Iptables常用命令详解

参考：https://www.cnblogs.com/metoy/p/4320813.html
参考：https://www.cnblogs.com/fanweisheng/p/11130214.html

四表五链：

四表：
raw：关闭nat表上启用的链接追踪机制
PREROUTING,OUTPUT

mangle：报文的修改
PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING

nat：地址转换
PREROUTING,INPUT,OUTPUT,POSTROUTING

filter:实现包过滤
INPUT,FOREARD,OUTPUT

五链：PREROUTING,INPUT,FORWARD,OUTPUT,POSTROUTING

配置转发功能

vi /etc/sysctl.conf  #添加或修改
net.ipv4.ip_forwaed=1
sysctl -p

常用命令

命令结构：
iptables [-t table] COMMAND chain [rulenum] [-m matchename] [per-match-options] [-] targetname [per-target-options] [options]

##查看命令
iptables -nL
iptables -nL --line-number 
iptables -t nat -nL --line-number

###删除
iptables -t nat -D PREROUTING （number）
iptables -t nat -F(清空所有nat表规则)
iptables -t filter -F INPUT  清空filter表INPUT链中的所有规则

##添加
放开端口：
iptables -t filter -A INPUT -p tcp --dport 443 -j ACCEPT
配置DNAT
将本机程序访问10.254.251.126 11002 的流量修改为访问 192.168.96.19:11002
iptables -t nat -A OUTPUT  -d 10.254.251.126 -p tcp --dport 11002 -j DNAT --to-destination 192.168.96.19:11002

将从从外部收到的，访问本机 3389的流量，代理到192.168.96.19:3389
路由前链修改：
iptables -t nat -A PREROUTING -p tcp --dport 3389 -j DNAT --to-destination 192.168.96.19:3389
iptables -t nat -A POSTROUTING -p tcp -d 192.168.96.19 --dport 3389 -j SNAT --to-source 192.168.5.52


常用选项：
-A末尾添加
-D删除
-I在指定链中插入(默认第一行添加)
-L 查看
处理包的方式：
-j target
ACCEPT 允许数据包通过
DROP   直接丢弃数据包，不给任何回应信息
REJECT 拒绝数据包通过，必要时会给数据发送端一个响应的信息。
LOG    在/var/log/messages文件中记录日志信息
RETURN 结束在目前规则链中的过滤程序，返回主规则链继续过滤
SNAT   改写封包来源 IP 为某特定 IP 或 IP 范围
DNAT   改写封包目的地 IP 为某特定 IP 或 IP 范围
MARK： 将封包标上某个代号，以便提供作为后续过滤的条件判断依据
REDIRECT   将封包重新导向到另一个端口
MASQUERADE 改写封包来源 IP 为防火墙 NIC IP
QUEUE：  中断过滤程序，将封包放入队列，交给其它程序处理。
         通过自行开发的处理程序，可以进行其它应用，例如：计算连接费用等
MIRROR： 镜射封包，也就是将来源 IP 与目的地 IP 对调后，将封包送回，
         进行完此处理动作后，将会中断过滤程序


eg:(没有加-t选项，默认是filter表)
iptables -A INPUT -p tcp --dport 33 -j ACCEPT

##保存
service iptables save
iptables-save
##重载上一次保存配置
iptables-restore

自定义链表

释义：针对某个服务，统一定义规则，形成规则集合
创建自定义链
iptables -t filter -N IN_WEB
给自定义的链添加规则
iptables -t filter -A IN_WEB -s 192.168.1.1 -j REJECT
引用自定义链
iptables -t filter -A INPUT -p tcp --dport 22  -j IN_WEB
重命名自定义链
iptables -E IN_WEB WEB
删除自定义链
iptables -X WEB