Iptables 防火墙常用配置

Iptables 防火墙常用配置

概念

####
nat # nat规则表
filter # 默认规则表
####
INPUT # 数据进入
FORWARD # 数据转发
OUTPUT # 数据出
####
ACCEPT # 允许数据包通过
DROP #直接丢弃数据包，不会返回任何信息
REJECT #拒绝通过数据包，会返回拒绝
SNAT #源地址转换
DNAT #目标地址转换
REDIRECT #在本机做端口映射

命令行模式

查看 & 命令

iptables -nvL
# 查看
iptables -F
# 清空所有配置
iptables save
# 保存当前配置

-n：直接显示ip
-v：详细信息
-L：列出规则

阻止

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
# 阻止进入、转发、出 （全部）
iptables -t filter -I INPUT -s 192.168.4.4 -j DROP
# 阻止 192.168.4.4 所有数据
iptables -I INPUT -s 192.168.4.0/24 -j DROP
# 阻止 整个网段
iptables -A INPUT -p tcp --dport 80 -j DROP
# 阻止全部 80端口进入
iptables -A OUTPUT -p tcp --sport 80 -j DROP
# 阻止全部 80端口出

-A：追加规则
-t ：添加到什么表（可不加是默认filter表）
-i ：插入规则
-s：源地址
-j ：规则模式

允许

iptables -F
# 清空规则默认全部允许
iptables -A INPUT -p icmp -j ACCEPT
#允许ping
iptables -I INPUT -s 192.168.4.0/24 -j ACCEPT
# 允许网段进入
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 允许22端口进入
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
# 允许22端口出

（很多情况下OUTPUT是全部开启的。允许本机访问所有网络）

转发

#将本机的8080端口转发至其他主机，主机IP：192.168.1.12，目标主机IP和端口：192.168.1.13:8088，规则如下；
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 8080 -j DNAT --to-destination 192.168.1.13:8088
iptables -t nat -A POSTROUTING -p tcp -m tcp --dport 8088 -j SNAT --to-source 192.168.1.12
echo 1 > /proc/sys/net/ipv4/ip_forward #开启iptables forward转发功能。
 
tcp范围端口映射：
iptables -t nat -A PREROUTING -p tcp --dport 2000:2500 -j DNAT --to 192.168.66.2:2000-2500

远程转发：
iptables -A FORWARD -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -p tcp --sport 80 -j ACCEPT
#把访问192.168.0.12的80端口转发到192.168.0.13的80端口
iptables -t nat -A PREROUTING -p tcp -i eth0 -d 192.168.0.12 --dport 80 -j DNAT --to-destination 192.168.0.13:80
#配置地址伪装 
iptables -t nat -A POSTROUTING -p tcp -m tcp --dport 80 -j MASQUERADE

本地转发：
访问本机的8080端口转发到本地的80端口
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j REDIRECT --to-ports 80

#清空转发规则（nat表）
iptables -F -t nat

配置文件模式

vi /etc/sysconfig/iptables

# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
#针对本机内部接口开放！
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
#允许所有ip通过22端口
-A INPUT -m state --state NEW -m tcp -s 192.168.5.0/24 -p tcp --dport 22 -j ACCEPT
#允许192.168.5.0网段通过22端口
-A INPUT -m state --state NEW -m tcp -s 192.168.3.165 -p tcp --dport 22 -j ACCEPT
#允许192.168.3.165IP通过22端口
-A INPUT -m state --state NEW -m tcp -i eth0 -p tcp --dport 22 -j ACCEPT
#允许eth0网卡通过22端口
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT