Iptables

一、Iptables命令管理

1.显示内核三张表的信息

  iptables -nL     ##默认为filter表

Chain INPUT (policy ACCEPT)
Chain FORWARD (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)

  iptables -nL -t nat  ##显示nat表

Chain PREROUTING (policy ACCEPT)
Chain INPUT (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)
Chain POSTROUTING (policy ACCEPT)

 iptables -nL -t mangle  ##显示mangle表，备用

Chain PREROUTING (policy ACCEPT)
Chain INPUT (policy ACCEPT)
Chain FORWARD (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)
Chain POSTROUTING (policy ACCEPT)

2.表格命令编辑  ##默认filter表

  iptables -A INPUT -s 172.25.254.2 -j REJECT  ##添加

  iptables -D INPUT 6  ##删除INPUT链的第8条

  iptables -I INPUT -s 172.25.254.2 -j REJECT  ##插入至第1条

  iptables -R INPUT 1 -j ACCEPT   ##将INPUT第1条规则改为ACCEPT

 【iptables -F   ##刷新（类似删除）配置，但是重启后配置依然存在

  systemctl restart iptables.service】

 

【iptables -F   ##刷新后保存，重启后配置为空

  service iptables save

  systemctl restart iptables.service】

  iptables -P FORWARD DROP  ##将FORWARD链规则改为DROP

  iptables -N redhat  ##新建redhat自定义链

 

iptables -E redhat REDHAt  ##修改自定义链的名称

 

iptables -X REDHAt  ##删除自定义链

3.服务管理
[root@localhost ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
  ###允许所有主机链接ssh（22）
[root@localhost ~]# iptables -A INPUT -s 172.25.254.8 -p tcp --dport 80 -j ACCEPT
  ###只允许主机8链接http（80）
[root@localhost ~]# iptables -A INPUT ! -s 172.25.254.8 -p tcp --dport 53 -j REJECT
  ###除了主机8都拒链接DNS（53）
[root@localhost ~]# iptables -A INPUT -j REJECT

  ###读取以上规则后，其他所有访问拒绝  （从前到后，逐条读取）

##将修改后的配置保存在文件/etc/sysconfig/iptables中

二、Iptables地址转换

 注意：
  1.一定要刷新filter表

           iptables -F

  2.打开内核路由

  [root@localhost ~]# vim /etc/sysctl.conf

  [root@localhost ~]# sysctl -a | grep ip_forward
   net.ipv4.ip_forward = 0
  [root@localhost ~]# sysctl -p  ##和重启服务效果一样

   net.ipv4.ip_forward = 1

    

  3.主机172.25.66.2配置网络
  IPADDR  = 172.25.66.2   （一块网卡主机）
  GATEWAY = 172.25.66.10 （两块网卡主机IP）

 

4.设定策略

[root@localhost ~]# iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.254.1
[root@localhost ~]# iptables -t nat -A PREROUTING -i eth0 -j DNAT --to-dest 172.25.66.2
[root@localhost ~]# iptables -nL -t nat
  

 

5.当主机 10 访问链接 1 主机时，转换到66.2主机上