1 MAC 地址匹配
由xt_mac.ko模块提供的功能
iptables -A INPUT -p tcp --dport 3306 -m mac --mac-source 00:02:03:04:1F:13 -j ACCEPT
2 Multiport的匹配
(1)介绍:Multiport 功能由xt_multiport.ko 模块提供的功能 由于匹配的是端口所以需要和-p结合使用
(2)提供的匹配参数:
* --dports 匹配目的
* --sports 匹配源地址
* --ports 匹配目的和源
(3)示例:
iptables -A INPUT -p tcp --syn -m state --state NEW -m multiport --dports 21,22,443,80 -j ACCEPT
3数据包MARK值匹配
(1)由xt_MARK.ko提供
(2)参数:
* --mark 匹配标记
4Owner匹配
(1) Owner的匹配方式由ipt_owner.ko模块提供,只适合OUTPUT 与POSTROUTING
(2) 参数:
* --uid-owner userid|username 匹配数据包由那个使用者产生的
* --gid-owner groupid|groupname 匹配数据包由那个用户组产生的
(3) 实例:
Iptables -A OUTPUT -p tcp -m owner --uid-owner jack --dport 80 -j ACCEPT
(2) 参数:
* --src-range 匹配来源地址范围
* --dst-range 匹配目的地址范围
(3) 实例:
iptables -A INPUT -m iprange --src-range 192.168.110.1-192.168.110.20 -j DROP
6 TTL 值匹配
(1)由ipt_ttl.ko 模块提供
(2)参数:
* --ttl-eq number 匹配ttl值等于number
* --ttl-lt number 小于
* --ttl-gt number 大于
(3)实例:
Iptables -A INPUT -m ttl --ttl-eq 64 -j REJECT
7 数据包状态匹配
(1) 由xt_state.ko 模块提供state 匹配 链接状态有4种:ESTABLISHED、NEW、RELATED、及INVALID 四种
INVALID:不属于前三种的数据包状态。
(2) 参数:
--state NEW|ESTABLEISHED|RELATED|INVALID
(3) 实例:
Iptables -A INPUT -p all -m state --state NEW,ESTABLEISHED,RELATED -j ACCEPT
8 AH及ESP 协议的SPI 值匹配
(1) 由ipt_ah.ko 和xt_esp.ko 模块提供
(2) 参数:
--ahspi AH 包头内的spi 值
--espspi ESP 包头的spi值
(3) 实例:
Iptables -A FORWARD -p ah -m ah --ahspi 300 -j ACCEPT
(2) 参数:
--pkt-type unicast|broadcast|multicast
(3) 实例:
(1) MTU=IP包头 +ICMP/TCP 包头+DATA,MSS=ICMP/TCP 包头+DATA
(2) 参数:
* [!]--length number 匹配MTU 值为number byte 数据包
* [!]--length :number 小于number byte数据包
* [!]--length number1:number2 两者之间的数据包
(3) 实例:
iptables -A FORWARD -p icmp -m length --length 92 -j ACCEPT
11 limit 特定数据包重复率匹配
(1)由xt_limit.ko 提供
(2)参数:
--limit packets/m(minutes)|s(second)|h(hour)|d 限制单位时间包个数 包速率
--limit-burst number 单位时间内包的数量 默认为5
(3) 实例:
Iptables -A INPUT -p icmp --icmp-type 8 -m limit --lim
由xt_mac.ko模块提供的功能
iptables -A INPUT -p tcp --dport 3306 -m mac --mac-source 00:02:03:04:1F:13 -j ACCEPT
2 Multiport的匹配
(1)介绍:Multiport 功能由xt_multiport.ko 模块提供的功能 由于匹配的是端口所以需要和-p结合使用
(2)提供的匹配参数:
* --dports 匹配目的
* --sports 匹配源地址
* --ports 匹配目的和源
(3)示例:
iptables -A INPUT -p tcp --syn -m state --state NEW -m multiport --dports 21,22,443,80 -j ACCEPT
3数据包MARK值匹配
(1)由xt_MARK.ko提供
(2)参数:
* --mark 匹配标记
(3)示例:
iptables -t mangle -A PREROUTING -p tcp --dport 80 -j MARK --set-mark 80
iptables -A FORWARD -p all -m mark --mark 80 -j DROP4Owner匹配
(1) Owner的匹配方式由ipt_owner.ko模块提供,只适合OUTPUT 与POSTROUTING
(2) 参数:
* --uid-owner userid|username 匹配数据包由那个使用者产生的
* --gid-owner groupid|groupname 匹配数据包由那个用户组产生的
(3) 实例:
Iptables -A OUTPUT -p tcp -m owner --uid-owner jack --dport 80 -j ACCEPT
5 地址范围匹配
(1) 由ipt_iprange.ko提供(2) 参数:
* --src-range 匹配来源地址范围
* --dst-range 匹配目的地址范围
(3) 实例:
iptables -A INPUT -m iprange --src-range 192.168.110.1-192.168.110.20 -j DROP
6 TTL 值匹配
(1)由ipt_ttl.ko 模块提供
(2)参数:
* --ttl-eq number 匹配ttl值等于number
* --ttl-lt number 小于
* --ttl-gt number 大于
(3)实例:
Iptables -A INPUT -m ttl --ttl-eq 64 -j REJECT
7 数据包状态匹配
(1) 由xt_state.ko 模块提供state 匹配 链接状态有4种:ESTABLISHED、NEW、RELATED、及INVALID 四种
INVALID:不属于前三种的数据包状态。
(2) 参数:
--state NEW|ESTABLEISHED|RELATED|INVALID
(3) 实例:
Iptables -A INPUT -p all -m state --state NEW,ESTABLEISHED,RELATED -j ACCEPT
8 AH及ESP 协议的SPI 值匹配
(1) 由ipt_ah.ko 和xt_esp.ko 模块提供
(2) 参数:
--ahspi AH 包头内的spi 值
--espspi ESP 包头的spi值
(3) 实例:
Iptables -A FORWARD -p ah -m ah --ahspi 300 -j ACCEPT
9 pkttype 匹配
(1) tcp/ip 网络环境中数据包传输有三种:Unicast 数据包发送对象特定 Broadcast 数据包传送的对象为广播地址 Multicast 数据包传送对象为多播地址。该匹配方式由xt_pkttype.ko提供(2) 参数:
--pkt-type unicast|broadcast|multicast
(3) 实例:
Iptables -A FORWARD -i eth0 -p icmp -m pkttype --pkt-type broadcast -j DROP
(1) MTU=IP包头 +ICMP/TCP 包头+DATA,MSS=ICMP/TCP 包头+DATA
(2) 参数:
* [!]--length number 匹配MTU 值为number byte 数据包
* [!]--length :number 小于number byte数据包
* [!]--length number1:number2 两者之间的数据包
(3) 实例:
iptables -A FORWARD -p icmp -m length --length 92 -j ACCEPT
11 limit 特定数据包重复率匹配
(1)由xt_limit.ko 提供
(2)参数:
--limit packets/m(minutes)|s(second)|h(hour)|d 限制单位时间包个数 包速率
--limit-burst number 单位时间内包的数量 默认为5
(3) 实例:
Iptables -A INPUT -p icmp --icmp-type 8 -m limit --lim