iptables 学习总结--匹配条件(四)

最新推荐文章于 2024-07-26 10:07:20 发布
最新推荐文章于 2024-07-26 10:07:20 发布
阅读量1.3k 收藏 1
点赞数
分类专栏： 网络技术 文章标签： iptables

1.指定多个源地址(多个IP之间用,隔开)

iptables -t filter -A INPUT -s 192.168.1.111,192.168.1.110 -j ACCEPT

查看结果

[root@localhost ~]# iptables -t filter -vnxL INPUT
Chain INPUT (policy ACCEPT 57 packets, 3972 bytes)
    pkts      bytes target     prot opt in     out     source               destination
    6004   504336 ACCEPT     all  --  *      *       192.168.1.39         0.0.0.0/0
       0        0 ACCEPT     all  --  *      *       192.168.1.39         0.0.0.0/0
       0        0 ACCEPT     all  --  *      *       192.168.1.111        0.0.0.0/0
       0        0 ACCEPT     all  --  *      *       192.168.1.110        0.0.0.0/0

指定某个网段

iptables -t filter -F INPUT 
iptables -t filter -I INPUT -s 10.39.0.0/16 -j DROP

查看结果

[root@localhost ~]# iptables -t filter -vnxL INPUT
Chain INPUT (policy ACCEPT 37 packets, 2820 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 DROP       all  --  *      *       10.39.0.0/16         0.0.0.0/0

非(!)

iptables -t filter -F
iptables -t filter -A INPUT ! -s 10.39.0.123 -j DROP

11111

匹配目标地址

丢掉从192.168.1.39 发往192.168.1.61的报文

iptables -t filter -F 
iptables -t filter -A INPUT -s 192.168.1.39 -d 192.168.1.61 -j DROP
[root@localhost ~]# iptables -t filter -nvL INPUT
Chain INPUT (policy ACCEPT 108 packets, 7632 bytes)
 pkts bytes target     prot opt in     out     source               destination
   67  5628 DROP       all  --  *      *       192.168.1.39         192.168.1.61

不指定源地址

[root@localhost ~]# iptables -t filter -R INPUT 1  -d 192.168.1.61 -j DROP

11

匹配协议类型-p tcp(dup,icmp)

root@localhost ~]# iptables -t filter -I INPUT -s 192.168.1.39 -d 192.168.1.61 -p udp -j DROP
[root@localhost ~]# iptables -t filter -nxvL INPUT --line
Chain INPUT (policy ACCEPT 20 packets, 1560 bytes)
num      pkts      bytes target     prot opt in     out     source               destination
1           0        0 DROP       udp  --  *      *       192.168.1.39         192.168.1.61

匹配网卡-i(-o) interface

iptables -t filter -A INPUT -i enp0s8 -s 192.168.1.34 -j ACCEPT
[root@localhost ~]# iptables -t filter -A INPUT -i enp0s8 -s 192.168.1.34 -j ACCEPT
[root@localhost ~]# iptables -t filter -nxvL INPUT --line
Chain INPUT (policy ACCEPT 13 packets, 972 bytes)
num      pkts      bytes target     prot opt in     out     source               destination
1           0        0 ACCEPT     all  --  enp0s8 *       192.168.1.34         0.0.0.0/0

扩展匹配条件

匹配端口--dport port(--sport port) -m 表示模块

[root@localhost ~]# iptables -t filter -A INPUT -s 192.168.1.39 -p tcp -m tcp --dport 22 -d 192.168.1.61 -j REJECT
[root@localhost ~]# iptables -t filter -nvL INPUT
Chain INPUT (policy ACCEPT 87 packets, 6492 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 REJECT     tcp  --  *      *       192.168.1.39         192.168.1.61         tcp dpt:22 reject-with icmp-port-unreachable

结果

[root@fabric-cli ~]# ssh 192.168.1.61
ssh: connect to host 192.168.1.61 port 22: Connection refused
root@localhost ~]# iptables -t filter -nvL INPUT
Chain INPUT (policy ACCEPT 7 packets, 488 bytes)
 pkts bytes target     prot opt in     out     source               destination
    1    60 REJECT     tcp  --  *      *       192.168.1.39         192.168.1.61         tcp dpt:22 reject-with icmp-port-unreachable
    0     0 ACCEPT     tcp  --  *      *       192.168.1.39         192.168.1.61         tcp spt:22

匹配连续的某个范围的端口

iptables -t filter -A INPUT -s 192.168.1.61 -d 192.168.1.39 -p tcp --dport 22:25 -j ACCEPT

[root@localhost ~]# iptables -t filter -nvL INPUT
Chain INPUT (policy ACCEPT 89 packets, 7158 bytes)
 pkts bytes target     prot opt in     out     source               destination
    2   120 REJECT     tcp  --  *      *       192.168.1.39         192.168.1.61         tcp dpt:22 reject-with icmp-port-unreachable
    0     0 ACCEPT     tcp  --  *      *       192.168.1.39         192.168.1.61         tcp spt:22
    0     0 ACCEPT     tcp  --  *      *       192.168.1.61         192.168.1.39         tcp dpts:22:25

匹配离散的多个端口(-m multiport --dports)

iptables -t filter -A INPUT -s 192.168.1.111 -p tcp -m multiport --dports 49,36,80 -j ACCEPT
[root@localhost ~]# iptables -t filter -nvL INPUT
Chain INPUT (policy ACCEPT 9 packets, 636 bytes)
 pkts bytes target     prot opt in     out     source               destination
    2   120 REJECT     tcp  --  *      *       192.168.1.39         192.168.1.61         tcp dpt:22 reject-with icmp-port-unreachable
    0     0 ACCEPT     tcp  --  *      *       192.168.1.39         192.168.1.61         tcp spt:22
    0     0 ACCEPT     tcp  --  *      *       192.168.1.61         192.168.1.39         tcp dpts:22:25
    0     0 ACCEPT     tcp  --  *      *       192.168.1.111        0.0.0.0/0            multiport dports 49,36,80

iprange扩展模块(--src-range,--dst--range)

[root@localhost ~]# iptables -t filter -F INPUT


iptables -t filter -I INPUT -m iprange --src-range 192.168.1.1-192.168.1.34 -j ACCEPT

[root@localhost ~]# iptables -t filter -nvL INPUT
Chain INPUT (policy ACCEPT 1 packets, 76 bytes)
 pkts bytes target     prot opt in     out     source               destination
   15  1080 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            source IP range 192.168.1.1-192.168.1.34

string 模块(-m string --algo bm(kmp) --string "CICD")
含有HEllO WORLD的报文就会拒绝

iptables -t filter -I INPUT -m string --algo bm  --string "HEllO WORLD" -j REJECT

[root@localhost ~]# iptables -t filter -nvxL INPUT
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            STRING match  "HEllO WORLD" ALGO name bm TO 65535 reject-with icmp-port-unreachable
      56     4411 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            source IP range 192.168.1.1-192.168.1.34

time 模块(-m time --timestart 09:00:00 --timestop 18:00:00)

[root@localhost ~]# iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --timestart 09:00:00 --timestop 18:00:00 -j REJECT
[root@localhost ~]# iptables -t filter -nvxL INPUT
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            STRING match  "HEllO WORLD" ALGO name bm TO 65535 reject-with icmp-port-unreachable
     285    20569 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            source IP range 192.168.1.1-192.168.1.34
[root@localhost ~]# iptables -t filter -nvxL OUTPUT
Chain OUTPUT (policy ACCEPT 19 packets, 2600 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 TIME from 09:00:00 to 18:00:00 UTC reject-with icmp-port-unreachable
[root@localhost ~]# iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --weekdays 6,7 -j REJECT
[root@localhost ~]# iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --monthdays 6,7 -j REJECT
[root@localhost ~]# iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --datestart 2018-12-24 --datestop 2018-12-28 -j REJECT

connlimit模块--connlimit-above

[root@localhost ~]# iptables -t filter -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 2 -j REJECT
[root@localhost ~]# iptables -t filter -nvxL INPUT
Chain INPUT (policy ACCEPT 19 packets, 1376 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 #conn src/32 > 2 reject-with icmp-port-unreachable
root@localhost ~]# iptables -t filter -I INPUT -p tcp --dport 80 -m connlimit ! --connlimit-above 2 -j REJECT
[root@localhost ~]# iptables -t filter -nvxL INPUT
Chain INPUT (policy ACCEPT 7 packets, 488 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 #conn src/32 <= 2 reject-with icmp-port-unreachable
       0        0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 #conn src/32 > 2 reject-with icmp-port-unreachable
[root@localhost ~]# iptables -t filter -I INPUT -p tcp --dport 80 -m connlimit ! --connlimit-above 2  --connlimit-mask 27 -j REJECT
[root@localhost ~]# iptables -t filter -nvxL INPUT
Chain INPUT (policy ACCEPT 14 packets, 1357 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 #conn src/27 <= 2 reject-with icmp-port-unreachable
       0        0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 #conn src/32 <= 2 reject-with icmp-port-unreachable
       0        0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 #conn src/32 > 2 reject-with icmp-port-unreachable

limit扩展模块(–limit-brust)
限制每秒流入的包的数量

[root@localhost ~]# iptables -t filter -I INPUT -p icmp -m limit --limit 10/minute -j ACCEPT
[root@localhost ~]# iptables -t filter -nvxL INPUT
Chain INPUT (policy ACCEPT 9 packets, 636 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 10/min burst 5

tcp 扩展模块 –tcp-flags

tcp头的结构
tcp

匹配tcp第一次握手的报文

[root@localhost ~]# iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT

[root@localhost ~]# iptables -t filter -nvxL INPUT
Chain INPUT (policy ACCEPT 10 packets, 712 bytes)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22 flags:0x3F/0x02 reject-with icmp-port-unreachable
       0        0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 10/min burst 5

–tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN 这个的意思是要匹配SYN,ACK,FIN,RST,URG,PSH这五个标志为，且SYN为1的报文

匹配tcp第二次握手的报文

[root@localhost ~]# iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT

上述可以简写成
用ALL来表示SYN,ACK,FIN,RST,URG,PSH

[root@localhost ~]# iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags ALL SYN-j REJECT
[root@localhost ~]# iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags ALL SYN,ACK -j REJECT

匹配tcp新建请求链接的报文

iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --syn -j REJECT

参考
匹配条件
iprange

qinzhao168
关注
专栏目录
iptables深度总结--基础篇_iptables input output forward
2401_84166458的博客
04-09 864
链：INPUT OUTPUT FORWARD PREROUTING POSTROUTING表：filter、nat、mangle、raw、security数据报文刚进网卡，还没有到路由表的时候，先进行了prerouting，进入到路由表，通过目标地址判断出来，如果是给自己发的，就直接INPUT，如果是通过自己到转发别的目标的，就进行forward。如果是访问本机的，那么经过INPUT之后，需要往外出，那么就会用到OUTPUT链。OUTPUT出去之后就要查询路由表，就和forward chain汇总到一个出口
iptables 防火墙（一）| 四表/五链、数据包匹配流程、编写 iptables 规则
开源世界
06-23 1035
一名致力于在技术道路上的终身学习者、实践者、分享者，一位忙起来又偶尔偷懒的原创博主，一个偶尔无聊又偶尔幽默的少年。 一、Linux 防火墙基础 Linux防火墙主要工作在网络层，针对 TCP/IP 数据包实施过滤和限制，典型的包过滤防火墙，基于内核编码实现，具有非常稳定的性能和高效率。 iptables：用来管理 Linux 防火墙的命令程序，位于/sbin/iptables目录下，属于用户空间的防火墙管理体系。 netfilter：Linux 内核中实现包过滤防火墙的内部结构，一般不以程序或文件的形式存在
iptables匹配条件
weixin_53150440的博客
09-26 500
iptables匹配条件，怎么不登录它机器，看到它的mac地址？arp协议
IPtables 匹配条件
小楼一夜听春雨，深巷明朝卖杏花
08-30 1745
规则从上到下匹配，如果IP来源10.0.0.1符合规则，那么下面规则就不执行了，如果来源于其他规则不满足，那么就走下面，任何地址到本机的22都拒绝。如果不符合这条drop的规则，那么就继续往下去匹配，下面没有规则就回到链的默认规则，默认规则是ACCEPT，只要没有符合这条规则，那么就都允许。drop就是什么消息都不返回，reject就会返回因为防火墙阻止了，也就是一个会返回消息，一个不会返回消息。仅允许'10.0.0.1'访问'10.0.0.200'服务器的'22'端口、其他地址全部拒绝。......
一文详解iptables基础知识
最新发布
u011029104的专栏
07-26 711
iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置 iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工 作原理，你会发现其实它很简单。首先介绍iptables的结构：iptables -> Tables -> Chains -> Rules. 简单地讲，tables由chains组成，而chains又由rules组成。如下图所示。
iptables学习总结
qq_35251736的博客
04-18 4335
iptables 文章目录iptables1. 防火墙相关概念1.1 逻辑区分1.2 物理区分2. iptables和netfilter2.1 iptables和netfilter的关系2.2 netfilter的作用3. 报文流向4. 关卡，链与表4.1 关卡4.2 链4.3 表5. 规则5.1 规则查询5.1.1 查询表中的所有链5.1.2 查询表中的指定链5.2 规则管理5.2.1 规则添加5.2.2 规则删除5.2.2.1 编号删除5.2.2.2 匹配条件与动作删除5.2.2.3 全链删除5.2.2
iptables详解（4）：iptables匹配条件总结之一
servepeople的博客
02-22 468
经过前文的总结，我们已经能够熟练的管理规则了，但是我们使用过的"匹配条件"少得可怜，之前的示例中，我们只使用过一种匹配条件，就是将"源地址"作为匹配条件。 那么这篇文章中，我们就来了解一下更多的匹配条件，以及匹配条件的更多用法。 注意：在参照本文进行iptables实验时，请务必在个人的测试机上进行，因为如果iptables规则设置不当，有可能使你无法连接到远程主机中。 匹配条件的更多用法 还是从...
iptables 过滤条件(Matches)
weixin_30483697的博客
07-13 256
iptables可让你设置多种过滤条件，但是某些条件需要核心有提供相关功能才行。Iptables本身內建一般性的Internet Protocol (IP) 过滤条件，也就是說，即时沒载入任何扩充模组，你也可以用IP包标头的「传输协定类型」、「来源位址」、「目的地位址」等栏位为过滤条件。关於一般性的IP过滤条件，请参閱《IPv4过滤条件》。 除了IP之外的其它协定，诸如ICMP、TCP、UD...
iptables深度总结--基础篇_iptables input output forward(3)
m0_63102527的博客
04-07 755
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！
iptables学习
麦子地的专栏
11-08 497
iptables学习iptables概述iptables全称：netfilter/iptables，IP信息包过滤系统，它实际上由两个组件netfilter 和 iptables 组成。 netfilter 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。 iptables 组件是一种工具，也称为用户空间（use
# 第五课 k8s网络基础学习-iptables和TCP协议
QnHyn
06-09 556
iptables和TCP协议
Linux使用iptables限制多个IP访问你的服务器
09-15
iptables是一个管理netfilter的工具。这篇文章主要介绍了Linux使用iptables限制多个IP访问你的服务器的相关知识,需要的朋友可以参考下
linux增加iptables防火墙规则的示例
01-10
以下是我的iptables设置 代码如下: *filter:INPUT DROP [0:0]:FORWARD ACCEPT [0:0]:OUTPUT ACCEPT [49061:9992130]-A INPUT -i lo -j ACCEPT   不开启会有很多服务无法使用，开启回环地址-A INPUT -p icmp -j ACCEPT   允许icmp包通过,也就是允许别人ping自己-A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p tcp -m tcp –dport 21 -j ACCEPT-A INPU
iptables匹配string
redwingz的博客
05-15 3239
string匹配帮助信息如下。其中模式匹配算法可指定bm（Boyer-Moore）或者kmp（Knuth-Pratt-Morris）。选项icase表示在匹配时忽略大小写。 # iptables -m string -h string match options: --from Offset to start searching from --to Offset to stop searching --algo
【网络教程】Iptables官方教程-学习笔记5--IPTABLES MATCH
jackhh1的博客
11-20 2097
这篇博客介绍iptables和netfilter中所有可用的匹配，章节比较厂，没必要去学习每个匹配的具体细节，大致了解下即可，后续要用到再深入掌握它。
iptables match模块扩展 数据传递（用户空间 -> 内核空间）
sidemap的博客
11-13 1554
大致过程： 首先，通过iptables命令将使用扩展模块的相关策略添加。例如：iptables -t mangle -A OUTPUT -p icmp -m pktsiz --size 100:200 -j DROP 其次，当接收到网络数据，内核对相关协议（IPV4）相关表（mangle）相关链（OUTPUT）..扩展模块（pktsize）进行匹配，对符合规则的进行相关的动作。 实装过程： ...
解析Linux下Netfilter & iptables：开发一个match模块
chengfangang的专栏
03-19 5002
http://www.bairimeng.net/2012/11/27/netfilter_iptables_matc/ 一、说明 最近的项目需要软件组基于Netfilter和iptables开发Linux内核模块，以完成一系列防火墙功能，说白了防火墙就是过滤规则。 为了熟悉Netfilter和iptables的开发，于是开发过程中写下这篇笔记，以达到温故知新的作用。 （盗图自
Iptables防火墙string模块扩展匹配规则
11
01-28 490
经常应用于拦截用户访问某些网站的场景，将防火墙当做路由器使用，例如上班时间不允许用户访问淘宝网站等等场景。4）测试效果，发现hahaha的页面可以正常访问，taobao.com页面的请求将被拦截。案例：当用户请求的数据报文中包含taobao.com，则拒绝通行，其余的正常放行。2）编写防火墙规则，拒绝数据包中包含taobao.com内容的数据包。1）首先来准备含有taobao.com数据报文的WEB网站。String模块的作用是来匹配请求报文中指定的。3）查看设置的防火墙规则。
Iptables 扩展模块 string|time 模块
小楼一夜听春雨，深巷明朝卖杏花
09-11 2355
所以prerouting就送给forward，那么就在forward上面做策略，如果符合JD那么就拒绝，到不了postingrouting上面去，那么这样就到不了服务器，这就是基于关键字做条件判断，如果符合预期则允许。因为请求经过prerouting送input，input构建响应报文，构建了通过output出去，构建响应报文里面带的关键字有video，那么我要在output上将其关闭掉，这样你去请求video是永远没有办法访问的。在请求我的时候做不了任何的策略，但是在响应的时候可以做策略和规则的匹配。
条件取反_iptables系列------第四篇：iptables匹配条件总结之一
06-01
好的，让我来给你总结一下iptables的常见匹配条件： 1. 匹配协议：使用 `-p` 参数指定协议，常见协议包括 TCP、UDP、ICMP等，例如： ``` # 匹配 TCP 协议 iptables -A INPUT -p tcp --dport 22 -j ACCEPT ``` 2. 源/目标地址：使用 `-s` 和 `-d` 参数指定源地址和目标地址，例如： ``` # 允许来自 IP 地址为 192.168.1.100 的主机访问 SSH 服务 iptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT # 允许向 IP 地址为 192.168.1.100 的主机发送 HTTP 请求 iptables -A OUTPUT -d 192.168.1.100 -p tcp --dport 80 -j ACCEPT ``` 3. 匹配端口：使用 `--dport` 和 `--sport` 参数指定目标端口和源端口，例如： ``` # 允许访问 SSH 服务 iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 允许从本地主机向远程主机发送 HTTP 请求 iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT ``` 4. 匹配数据包的状态：使用 `--state` 参数指定数据包的状态，例如： ``` # 允许已经建立的 TCP 连接通过 iptables -A INPUT -p tcp --dport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT # 允许 ICMP 数据包通过 iptables -A INPUT -p icmp -m state --state NEW -j ACCEPT ``` 5. 匹配 MAC 地址：使用 `-m mac --mac-source` 参数指定源 MAC 地址，例如： ``` # 允许来自 MAC 地址为 00:11:22:33:44:55 的主机访问 SSH 服务 iptables -A INPUT -p tcp --dport 22 -m mac --mac-source 00:11:22:33:44:55 -j ACCEPT ``` 这些是iptables的常见匹配条件，希望能对你有所帮助。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值