第五章：iptables应用案例分析（客户端上设置iptables）

一、客户端/络端上的iptables的设置

1、查看终端的iptables服务状态

1）查看iptables服务状态
service iptables status
注意：由于iptables是通过模块的方式载入内核的，如果相应的模块没有启动，那么iptables服务肯定没有启动（具体查看/etc/init.d/iptables文件）
lsmod | grep 'tables'

2）设置启动linux系统时，让iptables服务自动启动
chkconfig iptables off
chkconfig --level 3 iptables on
reboot

2、设置终端的iptables服务（DNS、lo 、ssh、icmp、httpd）

1）查看
#查看filter表的设置情况
iptables -t filter -L
#清空filter表上的所有规则
iptables -t filter -F
#让filter表的数据包计数器和流量计数器归零
iptables -t filter -Z

2）设置

#允许其它主机连接本终端的SSH服务（本终端为：SSH服务器）
iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --sport 22 -j ACCEPT

#允许本终端连接远程主机的SSH服务（本终端为：SSH客户端）
iptables -t filter -A INPUT -p tcp --sport 22 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 22 -j ACCEPT

#设置终端本地回环通行（因为本地回环地址：127.0.0.1，它提供了很多的服务，可通过netstat -autnlp查看）
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -t filter -A OUTPUT -o lo -j ACCEPT

#允许本终端发送和接收ICMP数据包（ping指令）
iptables -t filter -A INPUT -p icmp -j ACCEPT
iptables -t filter -A OUTPUT -p icmp -j ACCEPT

#允许本终端发送和接收DNS数据包（本终端为：DNS客户端）
iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -t filter -A INPUT -p udp --sport 53 -j ACCEPT

#允许本终端发送和接收httpd数据包（本终端为：web客户端）
iptables -t filter -A INPUT -p tcp --sport 80 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT

#改变默认的策略规则（注意：一定要先设置上面的那些服务（特别是：SSH服务），再修改默认规则）
iptables -t filter -P INPUT DROP
iptables -t filter -P OUTPUT DROP
iptables -t filter -P FORWARD DROP

3）保存

#设置相关的规则后，查看一下filter表的设置盛况
iptables -t filter -L -n --line-numbers

#保存设置
第一种方法： service iptables save（注意：它把当前的设置保存到/etc/sysconfig/iptables配置文件里）
第二种方法： iptables-save > /etc/sysconfig/iptables（呵呵！其实可以直接修改/etc/sysconfig/iptables文件来达到修改规则）
注意：iptables-save可以保存当前的设置到一个文件中，以方便再次使用，例如： iptables-save > iptables-config

#如果设置丢失时，可以使用iptables-restore还原配置（前提：以前必须有备份配置）
iptables-restore < iptables-config

建议：在做防火墙规则时，首先在本地的实验的机子做好测试，然后使用iptables-save把策略保存成一个文件，最后再拷贝并运用到真实的服务器上