Linux iptables规则详解

iptables规则

配置详情

*filter
:INPUT DROP [345:43237]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [306:41346]
-A INPUT -p tcp -m tcp --dport 10022 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1990 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 40000 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 40001 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 9528 -j ACCEPT

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP

-A INPUT -p icmp --icmp-type echo-request -j ACCEPT
-A OUTPUT -p icmp --icmp-type echo-reply  -j ACCEPT
-A OUTPUT -p icmp --icmp-type echo-request -j DROP
-A INPUT -p icmp --icmp-type echo-reply -j DROP

-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT

COMMIT

详解

:INPUT DROP 禁止所有INPUT的包,只允许符合如下规则的指定包进入

-A INPUT -p tcp -m tcp --dport 10022 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1990 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 40000 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 40001 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 9528 -j ACCEPT
#开放10022,80,1990,40000,40001,9528端口

上面的配置只能允许从这些端口进来包，但是如果该服务器主动向外发起连接，该服务器会打开一个随机端口，而随机端口肯定不在上面的配置里面，就会导致无法接受其他服务器返回的包。
例如：该服务器访问A服务器的80端口，同时自己打开了54321端口来接受返回的数据，由于我们上面没有配置54321端口对应的规则。此时，A服务器返回的数据就会被防火墙丢弃

---

为了解决上面的问题，还需要如下配置：

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP

该配置允许ESTABLISHED状态及RELATED状态的链接不受限的进出该机器，ESTABLISHED为已经建立好的链接，RELATED状态一般会出现于有双通道的服务中，例如ftp服务。ftp服务会开放两个端口，一个为控制端口，一个为数据传输端口。内核根据一系列ip_conntrack_*内核函数来判断是否为RELATED状态

---

-A INPUT -p icmp --icmp-type echo-request -j ACCEPT
-A OUTPUT -p icmp --icmp-type echo-reply  -j ACCEPT
-A OUTPUT -p icmp --icmp-type echo-request -j DROP
-A INPUT -p icmp --icmp-type echo-reply -j DROP

允许其它主机ping该机器，但不允许该机器ping其它主机

---

-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT

允许回环