Linux之Iptables模块使用

Iptables模块

• 拓展iptables的功能的。

• -m : 指定模块

1、连续匹配多个端口（multiport）

–dports : 指定多个端口(不同端口之间以逗号分割，连续的端口使用冒号分割)。

案例: 要求将22,80,443以及30000-50000之间所有的端口向外暴露，其他端口拒绝
	iptables -t filter -A INPUT -p TCP -m multiport --dports 22,80,443,30000:50000 -j ACCEPT
	iptables -f filter -A INPUT -p TCP -j DROP

2、指定一段连续的ip地址范围(iprange)

• –src-range from[-to]: 源地址范围
• –dst-range from[-to] 目标地址范围

案例: 要求192.168.15.1 - 192.168.15.10之间的所有IP能够连接192.168.15.81，其他拒绝
	iptables -t filter -A INPUT -p TCP -m iprange --src-range 192.168.15.1-192.168.15.10 -j ACCEPT 
	iptables -f filter -A INPUT -p TCP -j DROP

3、匹配指定字符串(string)

• –string pattern # 指定要匹配的字符串
• –algo {bm|kmp} # 匹配的查询算法

案例: 要求访问数据包中包含HelloWorld的数据不允许通过。
	iptables -t filter -A INPUT -p TCP -m string --string "HelloWorld" --algo kmp -j DROP

4、根据时间段匹配报文(time)

--timestart hh:mm[:ss]		# 开始时间
--timestop hh:mm[:ss]		# 结束时间
--monthdays day[,day...]	# 指定一个月的某一天
--weekdays day[,day...]		# 指定周 还是  周天 

案例: 要求每天的12到13之间，不允许访问
	iptables -t filter -A INPUT -p TCP -m time  --timestart 4:00   --timestop 5:00 -j DROP
	
	必须使用UTC时间

5、禁ping, 默认本机无法ping别人 、别人无法ping自己

--icmp-type {type[/code]|typename}
	echo-request  (8) 请求 
	echo-reply    (0) 回应

案例: 要求别人不能ping本机，但是本机可以ping别人
	iptables -t filter -A INPUT -p TCP -m icmp --icmp-type "echo-request" -j DROP

6、限制链接数，并发连接数（connlimit）

--connlimit-upto n		#  如果现有连接数小于或等于  n  则 匹配
--connlimit-above n		#  如果现有连接数大于n 则匹配

案例: 要求主机连接最多有2个
	iptables -t filter -A INPUT -p TCP --dport 22 -m connlimit --connlimit-above 2 -j DROP

7、针对 报文速率 进行限制。 秒、分钟、小时、天。

--limit rate[/second|/minute|/hour|/day] # 报文数量 
 --limit-burst number  # 报文数量（默认：5）

案例: 要求限制速率在500k/s左右
	iptables -t filter -A OUTPUT -p TCP -m limit --limit 333/s -j ACCEPT
	iptables -t filter -A OUTPUT -p TCP -j DROP