iptables 使用中遇到的问题

最新推荐文章于 2022-10-27 12:05:36 发布

ruiqingzheng

最新推荐文章于 2022-10-27 12:05:36 发布

阅读量489

点赞数

分类专栏： LINUX

本文链接：https://blog.csdn.net/ruiqingzheng/article/details/8675645

版权

LINUX 专栏收录该内容

61 篇文章 0 订阅

订阅专栏

iptables 使用中遇到的

1. 注意指定包的流向
shell > iptables -P INPUT DROP
shell > iptables A INPUT -p icmp -j ACCEPT
shell > ping 192.168.0.1 [timeout]
shell > ping 192.168.0.1 [timeout]

shell > iptables A INPUT -p icmp -j ACCEPT
shell > iptables A INPUT -i eth1 -p icmp -j ACCEPT
win cmd > ping 192.168.0.1 [ok]
shell > ping 192.168.0.1 [timeout]

shell > iptables -A INPUT -i lo -p icmp -j ACCEPT
win cmd > ping 192.168.0.1 [ok]
shell > ping 192.168.0.1 [ok]

比如
netstat -ntal
tcp 0 0 192.168.0.1:53 0.0.0.0:* LISTEN
tcp 0 0 219.140.183.152:53 0.0.0.0:* LISTEN

INPUT POLICY 为 DROP
iptables -A INPUT -i eth1 -p tcp --dport domain -j ACCEPT
同上，与eth1相连的机器的DNS请求可以得到回应但是
host www.163.com localhost
找不到DNS server
iptables -A INPUT -i lo -p tcp --dport domain -j ACCEPT [ OK ]

所以一般会这样定义一条规则

shell > iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT [这种包最多所以放在最前面]
shell > iptables -A INPUT -i lo -m state --state NEW -j ACCEPT [匹配本机主动发出去的包]

2. 规则中I 与 A 的区别
iptables -A INPUT -s 192.168.0.0/24 -p icmp -j DROP
iptables -A INPUT -s 192.168.0.127/24 -p icmp -j ACCEPT
pc127 > ping 192.168.0.1 [timeout]

iptables -A INPUT -s 192.168.0.0/24 -p icmp -j DROP
iptables -I INPUT -s 192.168.0.127/24 -p icmp -j ACCEPT
pc127 > ping 192.168.0.1 [OK]

3. 使用limit
iptables -A INPUT -i eth1 -p icmp --icmp-typp echo-request -m limit --limit 5/minute -j ACCEPT
令牌桶算发初始就有5个令牌所以开始时看不出来limit

iptables -A INPUT -i eth1 -p icmp --icmp-type echo-request -m limit --limit-burst 10 --limit 2/second -j ACCEPT
在超过10个包后每秒2个包

iptables -A INPUT -i eth0 -p icmp --icmp-type echo-request -m limit --limit-burst 10 --limit 2/second -j ACCEPT
最好在这个包的后面加上
iptables -A INPUT -i eth0 -p icmp DROP
虽然默认规则是DROP,这里添加这条规则可以避免不是echo-request的icmp包还要继续走后面的规则，在定义其他规则的时候一样需要

这样做

4. 清空所有规则
iptables -Z 清零
iptables -X 清除所有自定义的chains
iptables -F 清除所有的rule
iptables -t nat -Z
iptables -t nat -X
iptables -t nat -F
.....mangle...
看起来好像清除了所有规则但是上面的命令并不改变默认规则所以需要自己再定义默认的POLICY
iptables -P INPUT ACCEPT
....

5. 使用time动态规则需要补丁
iptables -A INPUT -i eth0 -p tcp --dport 22 -m time --timestart 22:00 --timestop 23:00 --days Mon --datestart

2005:12:1:00:00 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 22 -j DROP
051201开始每个星期一的晚上10到11点从eth0可以连ssh

阅读(780) | 评论(0) | 转发(0) |

上一篇：流量控制系列手册页：tc

下一篇：shell输入输出与|| &&