iptables

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

文章目录

• 前言
• 一、iptables是什么？
• 二、使用步骤
  • 1.基础
  • 2.扩展模块
• 总结

---

前言

iptables工具简单介绍

---

提示：以下是本篇文章正文内容，下面案例可供参考

一、iptables是什么？

iptables是Netfilter防火墙的管理工具，可使用iptables工具实现对数据包的过滤

二、使用步骤

1.基础

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

-A 添加

-D 删除

-I   插入

-R 替换

-i 匹配从这个网卡进的流量

-o 匹配从这个网卡出的流量

-p 协议

-sport 源断开

-dport 目的断开

动作 ：
ACCEPT ：接收数据包。
DROP ： 丢弃数据包。
REDIRECT ：重定向、映射、透明代理。
SNAT ：源地址转换。
DNAT ：目标地址转换。
LOG ： 日志记录。

iptables -t 表 -L      查看规则

iptables -t 表 -L 链  查看某表谋链规则

iptables -t 表 -nvL   -n不解析IP   -v显示详情

iptables --line-numbers -t 表名 -L 显示规则数字

2.扩展模块

tcp模块扩展

-p tcp -m tcp --sport 22:80 -j accept

冒号指定连续的端口，可22：

-sport 源端口

-dport 目的端口

-tcp-flags

iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT

multiport模块扩展;多端口

-p tcp -m multiport --sports 22,80:88 -j accept

iprange模块扩展 

src-iprange源地址 dst-iprange 目的地址

-m iprange --src-iprange 192.168.2.1-192.168.2.137

string模块 

-alog 算法

--hey-string   16进制匹配

-m string --string

iptables -t filter -A INPUT -p tcp --sport 80 -m string --alog bm --hey-string "|01646774|" -j accept

connlimit模块

–connlimit-above  限制单个IP

–connlimit-mask   结合above使用限制IP段连接

iptables -t filter -A INPUT -p tcp --sport 80 -m connlimit --–connlimit-above20 –connlimit-mask25 -j accept

limit模块

限制速度

iptables -t filter -A INPUT -p icmp -m limit --limit-burst 2 --limit 20/minute -j ACCEPT

空闲时放行2个包

每分钟放行20个包

state模块

new：新的包

established：已建立的

related：有关系的

invalid：无法识别

untracked：未被追踪

iptables -t filter -A  INPUT  -m state --state established，related -j ACCEPT

百名单：设置默认链规则为drop，允许特定数据通过

黑名单：设置默认链规则为accept，拒绝特定数据通过

---

总结

以上就是今天要讲的内容，本文仅仅简单介绍了iptables的学习