CentOS 7 iptables 默认规则详解

Tom Ma.

已于 2023-03-09 12:23:06 修改

阅读量3.2k

点赞数

分类专栏： CentOS 文章标签： centos 网络 linux

于 2019-06-10 10:38:45 首次发布

本文链接：https://blog.csdn.net/mshxuyi/article/details/91362864

版权

CentOS 专栏收录该内容

80 篇文章 6 订阅

订阅专栏

1、安装 iptables

CentOS 7 开启 iptables_centos7 开启iptables_tom.ma的博客-CSDN博客

2、默认配置文件位于 /etc/sysconfig/iptables

vim /etc/sysconfig/iptables


# 星号开头的指的是表
# 这里为 filter 表
*filter

# 冒号开头的指的是链，三条内建的链
# 该规则表示 INPUT 链 默认策略是 ACCEPT
:INPUT ACCEPT [0:0]

# 该规则表示 FORWARD 链 默认策略是 ACCEPT
:FORWARD ACCEPT [0:0]

# 该规则表示 OUTPUT 链 默认策略是 ACCEPT
:OUTPUT ACCEPT [0:0]

# 意思是允许进入的数据包只能是刚刚我发出去的数据包的回应
# ESTABLISHED 已建立的链接状态，RELATED 该数据包与本机发出的数据包有关
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允许 icmp 包通过，也就是允许 ping
-A INPUT -p icmp -j ACCEPT

# 这条很重要，针对本机内部接口开放！
-A INPUT -i lo -j ACCEPT


# 放行 22 端口
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT


# 这两条的意思是在 INPUT 表和 FORWARD 表中拒绝所有其他不符合上述任何一条规则的数据包
# 并且发送一条 host prohibited 的消息给被拒绝的主机
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

# 提交
COMMIT

3、iptables 规则

iptables [-t tables] [-L] [-nv]

参数说明

-t：后面接表，例如 nat 或 filter，若省略此项目，则使用默认filter表
-L：列出目前表规则
-n：不进行 IP 与 HOSTNAME 的反查，显示讯息的速度会快很多
-v：列出更多的信息，包括通过该规则的封包总位数、相关的网络接口等

（1）直接命令行操作

这种方法，规则会立即生效，但是电脑重启后会失效，这时就需要执行 service iptables save 进行保存，默认文件保存的路径： /etc/sysconfig/iptables

# 查看 filter 表的规则
# filter 表包含 INPUT、OUTPUT、FORWARD 三个规则链
iptables -n -L

# 查看 nat 表的规则
iptalbes -t nat -nL

# 放行 80 端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# 显示行号
iptables -nL --line

# 删除 filter 表，INPUT链 行号 1 的规则
iptables -D INPUT 1

# 删除 nat 表, POSTROUTING 链 行号 1 的规则
iptables -t nat -D POSTROUTING 1

（2）我们可以直接编辑 /etc/sysconfig/iptables 这个文件

值得注意的是这种方法，不需要运行 service iptables save 命令，直接运行 service iptables restart 即可以生效！service iptables save 本质上也是执行的保存到 /etc/sysconfig/iptables 这个文件

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [24:3232]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT


-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

# ---自定义规则 START ---

# 放行 443 端口 
iptables -A INPUT -p tcp --dport 443 -j ACCEPT  

# 禁止 整个网段
iptables -A INPUT -s 35.61.78.0/24 -j DROP

# 禁止 35.61.78.109 访问
iptables -A INPUT -s 35.61.78.109/32 -j DROP

# ---自定义规则 END ---


-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT