提示:文章写完后,目录可以自动生成,如何生成可参考右边的帮助文档
前言
iptables工具简单介绍
提示:以下是本篇文章正文内容,下面案例可供参考
一、iptables是什么?
iptables是Netfilter防火墙的管理工具,可使用iptables工具实现对数据包的过滤
二、使用步骤
1.基础
iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作
-A 添加
-D 删除
-I 插入
-R 替换
-i 匹配从这个网卡进的流量
-o 匹配从这个网卡出的流量
-p 协议
-sport 源断开
-dport 目的断开
动作 :
ACCEPT :接收数据包。
DROP : 丢弃数据包。
REDIRECT :重定向、映射、透明代理。
SNAT :源地址转换。
DNAT :目标地址转换。
LOG : 日志记录。
iptables -t 表 -L 查看规则
iptables -t 表 -L 链 查看某表谋链规则
iptables -t 表 -nvL -n不解析IP -v显示详情
iptables --line-numbers -t 表名 -L 显示规则数字
2.扩展模块
tcp模块扩展
-p tcp -m tcp --sport 22:80 -j accept
冒号指定连续的端口,可22:
-sport 源端口
-dport 目的端口
-tcp-flags
iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT
multiport模块扩展;多端口
-p tcp -m multiport --sports 22,80:88 -j accept
iprange模块扩展
src-iprange源地址 dst-iprange 目的地址
-m iprange --src-iprange 192.168.2.1-192.168.2.137
string模块
-alog 算法
--hey-string 16进制匹配
-m string --string
iptables -t filter -A INPUT -p tcp --sport 80 -m string --alog bm --hey-string "|01646774|" -j accept
connlimit模块
–connlimit-above 限制单个IP
–connlimit-mask 结合above使用限制IP段连接
iptables -t filter -A INPUT -p tcp --sport 80 -m connlimit --–connlimit-above20 –connlimit-mask25 -j accept
limit模块
限制速度
iptables -t filter -A INPUT -p icmp -m limit --limit-burst 2 --limit 20/minute -j ACCEPT
空闲时放行2个包
每分钟放行20个包
state模块
new:新的包
established:已建立的
related:有关系的
invalid:无法识别
untracked:未被追踪
iptables -t filter -A INPUT -m state --state established,related -j ACCEPT
百名单:设置默认链规则为drop,允许特定数据通过
黑名单:设置默认链规则为accept,拒绝特定数据通过
总结
以上就是今天要讲的内容,本文仅仅简单介绍了iptables的学习