IPTABLES入门

声明：由于查看网上资料发现无法满足我的理解能力（理解能力太差），总结的不系统（不满足我要的要求），所以将iptables总结与此，转载可以不留名，但是我相信有JJ的都会留名。纯粹菜鸟级别，大神请绕道。。。。
参考资料：鸟哥私房菜
                  www.baidu.com
                  www.google.com
                   man iptables
感谢百度文库，感谢谷歌翻译，感谢所有共享资料的大神感谢鸟哥，感谢CN哥，感谢容器哥，感谢冰冰，感谢三哥，感谢假胸，感谢linux群里的各位大神
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
这里先说一条原则：iptables总是匹配最上层的，如果上层匹配成功，下面的策略则忽略
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
iptable -L(如果加-t nat 则查看nat表，如果不加则查看filter表)

首先要了解3个链表
INPUT    OUTPUT     FORWARD区别
1. 如果数据包的目的地址是本机，则系统将数据包送往 Input链。如果通过规则检查，则该包被发给相应的本地进程处理；如果没有通过规则检查，系统就会将这个包丢掉。

2. 如果数据包的目的地址不是本机，也就是说，这个包将被转发，则系统将数据包送往 Forward链。如果通过规则检查，则该包被发给相应的本地进程处理; 如果没有通过规则检查，系统就会将这个包丢掉。

3. 如果数据包是由本地系统进程产生的，则系统将其送往 Output链。如果通过规则检查，则该包被发给相应的本地进程处理；如果没有通过规则检查，系统就会将这个包丢掉。
========================================================================================================
查看信息的各项功能说明

• target：代表进行的动作， ACCEPT 是放行，而 REJECT 则是拒绝，此外，尚有 DROP (丢弃) 的项目！
• prot：代表使用的封包协议，主要有 tcp, udp 及 icmp 三种封包格式；
• opt：额外的选项说明
• source ：代表此规则是针对哪个『来源 IP』进行限制？
• destination ：代表此规则是针对哪个『目标 IP』进行限制？

 =======================================================================================================
也可以使用iptables-save查看详细规则 ,这里看到的规则和配置文件里的规则一样
======================================================================================================= 
对iptables进行配置
一般首先需要删除原有配置
iptables -F                 ----清空所有的已定的规则
iptables -X                 ----清空掉所有自定义的chain
iptables -Z                 ----chain计数器设置为0

然后定义策略将相关的链默认设置成drop
格式为
#iptables [-t nat] -P [INPUT,OUTPUT,FORWARD] [ACCEPT,DROP]
-P：定义策略policy
ACCESS：代表默认允许
DROP：代表默认拒绝
例如： 
#iptables -P INPUT DROP                      ----进站数据默认拒绝，一般用于防外网
#iptables -P OUTPUT DROP                 ----出站数据默认拒绝，防止内网主动向外发送数据
#iptables -P FORWORD DROP             ----转发数据，一般linux在做路由器的时候设置
如果设置nat表
iptables -t nat -P PREROUTING    DROP
======================================================================================================= 
基本的定义完成了然可以定义详细规则了，基本命令为 

# iptables [-AI 链名] [-io 网络接口] [-p 协议] [-s 来源IP/网域] [-d 目标IP/网域] -j [ACCEPT|DROP|REJECT|LOG]

-AI  链名:针对哪个链表制定规则
    -A    :增加一条规则，该规则增加到最后一条。
    -I    ：插入一条规则，个i规则增加到第一条，但是如果写了条目号，则插入对应条目，以下的依次下移
如：iptables -I INPUT 2 -s 192.168.3.119 -i eth0 -p icmp -j ACCEPT          ----这样会在第二条插入一条：eth0接收192.168.3.119的icmp入站请求

-io 网络接口：设定封包进出的规则
    -i：封包所进入的那个网络接口；需要与INPUT链配合使用
    -o：封包锁传出的那个网络接口；需要与OUTPUT链配合使用
-p 协议：针对哪类协议
    设定针对那类数据包：tcp udp icmp以及all（前面加！代表拒绝此类）
-s   来源ip/netmask：针对哪些来源网络主机或网段（不含netmask表示主机； 前面加！代表拒绝此类）
-d   目标ip/netmask：针对哪些目的网络主机或网段（不含netmask表示主机； 前面加！代表拒绝此类）一般与OUTPUT配合
-j    动作：针对以上条件所要实现的动作（ 接受(ACCEPT)、丢弃(DROP)、拒绝(REJECT)及记录(LOG)）           
  iptables -A INPUT -s 192.168.3.119 -i eth0 -p icmp -j  LOG                ----将进入eth0源IP为192.168.3.119的icmp协议全部记录下来（保存在/var/log/messages）
======================================================================================================= 
针对TCP/UPD的端口设置
#iptables [-AI 链] [-io 网络接口] [-p tcp,udp] [-s 来源IP/网域] [--sport 埠口范围] [-d 目标IP/网域] [--dport 埠口范围] -j [ACCEPT|DROP|REJECT]

--sport 源端口范围：限制源端口的端口号码，可以是一段如：1：1024
--dport 目的端口范围：限制目的端口号码，可以为一段
如：# iptables -A INPUT -i eth0 -p udp --dport 137:139 -j ACCEPT                ----接收eth0的udp端口为137，138，139的访问
但是以上两个参数必须在有-p udp或者-p tcp参数的命令里出现，并且可以使用--syn来对tcp的主动连接进行管控
 =======================================================================================================  
     这里告诉大家个小秘密，如果对端主机禁止了icmp协议那么你ping他他一定不会返回任何信息，但是如果对方只是禁止了icmp的type=8则在抓包工具会发现收到 icmp数据包，并且type=3 code=3 所以 你懂的 
=======================================================================================================  
那么下面就把禁止关于icmp的类型8的命令拿出来
   # iptables -A INPUT [-p icmp] [--icmp-type 类型] -j ACCEPT
          --icmp-type ：后面必须要接 ICMP 的封包类型（如：echo request（类型8）），也可以使用代号
       例如: #iptables -A INPUT -p icmp --icmp-type 8 -j DROP                ----禁止icmp的type=8的数据包进入
=======================================================================================================  
iptables基础基本就这些，下面将会介绍进阶阶段的iptables使用和iptables与一些模块的配合