【iptables 基础部分】【iptables高级部分】【iptables操作方法案例】

iptables 基础部分

一、iptables基础
iptables语法
iptables [-t 要操作的表] <操作命令> [要操作的链] [规则号码] [匹配条件] [-j 匹配后的动作]
小写 大写 大写 小写 大写

表及应用顺序

常见的操作命令

要操作的链

基本匹配

基本动作Target

所有协议加端口

iptables高级部分

开启路由转发方法

模块使用

路由转发

iptables操作方法案例

案例1 拒绝所有人ping你
iptables -t filter -I INPUT -p icmp -j REJECT

案例2 删除 单行
iptables -D INPUT 1 行号

案例3 默认插入 插入到第几行
iptables -I INPUT 2 -s 192.168.150.174 -j ACCEPT

案例4 禁止对方远程链接的你 22 端口 p 协议 tcp协议
iptables -I INPUT 2 -s 192.168.150.174 -p tcp --dport 22 -j REJECT

案例5 多个模块 ip
iptables -t filter -I INPUT -m iprange --src-range 192.168.2.20-192.168.2.100 -j REJECT

案例6 多个 端口 模块
iptables -t filter -I INPUT -p tcp -m multiport --dports 20,21,22,25,80,110 -j ACCEPT

案例7 拒绝别人ping自己 自己可以ping别人 方法一
请求包有俩个状态 请求包状态是8 回复包状态是0
第一种方法是，我把别人的请求包状态8给丢弃掉，我拒绝掉别人的请求，也就不回复别人拉，这样我还可以ping别人

iptables -t filter -I INPUT -s 192.168.150.175 -p icmp --icmp-type 8 -j DROP

案例8 拒绝别人ping自己 自己可以ping别人 方法二
第二种方法是，我把自己的的回复包状态0给丢弃掉，我不回复别人的请求，这样我还可以ping别人
iptables -t filter -I OUTPUT -s 192.168.150.175 -p icmp --icmp-type 0 -j DROP

画图理解

案例9 网络 地址转换
iptables -t nat -A PREROUTING -d 172.16.30.30 -p tcp --dport 80 -j DNAT --to 192.168.122.66:80

考题中所涉及网卡为：eth0：，eth1的IP：192.168.6.217；MAC地址：00-C0-9F-79-E1-8A
1）设定默认策略
1.1)设定INPUT为ACCEPT
1.2)设定OUTPUT为ACCEPT
1.3)设定FORWARD为ACCEPT
答案：

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

2)定制源地址访问策略
2.1)接收来自192.168.0.3的IP访问
2.2)拒绝来自192.168.0.0/24网段的访问

iptables -A INPUT -i eth0 -s 192.168.0.3 -j ACCEPT
iptables -A INPUT -i eth0 -s 192.168.0.0/24 -j DROP

3)目标地址192.168.0.3的访问给予记录。

iptables -A INPUT -s 192.168.0.3 -j LOG

4)定制端口访问策略
4.1)拒绝任何地址访问本机的111端口
4.2)拒绝192.168.0.0/24网段的1024-65534的源端口访问SSH

iptables -A INPUT -i eth0 -p tcp --dport 111 -j DROP

iptables -A INPUT -i eth0 -p tcp -s 192.168.0.0/24 --sport 1024:65534 --dport 22 -j DROP

5)定制CLIENT端的防火墙访问状态
5.1)清除filter表中所有已经存在的规则;
5.2)设定预设策略,除了INPUT设为DROP,其他为ACCEPT;
5.3)开放本机自由访问本机的所有服务;
5.4)设定有相关的封包状态的请求可以进入本机;
5.5）拒绝所有无效连接状态进如本机

iptables -F
iptables -X
iptables -Z
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state INVALID -j DROP

6)定制防火墙的MAC地址访问策略
6.1)清除所有已存的规则
6.2)将INPUT设为DROP
6.3)允许MAC地址为00-C0-9F-79-E1-8A的主机向本主机发送请求

iptables -F
iptables -X
iptables -Z
iptables -P INPUT DROP
iptables -A INPUT -m MAC --mac-source 00-C0-9F-79-E1-8A -j ACCEPT

7)拒绝所有主机PING本主机

iptables -A INPUT -i eth0 -p icmp --icmp-type 8 -j DROP

8)定制防火墙的NAT访问策略
8.1)清除所有策略
8.2)开启路由转发功能
8.3)通过MASQUERADE设定来源于192.168.6.0网段的IP通过网卡eth1转发出去

iptables -F
iptables -X
iptables -Z
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -s 192.168.6.0/24 -o eth1 -j MASQUERADE

9)定制防火墙的NAT访问策略
9.1)清除所有NAT策略
9.2)开启路由转发
9.3)通过SNAT设定来源于192.168.6.0网段通过网卡eth1：192.168.6.217转发出去
9.4)用iptables观察转发的数据包数量

iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source 192.168.6.217
iptables -nvL

10)端口转发访问策略
10.1)清除所有NAT策略
10.2)重置ip_forward为1
10.3)通过DNAT设定为所有访问192.168.6.217的22端口，都访问到192.168.6.191的22端口
10.4)接受所有到192.168.6.191的22端口的数据包都通过FORWARD转发

iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat
echo 1 >/proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -d 192.168.6.217 -p tcp --dport 22 -j DNAT --to-destination 192.168.6.191:22
iptables -A FORWARD -p tcp -d 192.168.6.191 --dport 22 -j ACCEPT