iptables 语法举例

 iptables 语法：

iptables [-t  table]  command [match]  [target]

 

禁止某某网站或IP：

iptables -I FORWARD -d www.xxx.com（或211.168.128.26） -j DROP

 

禁止某一客户机或某一网段上网：

iptables -I FORWARD -s 192.169.0.10(或192.169.0.0/24) -j DROP

 

禁止某客户机访问某服务或端口

iptables -I FORWARD -s 192.169.0.10(或192.169.0.0/24) -p tcp --dport 21 -j DROP

 

禁止客户机ping linux 服务器,但服务器可以ping 客户机

iptables -P INPUT DROP

iptables -A INPUT -i ppp0 -p icmp -m state ESTABLISH,HRLATED -j ACCEPT

 

强制访问某站点：

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.169.0.100:80

 

不开放除80以外的端口：

iptables -P INPUT -j DROP

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

或者建立一个iptables表：

iptables -N abc 新建一个abc表

iptables -A abc DROP

iptables -A abc  -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -j abc

iptables -A IOUTPUT -j abc

iptables -A FORWARD -j abc    后三条是让INPUT OUTPUT FORWARD 都按ABC表的规则办

 

允许SSH访问:

iptables -A  PREROUTING -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -A OUTPUT -p tcp --dport 22 -j ACCEPT

 

禁止用户上QQ:

iptables -I FORWARD -p tcp --dport 8000 -j DROP

iptables -I FORWARD -p udp --dport 8000 -j DROP

iptables -I FORWARD -d http.tencent.com -j DROP

iptables -I FORWARD -p http2.tencent.com -j DROP

iptables -I FORWARD -p tcpconn.tencent.com -j DROP

iptables -I FORWARD -p tcpconn2.tencent.com -j DROP

iptables -I FORWARD -p tcpconn3.tencent.com -j DROP

iptables -I FORWARD -p tcpconn4.tencent.com -j DROP

 

让内网机器可以收发邮件:

iptables -A PREROUTING -p tcp --dport 110 -j ACCEPT

iptables -A PREROUTING -p tcp --dport 25 -j ACCEPT

iptables -A FORWARD -p tcp --dport 110 -j ACCEPT

iptables -A FORWARD -p tcp --sdport 110 -j ACCEPT

iptables -A FORWARD -p tcp --dport 25 -j ACCEPT

iptables -A FORWARD -p tcp --sdport 25 -j ACCEPT

 

发布内网服务器:

iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80

 

智能DNS服务:

iptables -t nat -A PREROUTING -i eth0 -p udp --dport 53 -j DNAT --to-destination 192.168.1.1:53

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 53 -j DNAT --to-destination 192.168.1.1:53

 

新增加一个规则：

iptables -A INPUT ....

 

从某个规则链中删除一条规则：

iptables -D INPUT --dport 80 -j DROP

iptables -D INPUT l

 

取代现行规则：

iptables -R INPUT l -s 192.168.1.1 -j DROP

 

插入一条规则：

iptables -I INPUT l  --dport 80 -j ACCEPT

 

 列出某规则中的所有规则：

 iptables -L INPUT

 

删除某规则中的所有规则：

iptables  -F INPUT

 

将封包计数器归零：

 iptables -Z INPUT

 

定义新的规则：

iptables -N allowed

 

删除某个规则链：

iptables -X allowed

 

定义过滤策略：

iptables -P INPUT DROP

 

 修改自定义规则：

iptables -E allowed disallowed