Linux命令三——iptables

iptables命令用于管理防火墙的规则策略

格式：iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]

    -P  设置默认策略

               iptables –P INPUT(DORP|ACCEPT) 将INPUT链的默认策略设置为..

    -S 查看每个链默认的规则

    -L  查看已有的规则

               iptables –L

               iptables -L --line-numbers (显示行号，便于查看)

                  -n：以数字的方式显示ip

                  -v：显示详细信息

                  -t nat：显示所有的关卡的信息

     -F  清空已有的规则

                 iptables –F

                 iptables -t nat -F 清空nat表的所有链

                 iptables -t nat -F PREROUTING

    -A  在规则链末尾添加新规则

                iptables –t filter –A INPU –j ACCEPT 允许未被其它规则匹配上的数据包

                 因为默认规则表是filter 所以上面的-t filter 可省略不写

    -I num 在规则链头部添加新规则

    -R num 替换/修改第几条规则

    -D num 删除某条规则 

            iptables –D INPUT 2 

    -s  匹配来源地址IP/MASK,加叹号“！”表示除这个IP外。

   -d  匹配目标地址

    -i 网卡名称  匹配从这块网卡流入的数据

    -o 网卡名称 匹配从这块网卡流出的数据

    -p    匹配协议，如tcp、udp、icmp

    -dport num   匹配目标端口号

    -sport num   匹配来源端口号

    显示扩展（-m）扩展各种模块

         -m multiport：表示启用多端口扩展

         -m state --state NEW,ESTABLISHED 状态检测

规则表 用于容纳规则链

    row表：确定是否对该数据包进行状态跟踪

    mangle表：为数据包设置标记5个链PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING

    nat表：修改数据包中的源、目标IP地址或端口(定义地址转换)3个链PREROUTING、OUTPUT、POSTROUTING

    filter表：确定是否放行该数据包（默认规则表）3个链 INPUT、FORWARD、OUTPUT

规则链依据处理数据包的位置不同而进行分类：

     PREROUTING：在进入路由选择前处理数据包

     INPUT：处理入站的数据包

     OUTPUT：处理出站的数据包

     FORWORD：处理转发的数据包

     POSTROUTING：在进行路由选择后处理数据包

常见的控制类型：

    ACCEPT：允许通过。

    LOG：记录日志信息，然后传给下一条规则继续匹配。

    REJECT：拒绝通过，必要时给出提示。

    DROP：直接丢弃，不给出任何回应。

TCP协议

  三次握手，第一次握手，叫做NEW连接，第二次握手后ack都为1，这是正常的传输，与TCP的第二次、第三次握手，叫做已建立的连接（ESTABLISHED），还有一种状态，SYN=1、ACK=1、RST=1，这种无法识别的状态称为INVALID，第四种，FTP的特征，每个端口都是独立的，21号、20号端口是一去一回，他们之间是有联系的，这种称之为RELATED。

4种状态：

    NEW、ESTABLISHED、INVALID、RELATED

Ps: iptables 命令执行后的规则策略仅当前生效，若重启后依然保存规则执行

service iptables save

例子：只要是来自于172.16.0.0/16网段的都允许访问我本机的172.16.100.1的SSHD服务。

     定义进来的： iptables -t filter -A INPUT -s 172.16.0.0/16 -d 172.16.100.1 -p tcp--dport 22 -j ACCEPT

     定义出去的： iptables -t filter -A OUTPUT -s 172.16.100.1 -d 172.16.0.0/16 -ptcp --dport 22 -j ACCEPT

     将默认策略改成DROP:

                                       iptables-P INPUT DROP

                                       iptables-P OUTPUT DROP

                                       iptables-P FORWARD DROP

改：增加状态，检测进来的只允许状态为NEW和ESTABLISHED的进来，出去只允许ESTABLISHED的状态出去。

    iptables -L -n --line-number  ：查看之前的规则位于第几行

    改写INPUT

        iptables -R INPUT 2 -s 172.16.0.0/16 -d172.16.100.1 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

   改写OUTPUT

        iptables -R OUTPUT 1 -m state --stateESTABLISHED -j ACCEPT

再改：如果想再放行一个80端口

       iptables -A INPUT -d 172.16.100.1 -p tcp --dport 80 -m state--state NEW,ESTABLISHED -j ACCEPT

        iptables -RINPUT 1 -d 172.16.100.1 -p udp --dport 53 -j ACCEPT