iptables 配置详解记录-CSDN博客

引自 linux下IPTABLES配置详解

文章目录

Iptables 配置详解记录

Iptables 配置详解记录

一、命令

iptables [命令参数] 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dprot 目标端口 -j 动作

二、释义

2.1、命令参数

-t <表>：指定操纵的表；
-A：向规则链中添加条目；
-D：从规则联众删除条目；
-i：向规则链中插入条目；
-R：替换规则链中的条目；
-L：显示规则链中已有的条目；
-F：清除规则链中已有的条目；
-Z：清空规则链中的数据包计算器和字节计数器；
-N：创建新的用户自定义规则链；
-P：定义规则链中的默认目标；
-h：显示帮助信息；
-p：指定要匹配的数据包协议类型；
-s：指定要匹配的数据包源IP地址；
-j <目标>：指定要跳转的目标
-i <网络接口>：指定数据包进入本机的网络接口；
-o <网络接口>：指定数据包要离开本机所使用的的网络接口；

2.2、表名

raw：高级功能，如网址过滤。
mangle：数据包修改（QOS），用于实现服务质量
net：地址转换，用于网关路由器。
filter：包过滤，用于防火墙规则。

2.3、规则链

INPUT：处理输入数据包。
OUTPUT：处理输出数据包。
PORWARD：处理转发数据包。
PREROUTING：用于目标地址转换（DNAT）。
POSTOUTING：用于源地址转换（SNAT）。

2.4、动作

ACCEPT：接收数据包。
DROP：丢弃数据包。
PEDIRECT：重定向、映射、透明代理。
SNAT：源地址转换。
DNAT：目标地址转换。
MASQUERADE：IP伪装（NAT），用于ADSL。
LOG：日志记录。
REJECT：返回拒绝数据包，明确拒绝对方的连接动作

二、实例

2.1、清除已有的规则

iptables -F
iptables -X
iptables -Z

2.2、开放指定端口

# 允许本地回环接口（及运行本机访问本机）
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
# 允许已建立的或相关连的通行
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 允许本机向外的访问
iptables -A OUPUT -j ACCEPT
# 允许访问22端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 允许访问80端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# 允许FTP服务的21端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
# 禁止其他未允许的规则访问
iptables -A INPUT -j REJECT
# 禁止转发
iptables -A FORWARD -j REJECT

2.3、屏蔽IP

# 屏蔽单个IP
iptables -I INPUT -s 123.45.6.7 -j DROP
# 屏蔽整个段（123.0.0.1 - 123.255.255.254）
iptables -I INPUT -s 123.0.0.0/8 -j DROP
# 屏蔽IP段（123.45.0.1 - 123.45.255.254）
iptables -I INPUT -s 123.45.0.0/16 -j DROP
# 屏蔽IP段（123.45.6.1 - 123.45.6.254）
iptables -I INPUT -s 123.45.6.0/24 -j DROP

2.4、查看已添加的规则链

iptables -L -n -v

2.5、ping

2.5.1、允许ping

iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

2.5.2、禁ping

iptables -A INPUT -p icmp -j DROP
iptables -A OUTPUT -p icmp -j DROP