【iptables】简介、命令参数、示例

已于 2024-08-06 10:09:19 修改
阅读量848 收藏 29
点赞数 23
分类专栏： 网络运维 文章标签： 网络 linux
于 2024-08-05 22:02:26 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_65837674/article/details/140937723
版权

定义

       iptables 是一个用于配置 Linux 内核中的网络包过滤规则的用户空间工具。它是 Linux 操作系统中实现防火墙功能的主要工具之一，基于 Netfilter 框架（Linux包过滤组件）工作。通过 iptables，系统管理员可以定义规则来控制网络流量的进出。
       包过滤防火墙的原理：检测数据包的 IP 五元组字段信息，然后根据规则执行允许/拒绝/丢弃等动作。

主要功能

  1. 包过滤：iptables 可以根据源 IP 地址、目的 IP 地址、端口号、协议类型等条件过滤网络数据包。
  2. 网络地址转换（NAT）：iptables 支持网络地址转换功能，包括源地址转换（SNAT）和目的地址转换（DNAT），用于实现网络地址的重写。
  3. 状态检测：iptables 支持状态检测（Stateful Inspection），可以根据连接状态（如新建连接、已建立连接等）来过滤数据包。
  4. 日志记录：iptables 可以记录匹配特定规则的数据包日志，便于系统管理员进行网络监控和故障排查。

基本概念

表（Table）链（Chain）

       iptables 中有多个表，表就像是容器，每个表包含多个链，链是规则的集合。常见的表和链包括：
1、filter：默认表，用于数据包过滤：

  • INPUT：处理进入本地系统（iptalbes的当前计算机）的数据包。
  • OUTPUT：处理从本地系统发出的数据包。
  • FORWARD：处理转发的数据包。

2、nat：用于网络地址（源/目的）转换：

  • OUTPUT
  • PREROUTING：在数据包路由前处理。
  • POSTROUTING：在数据包路由后处理。

3、mangle：用于修改数据包（包重构），如修改 ttl 值等。

  • PREROUTING
  • POSTROUTING
  • INPUT
  • OUTPUT
  • FORWARD

4、raw：用于配置数据包的处理方式（数据跟踪），符合raw表所对应规则的数据包将会跳过一些检查，用以提高效率。

  • PREROUTING
  • OUTPUT

规则（Rule）

每个链包含多个规则，每条规则定义了匹配条件和相应的动作。常见的动作包括：

  1. ACCEPT：允许数据包通过。
  2. DROP：丢弃数据包。
  3. REJECT：拒绝数据包并发送 ICMP 错误消息。
  4. LOG：记录数据包日志。

Filter 表详解

Filter 表是最常用的规则表，下面参考它的数据处理流程图：
在这里插入图片描述

命令操作

基本语法：iptables (选项) (参数)

选项集合

-t, --table table 对指定的表 table 进行操作。如果不指定此选项，默认的是 filter 表。

通用匹配：源地址目标地址的匹配：

-p：指定要匹配的数据包协议类型；
-s, --source [!] address[/mask] ：把指定的一个／一组地址作为源地址，按此规则进行过滤。当后面没有 mask 时，address 是一个地址，比如：192.168.1.1；当 mask 指定时，可以表示一组范围内的地址，比如：192.168.1.0/255.255.255.0。

-d, --destination [!] address[/mask] ：地址格式同上，但这里是指定地址为目的地址，按此进行过滤。

-i, --in-interface [!] <网络接口name> ：指定数据包的来自来自网络接口，比如最常见的 eth0 。注意：它只对 INPUT，FORWARD，PREROUTING 这三个链起作用。如果没有指定此选项， 说明可以来自任何一个网络接口。同前面类似，"!" 表示取反。

-o, --out-interface [!] <网络接口name> ：指定数据包出去的网络接口。只对 OUTPUT，FORWARD，POSTROUTING 三个链起作用。


查看管理命令：

-L, --list [chain] 列出链 chain 上面的所有规则，如果没有指定链，列出表上所有链的所有规则。

规则管理命令：

-A, --append chain rule-specification 在指定链 chain 的末尾插入指定的规则，也就是说，这条规则会被放到最后，最后才会被执行。规则是由后面的匹配来指定。

-I, --insert chain [rulenum] rule-specification 在链 chain 中的指定位置插入一条或多条规则。如果指定的规则号是1，则在链的头部插入。这也是默认的情况，如果没有指定规则号。

-D, --delete chain rule-specification -D, --delete chain rulenum 在指定的链 chain 中删除一个或多个指定规则。
-R num：Replays替换/修改第几条规则


链管理命令（这都是立即生效的）：
-P, --policy chain target ：为指定的链 chain 设置策略 target。注意，只有内置的链才允许有策略，用户自定义的是不允许的。

-F, --flush [chain] 清空指定链 chain 上面的所有规则。如果没有指定链，清空该表上所有链的所有规则。

-N, --new-chain chain 用指定的名字创建一个新的链。
-X, --delete-chain [chain] ：删除指定的链，这个链必须没有被其它任何规则引用，而且这条上必须没有任何规则。如果没有指定链名，则会删除该表中所有非内置的链。

-E, --rename-chain old-chain new-chain ：用指定的新名字去重命名指定的链。这并不会对链内部造成任何影响。
-Z, --zero [chain] ：把指定链，或者表中的所有链上的所有计数器清零。

-j, --jump target <指定目标> ：即满足某条件时该执行什么样的动作。target 可以是内置的目标，比如 ACCEPT，也可以是用户自定义的链。

-h：显示帮助信息；

参数集合

参数作用
-P设置默认策略:iptables -P INPUT (DROP
-F清空规则链
-L查看规则链
-A在规则链的末尾加入新规则
-Inum 在规则链的头部加入新规则
-Dnum 删除某一条规则
-s匹配来源地址IP/MASK，加叹号"!"表示除这个IP外
-d匹配目标地址
-i网卡名称 匹配从这块网卡流入的数据
-o网卡名称 匹配从这块网卡流出的数据
-p匹配协议,如tcp,udp,icmp
–dport num匹配目标端口号
–sport num匹配来源端口号

配置示例

没有指定表（-t [table]），默认就是 filter 表。

配置白名单：
iptables -A INPUT -p all -s 192.168.1.0/24 -j ACCEPT  # 允许机房内网机器可以访问
iptables -A INPUT -p all -s 192.168.140.0/24 -j ACCEPT  # 允许机房内网机器可以访问
iptables -A INPUT -p tcp -s 183.121.3.7 --dport 3380 -j ACCEPT # 允许183.121.3.7访问本机的3380端口

开启相应端口服务
iptables -A INPUT -p tcp --dport 80 -j ACCEPT # 开启80端口，因为web对外都是这个端口
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT # 允许被ping
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 已经建立的连接得让它进来

iptables 和 firewalld 的一点区别

设计理念

iptables:
  1. iptables 是一个基于命令行的工具，直接与 Netfilter 框架交互。
  2. 规则是静态的，需要手动添加、删除和修改。
  3. 配置文件通常是脚本文件，规则的更改需要重新加载整个规则集。
firewalld:

firewalld 是一个动态防火墙管理工具，提供了更高级别的抽象和更灵活的配置方式。使用 D-Bus 接口进行配置，支持动态更改规则而无需重新加载整个规则集。
提供了区域（zone）和服务（service）的概念，简化了复杂网络环境下的防火墙配置。

区域和服务

iptables:
  1. 没有区域和服务的概念，所有规则都是全局的。
  2. 需要手动管理和分类规则，可能会导致配置复杂性增加。
firewalld:
  1. 引入了区域（zone）的概念，每个区域可以有不同的规则集，适用于不同的网络环境（如家庭、工作、公共等）。
  2. 支持服务（service）的概念，可以通过服务名称来管理规则，而不是直接使用端口号和协议。
  3. 提供了预定义的区域和服务，简化了防火墙配置。
网工吉吉
关注
  • 23
    点赞
  • 踩
  • 29
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Iptables简介与示例
野先生的专栏
06-10 441
Iptables,iptables,netfilter介绍,包过滤型防火墙： Firewall,软件防火墙,主机防火墙
Linux命令详解：iptables 命令
morgan363的专栏
03-27 1156
iptables 是组成 Linux 平台下的包过滤防火墙，与大多数的 Linux 软件一样，这个包过滤防火墙是免费的，它可以替代昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。在日常 Linux 运维工作中，经常会设置 iptables 防火墙规则，用来加固服务安全。
iptables常用命令小清单
琦彦
03-23 7863
iptables常用命令小清单 iptables简介 iptables 是集成在 Linux 内核中的包过滤防火墙系统。使用 iptables 可以添加、删除具体的过滤规则，iptables 默认维护着 4 个表和 5 个链，所有的防火墙策略规则都被分别写入这些表与链中。 **“四表”**是指 iptables 的功能，默认的 iptable s规则表有 filter 表（过滤规则表）、nat 表（地址转换规则表）、mangle（修改数据标记位规则表）、raw（跟踪数据表规则表）： filter 表：控制
iptables命令详解
ZBraveHeart的博客
03-22 4967
Netfilter框架在Linux内核中通过一系列的钩子（hooks）实现数据包处理的不同阶段，iptables就可以通过这些钩子来插入自定义的规则，从而实现对数据包的控制。在Linux环境下，iptables就是一款强大而灵活的防火墙工具，它为系统管理员提供了广泛的配置选项，能够有效地控制数据包的流动，实现网络访问的控制和安全性增强。这个命令将通过本机出口的TCP数据包的目标端口为80的流量转发到192.168.1.200，而不改变目标端口。它可以用于改变数据包的目标地址，源地址，目标端口或源端口。
iptables 常用命令示例
weixin_30919571的博客
05-23 220
一、常用命令示例： 1、命令 -A, --append 范例：iptables -A INPUT -p tcp --dport 80 -j ACCEPT 说明 ：新增规则到INPUT规则链中，规则时接到所有目的端口为80的数据包的流入连接，该规则将会成为规则链中的最后一条规则。 2、命令 -D, --delete 范例：iptables -D INPUT -p tcp --dport 8...
iptables(8) command
Dablelv 的博客专栏。
12-17 5174
iptables/ip6tables 是 IPv4/IPv6 包过滤和 NAT 的管理工具。iptables/ip6tables 命令是 Linux 上常用的防火墙软件，是netfilter项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。iptables/ip6tables 均是 xtables-multi 的软链。
Linux iptables常用命令
纸上得来终觉浅，绝知此事要躬行
10-12 1441
原文地址：https://www.cnblogs.com/ilinuxer/p/6364064.html 目录 0.安装ipatbles.service 1. 基本操作 查看 IPTABLES 版本 查看当前 IPTABLES 规则 查看帮助 2. iptables 规则中各指令（command）的含义 –APPEND -A –DELETE -D –INSERT -I –RE...
25个iptables常用示例
WEI的博客
03-11 190
本文将给出25个iptables常用规则示例，这些例子为您提供了些基本的模板，您可以根据特定需求对其进行修改调整以达到期望。 格式 iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型] 参数 -P 设置默认策略:iptables -P INPUT (DROP|ACCEPT) -F 清空规则链 -L 查看规则链 -A 在规则链的末尾加入新规则 -I nu...
iptables 命令说明
多头注意力探索Now
12-11 237
linux系统中防火墙组成部分理解说明
iptables指南 1.1.19
05-06
最后，文档提供了一系列脚本示例，这些脚本展示了如何在不同场景下应用iptables规则。例如，rc.firewall.txt脚本的结构解释了脚本的组织方式，而rc.DMZ.firewall.txt、rc.DHCP.firewall.txt等则分别针对特定网络架构...
附件_Linux系统iptables配置方法.pdf
05-08
1. 如果`service iptables save`命令不适用，可以使用`iptables-save`命令导出规则到文件中： ``` iptables-save > /bak/iptables ``` 这里`/bak/iptables`为自定义路径，存放规则备份。 2. 然后在iptables配置...
iptables脚本
06-15
用户可以方便地通过Web界面输入所需参数，脚本则根据这些参数动态生成iptables命令，并设置相应的规则。此外，脚本还支持默认策略的设置以及规则的保存与恢复，极大地提高了iptables规则管理的灵活性和便捷性。
Iptables 中文指南
07-23
修正和清空iptables的命令 B. 常见问题于与解答 B.1. 模块装载问题 B.2. 未设置SYN的NEW状态包 B.3. NEW状态的SYN/ACK包 B.4. 使用私有IP地址的ISP B.5. 放行DHCP数据 B.6. 关于mIRC DCC的问题 C. ICMP类型 ...
配置 Linux-iptables
10-20
filter表是默认使用的表，如果未明确指定其他表，则所有的iptables命令都会作用于filter表。 - **nat表**：主要用于实现网络地址转换(NAT)。它可以实现一对一、一对多或多对多的地址转换。nat表包含了PREROUTING、...
出省了为什么ip地址没变？怎么修改自己的ip地址变外省的
hgdlip的博客
08-14 777
在数字时代，IP地址作为网络世界中每台设备的唯一标识，其重要性不言而喻。然而，许多人在跨省份旅行或工作时，可能会发现尽管自己已经身处新的地域，但IP地址却并未随之改变。这一现象不仅令人困惑，那么，为什么会出现这种情况？我们又该如何修改自己的IP地址以反映当前的外省位置呢？本文将为您详细解答这些问题。
《Cloud Native Data Center Networking》（云原生数据中心网络设计）读书笔记 -- 07数据中心的边缘
最新发布
梆子井欢喜坨的博客
08-21 406
本章将帮助你回答以下问题。
Modbus-TCP——Libmodbus安装和使用（Ubuntu22.04）
计算机硕士的博客
08-21 246
Modbus-TCP——Libmodbus安装和使用。
【qt】基于tcp的消息发送
yyqzjw的博客
08-18 310
我们需要实现客户端发消息，服务端接收消息。
go语言 调用iptables命令示例
04-06
以下是一个使用go语言调用iptables命令的示例： ```go package main import ( "fmt" "os/exec" ) func main() { // 定义要执行的iptables命令 command := "iptables -A INPUT -s 192.168.1.1 -j DROP" // 执行iptables命令 out, err := exec.Command("sh", "-c", command).Output() if err != nil { fmt.Println("执行iptables命令失败：", err) return } // 输出命令执行结果 fmt.Println("命令输出：", string(out)) } ``` 上述代码中，我们使用`os/exec`包来执行iptables命令。我们先定义要执行的iptables命令`command`，然后使用`exec.Command()`函数创建一个命令对象。`exec.Command()`函数的第一个参数是要执行的命令，后面的参数是命令的参数。在这里，我们使用`sh -c`来执行iptables命令。 然后，我们使用命令对象的`Output()`方法来执行命令，并获取命令的输出。如果命令执行失败，`Output()`方法将返回一个错误对象。最后，我们输出命令的输出结果。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值