62 iptables扩展匹配

iptables

​ 4表：

​ raw,mangle,nat,filter

​ 5链

​ preouting，input,forward,output,postrouting

​ 扩展匹配：

​ -p protocol

​ tcp,udp,icmp

​ -m tcp

​ 参数----表-----源------目的–端口—协议----动作

iptables -A INPUT -s 0/0 -d 192.168.113.150 -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -s 192.168.113.150 -p tcp --sport 22 -j ACCEPT

iptables -A INPUT -s 0/0 -d 192.168.113.150 -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -s 192.168.113.150 -p tcp --sport 80 -j ACCEPT

iptables -A INPUT -s 192.168.113.150 -p tcp -m mutliport --dports 22,80 -j ACCEPT

iprang

​ --src-range

 iptables -A INPUT 3 -d 192.168.113.150 -p tcp --dport 23 -m iprange 192.168.113.1-192.168.113.130  -m time --timestart 09:00:00 --timestop 18:00:00 --weekdays 1,2,3,4,5  -j ACCEPT

tcp-flag

标志位匹配

​ --tcp-flags

​ syn，ack,rst,syn,fln

iptables -N WUXIAO  #创建
iptables -A WUXIAO -p tcp --tcp-flags ALL ALL -j REJECT
iptables -A WUXIAO -p tcp --tcp-flags ALL NONE -j REJECT  #链动作
iptables -I INPUT 4 -j WUXIAO  #调用

udp

​ --sport

​ --dport

​ -m string

​ -algo bm|kmp 算法

​ --string 匹配字符串

iptables -i INPUT -s 192.168.113.150 -d 0/0 -p tcp -m string  -algo bm --string "123"   -j REJECT

time

​ --datestart -mm-dd-hh

​ --datestop -mm-dd-hh

​ --timestart hh:mm

​ --timestop hh:mm

iptables -A INPUT -s 192.168.113.129 -d 0/0   -p  tcp --dport 23  -m time --timestart 09:00:00 --timestop 18:00:00 --weekdays 1,2,3,4,5  -j ACCEPT

connlimit

​ 客户端发起的连接数量

​ --connlimit-upto 小于等于

​ --connlimit-above

iptables -A INPUT -s 0/0 -d 192.168.113.129 -p tcp --dport 22 -m connlimit --connlimit-upto 1 -j ACCEPT

state

cat /proc/sys/net/nf_contrack  #查看支持的追踪连接数
[root@node1 ~]# cat /proc/sys/net/netfilter/nf_conntrack_max
31184
[root@node1 ~]# vim /etc/sysctl.conf
nf_conntrack_max=666666

ftp的服务

1.内核加载nf_conntrack_ftp

modprobe nf_conntrack_ftp

2.放行命令

iptables -A INPUT -d X -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -s X -p tcp --sport 21 -m state --state NEW,ESTABLISHED -j ACCEPT

-A INPUT -p icmp -m state --state NEW,ESTABLISHED -j REJECT --reject-with icmp-port-unreachable

3.放行数据连接

iptables -A INPUT -d X -p tcp -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -s X -p tcp  -m state --state NEW,ESTABLISHED -j ACCEPT

保存

规则的有效期是kernel的生命周期

iptables-save >/tmp/fw 

加载保存的规则

iptables-restore </tmp/fw.sh

自动生效的规则：

1./etc/rc.d/rc.local  此目录下的脚本开机自动运行

iptables-restore </tmp/fw