LOG:记录日志信息,然后传给下一条规则继续匹配。
REJECT:拒绝通过,必要时给出提示。
DROP:直接丢弃,不给出任何回应。
TCP协议
三次握手,第一次握手,叫做NEW连接,第二次握手后ack都为1,这是正常的传输,与TCP的第二次、第三次握手,叫做已建立的连接(ESTABLISHED),还有一种状态,SYN=1、ACK=1、RST=1,这种无法识别的状态称为INVALID,第四种,FTP的特征,每个端口都是独立的,21号、20号端口是一去一回,他们之间是有联系的,这种称之为RELATED。
4种状态:
NEW、ESTABLISHED、INVALID、RELATED
Ps: iptables 命令执行后的规则策略仅当前生效,若重启后依然保存规则执行
service iptables save
例子:只要是来自于172.16.0.0/16网段的都允许访问我本机的172.16.100.1的SSHD服务。
定义进来的: iptables -t filter -A INPUT -s 172.16.0.0/16 -d 172.16.100.1 -p tcp--dport 22 -j ACCEPT
定义出去的: iptables -t filter -A OUTPUT -s 172.16.100.1 -d 172.16.0.0/16 -ptcp --dport 22 -j ACCEPT
将默认策略改成DROP:
iptables-P INPUT DROP
iptables-P OUTPUT DROP
iptables-P FORWARD DROP
改:增加状态,检测进来的只允许状态为NEW和ESTABLISHED的进来,出去只允许ESTABLISHED的状态出去。
iptables -L -n --line-number :查看之前的规则位于第几行
改写INPUT
iptables -R INPUT 2 -s 172.16.0.0/16 -d172.16.100.1 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
改写OUTPUT
iptables -R OUTPUT 1 -m state --stateESTABLISHED -j ACCEPT
再改:如果想再放行一个80端口
iptables -A INPUT -d 172.16.100.1 -p tcp --dport 80 -m state--state NEW,ESTABLISHED -j ACCEPT
iptables -RINPUT 1 -d 172.16.100.1 -p udp --dport 53 -j ACCEPT