iptables参数说明

最新推荐文章于 2023-04-14 11:12:29 发布

eqera

最新推荐文章于 2023-04-14 11:12:29 发布

阅读量2.4k

点赞数

分类专栏： linux 文章标签： filter web服务 output input ssh tcp

linux 专栏收录该内容

27 篇文章 0 订阅

订阅专栏

做DNAT,内网提供web服务：

iptables -t nat -I PREROUTING -i eth1 -p tcp --dpor 53 -j DNAT --to-destination 192.168.88.1

iptables -t nat -I PREROUTING -i eth1 -p udp --dpor 53 -j DNAT --to-destination 192.168.88.1

网卡eth1端口号53路由进入之前的包进行修改并做目标地址转换

上规则命令参数详解：

iptables -t nat：表名是指定nat表

-I：根据序号插入一条规则，PREROUTING：修改到来的包，

-i eth1：指定的数据包的接口为eth1

-p tcp：协议,意思只tcp内的类型

--dpor 53：用来匹配封包的目的地的端口号

-j DNAT：-j，指定具体的处理方法，DNAT，做目标地址转换

to-destination 192.168.88.1 ：（destination或-d）用来匹配封包的目的地端口号

在POSTROUTING链中添加源地址换规则:

iptables -t nat -I POSTROUTING -o eth0 -s 192.168.8.0/24 -p tcp --dpor 53 -j SNAT --to-source 192.168.88.101:40000-50000

iptables -t nat -I POSTROUTING -o eth0 -s 192.168.8.0/24 -p udp --dpor 53 -j SNAT --to-source 192.168.88.101:40000-50000

由eth0地址为0到255之间端口号为53的出去包，做源地址转换规则

上规则命令参数详解：

iptables -t nat：表名是指定nat表

-I POSTROUTING：准备修改出去的包

-o eth0：指定封包要从那块网卡送出去

-s 192.168.8.0/24：指定规则操作源地址IP为0到255之间

-p tcp：协议,意思只tcp内的类型

--dpor 53：用来匹配封包的目的地的端口号

-j SNAT：-j，指定具体的处理方法，DNAT，做转源地址转换

--to-source 192.168.88.101：用来匹配封包的来源IP

40000-50000：端口号在四万到五万之间

二：

Iptables规则的使用，以下规则根据自己需要酌情添加

iptables -L 列出表/链中的所有规则。默认只列出filter表

iptables -F -F清除，作用就是把 FILTRE TABLE 的所有链的规则都清空

Iptables -X 清除预设表filter中使用者自定链中的规则

iptables -p INPUT DROP

iptables -p OUTPUT ACCEPT

iptables -p FORWARD DROP

上面的意思是设定默认规则，可以不进行操作，,当超出了IPTABLES里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.我们要控制流入数据包而对于OUTPUT链,也就是流出的包我们不用做太多限制,而是采取ACCEPT,也就是说,不在着个规则里的包怎么办呢,那就是通过.

可以看出INPUT,FORWARD两个链采用的是允许什么包通过,而OUTPUT链采用的是不允许什么包通过.

这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,而且要写的规则就会增加.但如果你只想要有限的几个规则是,如只做WEB服务器.还是推荐三个链都是DROP.

注:如果你是远程SSH登陆的话,当你输入第一个命令回车的时候就应该掉了.因为你没有设置任何规则.

怎么办,去本机操作呗!

iptables -A INPUT -s 192.168.8.5 -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j DROP

如:我们只允许192.168.8.5的机器进行SSH连接，其余禁止连接

如果要允许,或限制一段IP地址可用 192.168.8.0/24 表示192.168.0.1-255端的所有IP.

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -P OUTPUT DROP

关闭所有的端口

iptables -D FORWARD -p udp --dport 8000 -j REJECT
禁止QQ端口

iptables -A INPUT -p tcp -m multiport --source-port 25,53,80,100

源端口多端口的匹配，最多指定15个端口号，以英文逗号分隔符，注意端口号之间没有空格，使用必须有-p tcp或-p udp为前提条件

iptables -A INPUT -p tcp -m multiport --destination-port 25,53,80,100

目的端口多端口匹配，使用方法和源端口一样，唯一区别是他是匹配目的端口

iptables -A INPUT -m mac --mac-source 00-0C-29-75-E8-84

基于包的MAC源地址匹配，地址格式只能是！XX-XX-XX-XX-XX,也可以用英文感叹号"!"去反，意思是除此之外的地址都可以接受。

iptables -A INPUT -m limit --limit 3/hour

说明用来比对某段时间内封包的平均流量，上面的例子是用来比对：每小时平均流量是否超过一次 3 个封包。除了每小时平均一次外，也可以每秒钟、每分钟或每天平均一次，默认值为每小时平均一次，参数如后： /second、 /minute、/day。除了进行封包数量的比对外，设定这个参数也会在条件达成时，暂停封包的比对动作，以避免因骇客使用洪水攻击法，导致服务被阻断。

iptables -A FORWARD -s 192.168.8.0/24 -m limit --limit 100/s -j ACCEPT

iptables -A FORWARD -s 192.168.8.0/24 -j DROP

上例中将192.168.8.0网段中的主机网络速度限制为100KB/s。

iptables -A FORWARD -m iprange --src-range 192.168.8.100-192.168.8.200 -j DROP

限制某个IP 段内不可以上网。上例限制为：192.168.8.100到192.168.8.200之内的IP不可以上网。

iptables -I FORWARD -d www.baidu.com -j DROP

禁止服用户访问百度