iptables规则使用案例

最新推荐文章于 2024-04-24 11:32:21 发布
最新推荐文章于 2024-04-24 11:32:21 发布
阅读量580 收藏
点赞数
文章标签： 网络
原文链接：http://blog.51cto.com/jxwpx/2147238
版权

Generated by iptables-save v1.4.7 on Wed Jun 11 01:06:48 2014

*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A PREROUTING -s 192.168.20.0/24 -j LOG --log-prefix "Pre20 "
-A PREROUTING -s 172.18.50.0/24 -d 1.1.1.1 -p udp -m udp --dport 123 -j REDIRECT --to-ports 123
-A PREROUTING -m iprange --src-range 172.18.70.30-172.18.70.40 -d 172.18.20.11 -p tcp -j ACCEPT
-A PREROUTING -m iprange --src-range 172.18.70.30-172.18.70.40 -d 172.18.10.11 -p tcp -j ACCEPT
-A PREROUTING -m iprange --src-range 172.18.70.30-172.18.70.40 -p tcp -j REDIRECT --to-ports 3344
#-A PREROUTING -m iprange --src-range 172.18.20.20-172.18.20.22 -p tcp --dport 80 -j REDIRECT --to-ports 3344
#-A PREROUTING -s 172.18.70.0/24 -d 172.18.30.0/24 -p tcp -m tcp --dport 8080 -j REDIRECT --to-ports 172.18.20.1:3344
#-A PREROUTING -m iprange --src-range 172.18.20.1-172.18.20.3 -p tcp --dport 80 -j REDIRECT --to-ports 3344
#-A PREROUTING -m iprange --src-range 172.18.20.114-172.18.20.115 -p tcp --dport 80 -j REDIRECT --to-ports 3344
#-A PREROUTING -s 172.18.70.0/24 -d mail.buyforyou.cn -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8558

#-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 3311 -j DNAT --to-destination 172.18.20.52:3389
#-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8550 -j DNAT --to-destination 192.168.2.22:80
#-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8543 -j DNAT --to-destination 192.168.2.24:443
#-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8525 -j DNAT --to-destination 172.16.30.36:8080
#-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8526 -j DNAT --to-destination 172.16.30.36:8444
#-A PREROUTING -d 118.244.194.198/32 -p tcp -m tcp --dport 3311 -j DNAT --to-destination 172.18.20.51:3389
#-A PREROUTING -d 118.244.194.198/32 -p tcp -m tcp --dport 3312 -j DNAT --to-destination 172.18.20.50:3389
#-A PREROUTING -d 118.244.194.199/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.18.20.114:8083
#-A PREROUTING -d 118.244.194.205/32 -p tcp -m tcp --dport 443 -j DNAT --to-destination 172.19.80.30:2324
-A PREROUTING -d 118.244.194.199/32 -p tcp -m tcp --dport 3312 -j DNAT --to-destination 172.18.10.12:3389
-A PREROUTING -d 118.244.194.199/32 -p tcp -m tcp --dport 3311 -j DNAT --to-destination 172.18.10.11:3389
-A PREROUTING -d 118.244.194.199/32 -p tcp -m tcp --dport 3312 -j DNAT --to-destination 172.18.10.12:3319
-A PREROUTING -d 118.244.194.199/32 -p tcp -m tcp --dport 3311 -j DNAT --to-destination 172.18.10.11:3319
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8552 -j DNAT --to-destination 192.168.2.48:8552
-A PREROUTING -d 118.244.194.198/32 -p tcp -m tcp --dport 3329 -j DNAT --to-destination 172.18.0.15:3389
-A PREROUTING -d 118.244.194.198/32 -p tcp -m tcp --dport 8083 -j DNAT --to-destination 172.18.20.125:3389
#-A PREROUTING -d 118.244.194.203/32 -p tcp -m tcp --dport 8122 -j DNAT --to-destination 172.18.60.10:22
#-A PREROUTING -d 118.244.194.203/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.18.60.10:80
#-A PREROUTING -d 118.244.194.203/32 -p tcp -m tcp --dport 22 -j DNAT --to-destination 172.18.60.10:3311
#-A PREROUTING -i eth1 -d 118.244.194.203/32 -p tcp -j DNAT --to-destination 172.18.60.10
#-A PREROUTING -d 118.244.194.198/32 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 172.16.30.32:8080
#-A PREROUTING -d 118.244.194.198/32 -p tcp -m tcp --dport 8081 -j DNAT --to-destination 172.16.30.33:8080
#-A PREROUTING -d 118.244.194.198/32 -p tcp -m tcp --dport 8082 -j DNAT --to-destination 172.16.30.34:8080
-A PREROUTING -d 118.244.194.198/32 -p tcp -m tcp --dport 25 -j DNAT --to-destination 172.18.120.50:25
-A PREROUTING -d 118.244.194.198/32 -p tcp -m tcp --dport 110 -j DNAT --to-destination 172.18.120.50:110
-A PREROUTING -d 118.244.194.198/32 -p tcp -m tcp --dport 8522 -j DNAT --to-destination 172.18.120.50:22
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8500 -j DNAT --to-destination 192.168.2.90:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8503 -j DNAT --to-destination 192.168.2.93:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8504 -j DNAT --to-destination 192.168.2.94:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8505 -j DNAT --to-destination 192.168.2.95:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8506 -j DNAT --to-destination 192.168.2.96:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8507 -j DNAT --to-destination 192.168.2.97:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8508 -j DNAT --to-destination 192.168.2.98:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8509 -j DNAT --to-destination 192.168.2.99:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8510 -j DNAT --to-destination 192.168.2.100:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8511 -j DNAT --to-destination 192.168.2.101:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8512 -j DNAT --to-destination 192.168.2.102:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8513 -j DNAT --to-destination 192.168.2.103:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8514 -j DNAT --to-destination 192.168.2.104:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8515 -j DNAT --to-destination 192.168.2.105:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8516 -j DNAT --to-destination 192.168.2.106:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8517 -j DNAT --to-destination 192.168.2.107:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8518 -j DNAT --to-destination 192.168.2.108:80
-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8519 -j DNAT --to-destination 192.168.2.109:80
#-A PREROUTING -d 118.244.194.197/32 -p tcp -m tcp --dport 8550 -j DNAT --to-destination 192.168.2.22:80
-A PREROUTING -s 172.18.50.0/24 -d 224.0.0.0/24 -j ACCEPT
#-A PREROUTING -d 172.16.30.0/24 -p tcp -j DNAT --to-destination 10.10.10.27
#----------------------------------------------------------------------------------------------------
#LOG-3
-A POSTROUTING -m iprange --src-range 172.18.100.1-172.18.100.1 -d 172.18.100.100 -j ACCEPT
-A POSTROUTING -m iprange --src-range 172.18.20.15-172.18.20.15 -o eth1 -j ACCEPT
-A POSTROUTING -m iprange --src-range 192.168.0.1-192.168.0.254 -p udp --dport 53 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 192.168.0.2-192.168.0.2 -p tcp --dport 443 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.20.15-172.18.20.22 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.20.1-172.18.20.3 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.20.125-172.18.20.125 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.20.31-172.18.20.34 -o eth1 -j SNAT --to 118.244.194.188
-A POSTROUTING -m iprange --src-range 172.18.0.105-172.18.0.106 -d 172.18.0.0/16 -j ACCEPT
-A POSTROUTING -m iprange --src-range 10.10.10.11-10.10.10.11 -d 172.18.20.20 -j ACCEPT
-A POSTROUTING -m iprange --src-range 10.10.10.11-10.10.10.11 -d 172.18.20.15 -j ACCEPT
-A POSTROUTING -s 172.18.70.32 -j ACCEPT
-A POSTROUTING -s 172.18.70.31 -j ACCEPT
-A POSTROUTING -s 192.168.20.131 -d 172.18.100.100 -j ACCEPT
-A POSTROUTING -s 172.18.70.33 -j ACCEPT
-A POSTROUTING -s 172.18.70.21 -j ACCEPT
-A POSTROUTING -s 172.18.10.11 -d 172.16.30.39 -j ACCEPT
-A POSTROUTING -s 192.168.0.0/24 -d 192.168.0.0/24 -j ACCEPT
-A POSTROUTING -s 172.18.70.22 -j ACCEPT
-A POSTROUTING -s 172.18.20.125 -j ACCEPT

-A POSTROUTING -s 172.18.30.0/24 -o eth1 -j LOG --log-prefix "POST30: "
-A POSTROUTING -s 172.18.0.0/24 -o eth1 -j LOG --log-prefix "POST0: "
-A POSTROUTING -s 172.18.10.0/24 -o eth1 -j LOG --log-prefix "POST10: "
-A POSTROUTING -s 172.18.20.0/24 -o eth1 -j LOG --log-prefix "POST20: "
-A POSTROUTING -s 172.18.50.0/24 -o eth1 -j LOG --log-prefix "POST50: "
-A POSTROUTING -s 172.18.70.0/24 -o eth1 -j LOG --log-prefix "POST70: "
-A POSTROUTING -s 192.168.0.0/24 -o eth1 -j LOG --log-prefix "POST1920: "
-A POSTROUTING -s 192.168.100.0/24 -o eth1 -j LOG --log-prefix "POSTa100: "
#LOG-4
-A POSTROUTING -o eth1 -p tcp --dport 123 -j SNAT --to 118.244.194.199
-A POSTROUTING -o eth1 -p udp -m udp --dport 123 -j SNAT --to-source 118.244.194.199
-A POSTROUTING -p udp --dport 53 -o eth1 -j SNAT --to 118.244.194.199
-A POSTROUTING -s 172.18.0.0/16 -d 218.241.140.80/27 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -s 172.18.0.0/16 -d 118.244.194.192/27 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -d 58.250.61.160/32 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -d 211.147.7.47 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -d 111.205.207.145 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -d 113.106.85.42/32 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -d 58.250.61.160/32 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -o eth1 -d mail.buyforyou.cn -j SNAT --to-source 118.244.194.198
-A POSTROUTING -o eth1 -p tcp --dport 194 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -o eth1 -p tcp --dport 8311 -j SNAT --to-source 118.244.194.198

#Mail operation
-A POSTROUTING -m iprange --src-range 172.18.0.1-172.18.0.200 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.0.1-172.18.0.200 -p tcp --dport 110 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.10.1-172.18.10.200 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.10.1-172.18.10.200 -p tcp --dport 110 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.20.1-172.18.20.200 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.20.1-172.18.20.200 -p tcp --dport 110 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.30.1-172.18.30.200 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.30.1-172.18.30.200 -p tcp --dport 110 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.50.1-172.18.50.200 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.50.1-172.18.50.200 -p tcp --dport 110 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.70.1-172.18.70.200 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.205
-A POSTROUTING -m iprange --src-range 172.18.70.1-172.18.70.200 -p tcp --dport 110 -o eth1 -j SNAT --to 118.244.194.205
#end of Mail.
#20.3 and 20.2 and 20.20 and 20.21
-A POSTROUTING -m iprange --src-range 172.18.20.1-172.18.20.3 -m limit --limit-burst 30 --limit 15/s -o eth1 -j SNAT --to 172.18.20.4
-A POSTROUTING -m iprange --src-range 172.18.20.114-172.18.20.114 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.20.1-172.18.20.100 -d mail.buyforyou.cn -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.0.1-172.18.0.9 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.0.16-172.18.0.16 -o eth1 -j SNAT --to 172.18.20.4
-A POSTROUTING -m iprange --src-range 172.18.50.1-172.18.50.5 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.50.19-172.18.50.20 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.50.50-172.18.50.50 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.70.1-172.18.70.9 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.70.23-172.18.70.25 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.30.1-172.18.30.9 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.10.1-172.18.10.9 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 192.168.0.2-192.168.0.2 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 192.168.0.126-192.168.0.127 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.30.64-172.18.30.65 -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -m iprange --src-range 172.18.10.10-172.18.10.12 -o eth1 -j SNAT --to 118.244.194.197
#-A POSTROUTING -s 192.168.100.0/24 -o eth1 -j SNAT --to 118.244.194.198
#to pay.cmbc.com.cn
-A POSTROUTING -s 172.18.0.0/16 -d 223.71.169.67 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -s 172.18.0.0/16 -d 124.127.181.67 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -s 172.18.0.0/16 -d 219.142.89.183 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -s 172.18.0.0/16 -d 218.205.136.67 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -s 172.18.0.0/16 -d 123.127.113.173 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -s 172.18.0.0/16 -d 114.255.210.67 -o eth1 -j SNAT --to-source 118.244.194.198

-A POSTROUTING -s 172.18.30.48 -o eth1 -j LOG --log-prefix "PST48: "
-A POSTROUTING -s 172.18.30.48 -o eth1 -j SNAT --to 118.244.194.198

-A POSTROUTING -s 172.18.50.0/24 -j ACCEPT
-A POSTROUTING -s 172.18.0.1 -j ACCEPT
-A POSTROUTING -s 172.18.10.11 -d 172.16.30.38 -j ACCEPT
-A POSTROUTING -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
-A POSTROUTING -s 172.18.20.3 -d 172.18.0.0/16 -j ACCEPT
-A POSTROUTING -s 172.18.10.12 -d 172.18.20.55 -j ACCEPT
-A POSTROUTING -s 10.10.10.41 -d 172.18.10.11 -j ACCEPT
-A POSTROUTING -s 172.18.70.0/24 -d 172.18.0.0/16 -j ACCEPT
-A POSTROUTING -s 172.19.80.1 -d 172.18.70.0/24 -j ACCEPT
-A POSTROUTING -s 172.18.20.2/24 -d 172.18.10.11 -j ACCEPT
-A POSTROUTING -s 172.18.10.11 -d 172.18.0.0/16 -j ACCEPT
-A POSTROUTING -s 172.18.20.3 -d 172.18.10.12 -j ACCEPT
-A POSTROUTING -s 172.18.70.1 -d 172.18.70.0/24 -j ACCEPT
-A POSTROUTING -s 172.20.1.14 -d 172.18.100.100 -j ACCEPT
-A POSTROUTING -s 10.10.10.54 -d 172.18.100.100 -j ACCEPT
-A POSTROUTING -s 10.10.10.53 -d 172.18.100.100 -j ACCEPT
-A POSTROUTING -s 10.10.10.80 -d 172.18.100.100 -j ACCEPT
-A POSTROUTING -m iprange --src-range 192.168.20.111-192.168.20.120 -d 172.18.100.100 -j ACCEPT
-A POSTROUTING -s 192.168.20.1 -d 172.18.100.100 -j ACCEPT
-A POSTROUTING -s 192.168.20.0/24 -d 172.18.100.100 -p icmp -j ACCEPT
-A POSTROUTING -s 192.168.0.0/24 -o eth1 -j ACCEPT
-A POSTROUTING -s 172.19.80.1 -d 172.18.20.11 -j ACCEPT
-A POSTROUTING -s 172.18.20.2 -d 172.18.30.4 -j ACCEPT
-A POSTROUTING -s 172.19.80.1 -d 172.18.30.0/24 -j ACCEPT
-A POSTROUTING -s 172.18.70.0/24 -d 172.18.50.0/24 -j ACCEPT

-A POSTROUTING -s 172.18.30.211 -d pan.baidu.com -o eth1 -j SNAT --to 118.244.194.197
-A POSTROUTING -s 172.18.30.27 -o eth1 -j LOG --log-prefix "PST27: "
-A POSTROUTING -s 172.18.30.27 -o eth1 -j ACCEPT
-A POSTROUTING -s 172.18.70.22 -o eth1 -j ACCEPT
-A POSTROUTING -s 172.18.20.3 -o eth1 -j ACCEPT
-A POSTROUTING -s 172.18.20.115 -o eth1 -j ACCEPT
-A POSTROUTING -s 172.18.20.115 -d 192.168.0.0/24 -j ACCEPT
-A POSTROUTING -m iprange --src-range 172.18.70.30-172.18.70.39 -j ACCEPT
-A POSTROUTING -s 172.18.20.114 -o eth1 -j ACCEPT
-A POSTROUTING -s 172.18.20.125 -o eth1 -j ACCEPT
#LOG-1
#LOG-2
-A POSTROUTING -s 192.168.0.26/32 -o eth1 -j SNAT --to-source 118.244.194.198
-A POSTROUTING -s 192.168.100.0/24 -d smtp.163.com -o eth1 -j SNAT --to-source 118.244.194.199
-A POSTROUTING -s 192.168.2.22 -p tcp --dport 25 -o eth1 -j SNAT --to-source 118.244.194.199
-A POSTROUTING -s 172.18.10.0/24 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.211
-A POSTROUTING -s 172.18.20.0/24 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.211
-A POSTROUTING -s 172.18.30.0/24 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.211
-A POSTROUTING -s 172.18.50.0/24 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.211
-A POSTROUTING -s 172.18.60.0/24 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.211
-A POSTROUTING -s 172.18.70.0/24 -p tcp --dport 25 -o eth1 -j SNAT --to 118.244.194.211

-A POSTROUTING -s 192.168.0.0/24 -o eth1 -j SNAT --to 118.244.194.199
#-A POSTROUTING -s 192.168.20.0/24 -o eth1 -j SNAT --to 118.244.194.198
-A POSTROUTING -s 172.18.30.0/24 -d www.tftpay.com -o eth1 -j SNAT --to 118.244.194.198

-A POSTROUTING -s 172.18.50.0/24 -o eth1 -d ***.linux-oracle.win -j SNAT --to-source 118.244.194.198
-A POSTROUTING -s 172.18.60.10 -o eth1 -j SNAT --to-source 118.244.194.198

-A POSTROUTING -s 172.18.70.24 -o eth1 -j SNAT --to 118.244.194.111
-A POSTROUTING -s 172.18.70.25 -o eth1 -j SNAT --to 118.244.194.111
-A POSTROUTING -s 172.18.70.21 -o eth1 -j SNAT --to 118.244.194.111
-A POSTROUTING -s 172.18.70.22 -o eth1 -j SNAT --to 118.244.194.111
-A POSTROUTING -s 172.18.70.23 -o eth1 -j SNAT --to 118.244.194.111
-A POSTROUTING -s 172.18.70.25 -o eth1 -j SNAT --to 118.244.194.111
-A POSTROUTING -s 172.18.70.11 -o eth1 -j SNAT --to 118.244.194.111
-A POSTROUTING -s 172.18.70.12 -o eth1 -j SNAT --to 118.244.194.111
-A POSTROUTING -s 172.18.70.0/24 -o eth1 -j SNAT --to 118.244.194.111
#-A POSTROUTING -s 0.0.0.0/0 -o eth1 -j SNAT --to 118.244.194.111

-A POSTROUTING -s 172.18.20.1 -j ACCEPT
-A POSTROUTING -s 172.18.0.14 -j ACCEPT
-A POSTROUTING -d 172.18.20.2 -j ACCEPT
-A POSTROUTING -d 172.18.20.3 -j ACCEPT
-A POSTROUTING -d 172.16.30.36 -j ACCEPT
-A POSTROUTING -d 192.168.2.22 -j ACCEPT
-A POSTROUTING -d 192.168.2.24 -j ACCEPT
-A POSTROUTING -s 172.18.20.125 -j ACCEPT
-A POSTROUTING -s 118.244.194.199 -j ACCEPT
-A POSTROUTING -s 10.10.10.12 -d 172.18.100.100 -j ACCEPT
-A POSTROUTING -s 192.168.20.13 -d 172.18.100.100 -j ACCEPT
-A POSTROUTING -s 172.18.100.100 -j ACCEPT
-A POSTROUTING -s 172.18.30.1 -j ACCEPT
-A POSTROUTING -s 172.18.30.0/24 -d 172.18.0.0/16 -j ACCEPT
-A POSTROUTING -s 172.18.20.0/24 -d 172.18.0.0/16 -j ACCEPT
-A POSTROUTING -s 172.18.10.0/24 -d 172.18.0.0/16 -j ACCEPT

-A POSTROUTING -s 172.18.0.16/32 -d 192.168.0.0/24 -j ACCEPT
-A POSTROUTING -s 172.18.0.15/32 -o eth1 -j SNAT --to-source 172.18.0.15
-A POSTROUTING -s 172.18.10.0/24 -o eth1 -j SNAT --to-source 118.244.194.111
-A POSTROUTING -s 172.18.100.100 -d 172.18.20.28 -j SNAT --to-source 172.18.100.100
-A POSTROUTING -s 192.168.100.0/24 -o eth1 -j SNAT --to-source 192.168.100.1
-A POSTROUTING -s 172.18.60.11 -d 172.16.30.0/24 -j SNAT --to-source 10.10.10.27
-A POSTROUTING -s 172.18.70.0/24 -d 172.18.50.0/24 -j ACCEPT
-A POSTROUTING -d 172.18.70.0/24 -s 172.18.50.0/24 -j ACCEPT
-A POSTROUTING -s 172.19.0.0/16 -d 172.18.0.0/16 -j ACCEPT
-A POSTROUTING -s 172.18.0.0/16 -d 172.19.0.0/16 -j ACCEPT
-A POSTROUTING -s 192.168.20.13 -d 172.18.20.15 -j ACCEPT
-A POSTROUTING -s 10.10.10.54 -d 172.18.30.211 -j ACCEPT
-A POSTROUTING -s 172.16.30.51 -d 172.18.30.211 -j ACCEPT
-A POSTROUTING -s 10.10.0.0/16 -j LOG --log-prefix "***10_POST "
-A POSTROUTING -s 10.10.0.0/24 -j LOG --log-prefix "***0_POST "
-A POSTROUTING -j LOG --log-prefix "Total_POST "
#-A PREROUTING -j LOG --log-prefix "Idcgw_Pre "

#Handawei-sit-LAB
#-A POSTROUTING -d 172.16.30.32/32 -j SNAT --to-source 10.10.10.27
#-A POSTROUTING -d 172.16.30.33/32 -j SNAT --to-source 10.10.10.27
#-A POSTROUTING -d 172.16.30.34/32 -j SNAT --to-source 10.10.10.27
#-A POSTROUTING -d 192.168.2.0/24 -j SNAT --to-source 172.18.20.28
#-A POSTROUTING -d 192.168.6.0/24 -j SNAT --to-source 172.18.20.25

COMMIT

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 219.142.89.183 -j ACCEPT
-A FORWARD -d 124.127.181.67 -j ACCEPT
-A FORWARD -s 172.18.70.0/24 -d 172.18.0.0/16 -j ACCEPT
-A FORWARD -s 172.18.70.0/24 -d 172.20.0/16 -j ACCEPT

-A FORWARD -s 172.18.70.0/24 -p tcp --sport 3389 -j ACCEPT
-A FORWARD -s 172.18.70.23 -j ACCEPT
-A FORWARD -s 172.18.70.24 -j ACCEPT
-A FORWARD -s 172.18.70.25 -j ACCEPT
-A FORWARD -s 172.18.70.26 -j ACCEPT
-A FORWARD -s 172.18.70.41 -j ACCEPT
-A FORWARD -s 172.18.70.42 -j ACCEPT
-A FORWARD -s 172.18.0.15 -o eth1 -j ACCEPT
-A FORWARD -s 172.18.20.125 -o eth1 -j ACCEPT
-A FORWARD -s 172.18.10.11 -o eth1 -j ACCEPT
-A FORWARD -s 172.18.70.0/24 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 172.18.70.0/24 -j DROP
-A FORWARD -s 172.18.70.0/24 -d 172.18.70.255 -j DROP
-A FORWARD -s 172.16.3.0/24 -d 172.18.20.11 -j ACCEPT
-A FORWARD -s 172.16.3.0/24 -d 172.18.100.100 -j ACCEPT
-A FORWARD -m iprange --src-range 172.18.70.30-172.18.70.39 -o eth1 -j DROP
-A FORWARD -s 172.18.10.11 -d 172.16.30.38 -j ACCEPT
-A FORWARD -s 172.18.0.0/16 -d 172.18.0.0/16 -j ACCEPT
-A FORWARD -m iprange --src-range 172.18.20.1-172.18.20.30 -j ACCEPT
-A FORWARD -m iprange --src-range 172.18.30.98-172.18.30.100 -j ACCEPT
-A FORWARD -s 172.18.0.16 -j DROP
-A FORWARD -s 172.18.0.0/16 -j LOG --log-prefix "gwFORs18: "
-A FORWARD -d 172.16.30.0/24 -s 172.18.100.100 -j ACCEPT
-A FORWARD -d 192.168.2.0/24 -s 172.18.100.100 -j ACCEPT
#-A FORWARD -d 172.18.70.0/24 -j LOG --log-prefix "gwFORd70: "
-A FORWARD -s 172.18.30.0/24 -p udp -m udp --dport 445 -j DROP
-A FORWARD -s 172.18.30.0/24 -p udp -m udp --dport 138 -j DROP
-A FORWARD -s 172.18.30.0/24 -p udp -m udp --dport 135 -j DROP
-A FORWARD -s 172.18.30.0/24 -p udp -m udp --dport 137 -j DROP
-A FORWARD -s 172.18.30.0/24 -p tcp -m tcp --dport 445 -j DROP
-A FORWARD -s 172.18.30.0/24 -p tcp -m tcp --dport 138 -j DROP
-A FORWARD -s 172.18.30.0/24 -p tcp -m tcp --dport 135 -j DROP
-A FORWARD -s 172.18.30.0/24 -p tcp -m tcp --dport 137 -j DROP
-A FORWARD -s 192.168.20.13 -d 172.18.20.15 -j ACCEPT
-A FORWARD -d 192.168.2.22 -j ACCEPT
-A FORWARD -d 192.168.2.24 -j ACCEPT
-A FORWARD -d 172.16.30.36 -j ACCEPT
-A FORWARD -d 118.244.194.192/27 -j ACCEPT
-A FORWARD -m iprange --dst-range 218.241.140.80-218.241.140.88 -j ACCEPT
-A FORWARD -d 58.250.61.160 -j ACCEPT
-A FORWARD -d 211.147.7.47 -j ACCEPT
-A FORWARD -d 113.106.85.42 -j ACCEPT
-A FORWARD -d 117.121.10.135 -j ACCEPT
-A FORWARD -d mail.buyforyou.cn -j ACCEPT
-A FORWARD -s 172.18.0.0/16 -d 118.244.194.192/27 -j ACCEPT
-A FORWARD -s 172.18.20.0/24 -j ACCEPT
-A FORWARD -s 10.10.10.41 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d mx1.mail.139.com -o eth1 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d mx2.mail.139.com -o eth1 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d mx3.mail.139.com -o eth1 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d freemx1.sinamail.sina.com.cn -o eth1 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d freemx2.sinamail.sina.com.cn -o eth1 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d freemx3.sinamail.sina.com.cn -o eth1 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d 220.181.15.144 -o eth1 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d 220.181.15.195 -o eth1 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d 220.181.15.143 -o eth1 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d 220.181.15.151 -o eth1 -p tcp --dport 25 -j ACCEPT
-A FORWARD -s 0.0.0.0/0 -d 220.181.15.135 -o eth1 -p tcp --dport 25 -j ACCEPT

-A FORWARD -s 172.18.70.0/24 -o eth1 -p tcp --dport 25 -j DROP
-A FORWARD -s 172.18.50.0/24 -o eth1 -p tcp --dport 25 -j DROP
-A FORWARD -s 192.168.20.115 -d 172.18.100.100 -j ACCEPT
-A FORWARD -s 192.168.20.13 -d 172.18.100.100 -j ACCEPT
-A FORWARD -s 10.10.10.11 -d 172.18.20.15 -j ACCEPT
-A FORWARD -s 10.10.10.11 -d 172.18.100.100 -j ACCEPT
-A FORWARD -s 10.10.10.54 -d 172.18.100.100 -j ACCEPT
-A FORWARD -s 10.10.10.53 -d 172.18.100.100 -j ACCEPT
-A FORWARD -s 192.168.20.131 -d 172.18.100.100 -j ACCEPT
-A FORWARD -m iprange --src-range 172.18.0.1-172.18.0.12 -j ACCEPT
-A FORWARD -m iprange --src-range 172.18.70.1-172.18.70.50 -j ACCEPT
-A FORWARD -m iprange --src-range 172.18.70.1-172.18.70.255 -d 172.16.30.3 -j ACCEPT

-A FORWARD -s 172.18.0.15 -o eth1 -j DROP
-A FORWARD -s 172.18.0.14 -o eth1 -j DROP
-A FORWARD -s 172.18.10.11 -o eth1 -j ACCEPT
-A FORWARD -s 10.10.10.11 -d 172.18.20.20 -j ACCEPT
-A FORWARD -s 172.16.30.0/24 -d 172.18.30.211 -j ACCEPT
-A FORWARD -s 172.18.30.64 -o eth1 -j ACCEPT
-A FORWARD -s 172.18.0.16 -o eth1 -j DROP
-A FORWARD -s 172.18.30.211 -o eth1 -j DROP
-A FORWARD -s 172.19.0.0/16 -o eth1 -j LOG --log-prefix "gwFOR19: "
-A FORWARD -s 172.18.0.0/16 -o eth1 -j LOG --log-prefix "gwFOR18: "
-A FORWARD -s 192.168.100.122 -o eth1 -j DROP
-A FORWARD -s 192.168.100.0/24 -o eth1 -j LOG --log-prefix "gwFOR100: "
-A FORWARD -s 172.18.20.13 -d 172.18.20.15 -j ACCEPT
-A FORWARD -s 192.168.20.0/24 -j LOG --log-prefix "gwFORwgc192: "
-A FORWARD -s 172.20.0.0/16 -j LOG --log-prefix "gwFORwgc172: "
-A FORWARD -s 192.168.2.0/24 -j LOG --log-prefix "gwFORgu192: "
-A FORWARD -s 172.16.0.0/16 -j LOG --log-prefix "gwFORgu172: "
-A FORWARD -s 10.10.10.80 -j ACCEPT
-A FORWARD -s 10.10.10.12 -j ACCEPT
-A FORWARD -s 10.10.10.54 -d 172.18.30.211 -j ACCEPT
-A FORWARD -s 10.10.10.0/24 -j LOG --log-prefix "FOR***10: "
-A FORWARD -s 192.168.0.0/24 -j ACCEPT
-A FORWARD -s 10.10.10.20 -j ACCEPT
-A FORWARD -s 10.10.10.21 -j ACCEPT
-A FORWARD -s 10.10.10.65 -j ACCEPT
-A FORWARD -s 10.10.10.11 -j ACCEPT
-A FORWARD -s 10.10.10.11 -d 172.18.20.11 -j ACCEPT
-A FORWARD -s 10.10.10.41 -d 172.18.10.11 -j ACCEPT
-A FORWARD -d 192.168.2.48 -j ACCEPT
-A FORWARD -d 192.168.2.0/24 -j ACCEPT
-A FORWARD -d 61.240.136.201 -j ACCEPT
-A FORWARD -s 172.18.100.100 -j ACCEPT
-A FORWARD -s 172.18.100.100 -d 172.18.0.0/16 -j ACCEPT
-A FORWARD -s 172.18.0.0/16 -d 172.19.0.0/16 -j ACCEPT
-A FORWARD -d 172.18.0.0/16 -s 172.19.0.0/16 -j ACCEPT
-A FORWARD -s 172.18.0.0/24 -j ACCEPT
-A FORWARD -d 172.18.0.0/24 -j ACCEPT
-A FORWARD -s 172.18.10.0/24 -j ACCEPT
-A FORWARD -s 172.18.20.0/24 -j ACCEPT
-A FORWARD -s 172.18.0.0/16 -o eth1 -p udp --dport 123 -j ACCEPT
-A FORWARD -s 172.18.0.0/16 -o eth1 -p tcp --dport 123 -j ACCEPT
-A FORWARD -s 172.18.0.0/16 -o eth1 -p udp --dport 161 -j ACCEPT
-A FORWARD -s 192.168.20.131 -d 172.18.20.2 -j ACCEPT
-A FORWARD -s 172.18.20.28 -d 172.18.100.100 -j ACCEPT
-A FORWARD -s 172.18.30.0/24 -j ACCEPT
-A FORWARD -s 172.18.40.0/24 -j ACCEPT
-A FORWARD -s 172.18.50.0/24 -d 172.18.70.0/24 -j ACCEPT
-A FORWARD -s 172.18.50.0/24 -j ACCEPT
-A FORWARD -s 172.18.60.0/24 -j ACCEPT
-A FORWARD -s 172.18.70.0/24 -j ACCEPT
-A FORWARD -d 172.18.70.0/24 -j ACCEPT
-A FORWARD -s 172.18.70.0/24 -d 172.18.50.0/24 -j ACCEPT
-A FORWARD -s 172.18.80.0/24 -j ACCEPT
-A FORWARD -s 172.18.0.0/16 -d 172.19.0.0/16 -j ACCEPT
-A FORWARD -d 172.18.0.0/16 -s 172.19.0.0/16 -j ACCEPT
-A FORWARD -s 172.18.90.0/24 -j ACCEPT
-A FORWARD -s 172.18.100.0/24 -j ACCEPT
-A FORWARD -s 172.18.0.15 -d 172.20.1.14 -j ACCEPT
-A FORWARD -s 172.18.50.0/24 -d 172.20.1.14 -j ACCEPT
-A FORWARD -s 172.18.70.0/24 -d 172.20.1.14 -j ACCEPT
-A FORWARD -s 172.18.20.0/24 -d 172.20.1.14 -j ACCEPT
-A FORWARD -i eth1 -s 192.168.100.121 -j ACCEPT
-A FORWARD -i eth1 -s 192.168.100.0/24 -j DROP
-A FORWARD -i eth0 -s 192.168.100.0/24 -j DROP
-A FORWARD -s 172.18.50.0/24 -d 224.0.0.0/8 -j ACCEPT
-A FORWARD -s 172.18.100.100 -j ACCEPT
-A FORWARD -d 172.18.100.100 -j ACCEPT
-A FORWARD -d 172.18.20.50 -j ACCEPT
-A FORWARD -d 172.18.20.51 -j ACCEPT
-A FORWARD -d 172.18.20.52 -j ACCEPT
-A FORWARD -d 172.16.30.36 -j ACCEPT
-A FORWARD -d 172.18.20.53 -j ACCEPT
-A FORWARD -d 172.18.20.114 -j ACCEPT
-A FORWARD -d 172.18.20.125 -j ACCEPT
-A FORWARD -s 172.18.20.0/24 -d 172.18.30.0/24 -j ACCEPT
-A FORWARD -s 172.18.30.0/24 -d 172.18.20.0/24 -j ACCEPT
-A FORWARD -i eth1 -p tcp --dport 194 -j ACCEPT
-A FORWARD -i eth1 -p icmp -j DROP
-A FORWARD -j LOG --log-prefix "gwTotal_for "
#-A FORWARD -j DROP
#------------------------------------------------------------------------
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -p tcp --dport 53 -j ACCEPT
-A INPUT -i eth0 -p tcp --dport 194 -j ACCEPT
-A INPUT -i eth0 -p udp --dport 53 -j ACCEPT
-A INPUT -i eth0 -p udp --dport 123 -j ACCEPT
-A INPUT -i eth0 -p tcp --dport 123 -j ACCEPT
-A INPUT -s 172.18.70.0/24 -d 172.18.70.255 -j DROP
-A INPUT -s 172.18.70.0/24 -d 172.18.70.1 -p tcp --dport 3344 -j ACCEPT
-A INPUT -s 172.18.0.16/32 -d 172.18.20.1 -p tcp --dport 3344 -j ACCEPT
-A INPUT -s 172.18.70.0/24 -j LOG --log-prefix "gw70_in "
-A INPUT -s 172.18.70.0/24 -j ACCEPT
-A INPUT -p udp --dport 137 -j DROP
-A INPUT -p udp --dport 138 -j DROP
-A INPUT -i eth1 -p udp --dport 5900 -j DROP
-A INPUT -i eth1 -p tcp --dport 5900 -j DROP
-A INPUT -i eth1 -s 60.173.9.247 -p tcp --dport 9922 -j DROP
-A INPUT -p udp --dport 67 -j DROP
-A INPUT -p udp --dport 68 -j DROP
-A INPUT -p tcp --dport 139 -j DROP
-A INPUT -p tcp --dport 137 -j DROP
-A INPUT -p tcp --dport 138 -j DROP
-A INPUT -p udp --dport 139 -j DROP
-A INPUT -p udp --dport 137 -j DROP
-A INPUT -p udp --dport 138 -j DROP
-A INPUT -p tcp --dport 445 -j DROP
-A INPUT -p udp --dport 445 -j DROP
-A INPUT -i eth1 -p tcp --dport 53 -j DROP
-A INPUT -i eth1 -p udp --dport 53 -j DROP
-A INPUT -i eth1 -p udp --dport 123 -j DROP
-A INPUT -i eth1 -p tcp --dport 123 -j DROP
-A INPUT -s 172.18.0.0/16 -d 118.244.194.192/27 -j ACCEPT
#-A INPUT -i eth1 -j LOG --log-prefix "WAN_in "
-A INPUT -s 172.18.10.11 -j ACCEPT
-A INPUT -s 172.18.10.12 -j ACCEPT
-A INPUT -s 172.18.0.14 -j ACCEPT
-A INPUT -s 172.18.0.15 -j ACCEPT
-A INPUT -s 172.18.30.211 -j ACCEPT
-A INPUT -s 172.18.30.11 -j ACCEPT
-A INPUT -s 172.18.30.100 -d 172.18.30.1 -j ACCEPT
-A INPUT -s 172.18.30.12 -j ACCEPT
-A INPUT -s 172.18.20.20 -j ACCEPT
-A INPUT -s 172.18.20.4 -j ACCEPT
-A INPUT -s 172.18.20.5 -j ACCEPT
-A INPUT -s 172.18.20.6 -j ACCEPT
-A INPUT -s 172.18.20.7 -j ACCEPT
-A INPUT -s 172.18.20.0/24 -j ACCEPT
-A INPUT -s 172.18.20.21 -j ACCEPT
-A INPUT -s 172.18.20.29 -j ACCEPT
-A INPUT -s 172.18.20.125 -j ACCEPT
-A INPUT -s 172.18.20.115 -j ACCEPT
-A INPUT -s 172.18.20.114 -j ACCEPT
-A INPUT -s 172.18.20.125 -j ACCEPT
-A INPUT -s 172.18.20.55 -j ACCEPT
-A INPUT -s 172.18.20.50 -j ACCEPT
-A INPUT -s 172.18.20.52 -j ACCEPT
-A INPUT -s 172.18.20.2 -j ACCEPT
-A INPUT -s 172.18.0.20 -j ACCEPT
-A INPUT -s 172.18.50.20 -j ACCEPT
-A INPUT -s 172.18.50.50 -j ACCEPT
-A INPUT -s 172.18.50.0/24 -j ACCEPT
-A INPUT -s 172.18.60.2 -p udp --dport 514 -j ACCEPT
-A INPUT -s 172.18.60.2 -p icmp -j ACCEPT
-A INPUT -s 172.18.70.11 -j ACCEPT
-A INPUT -s 172.18.70.12 -j ACCEPT
-A INPUT -s 172.18.70.24 -j ACCEPT
-A INPUT -s 172.18.70.25 -j ACCEPT
-A INPUT -s 172.18.70.22 -j ACCEPT
-A INPUT -s 172.18.70.21 -j ACCEPT
-A INPUT -s 172.18.70.23 -j ACCEPT
-A INPUT -s 172.18.70.30 -j ACCEPT
-A INPUT -s 172.18.70.31 -j ACCEPT
-A INPUT -s 172.18.70.32 -j ACCEPT
-A INPUT -s 172.18.70.25 -j ACCEPT
-A INPUT -s 172.18.70.51 -j ACCEPT
-A INPUT -s 172.18.70.52 -j ACCEPT
-A INPUT -s 172.16.30.50 -j ACCEPT
-A INPUT -s 172.16.30.51 -j ACCEPT
-A INPUT -s 172.16.30.52 -j ACCEPT
-A INPUT -s 172.16.0.16 -p tcp --dport 3344 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -j ACCEPT
-A INPUT -s 192.168.100.0/24 -j ACCEPT
-A INPUT -s 10.10.10.54 -j ACCEPT
-A INPUT -s 10.10.10.11 -d 172.18.20.11 -j ACCEPT
-A INPUT -s 10.10.10.11 -d 172.18.20.20 -j ACCEPT
-A INPUT -d 10.10.255.255 -j ACCEPT
-A INPUT -d 118.244.194.198 -p tcp --dport 8083 -j ACCEPT
-A INPUT -s 218.241.140.82 -d 118.244.194.197 -p tcp --dport 8558 -j ACCEPT
-A INPUT -s 223.72.70.125 -d 118.244.194.197 -p tcp --dport 8558 -j ACCEPT
-A INPUT -s 218.241.140.86 -d 118.244.194.211 -p tcp --dport 8080 -j ACCEPT
-A INPUT -s 101.226.125.104 -d 118.244.194.211 -p tcp --dport 8080 -j ACCEPT
-A INPUT -d 118.244.194.211 -p tcp --dport 80 -j DROP

-A INPUT -d 118.244.194.211 -p tcp --dport 8560 -m hashlimit --hashlimit-upto 300/sec --hashlimit-burst 512 --hashlimit-mode srcip --hashlimit-name T8560 -j ACCEPT
-A INPUT -d 118.244.194.211 -p tcp --dport 6580 -m hashlimit --hashlimit-upto 300/sec --hashlimit-burst 512 --hashlimit-mode srcip --hashlimit-name T6580 -j ACCEPT
-A INPUT -i eth1 -d 118.244.194.211 -p tcp -m tcp -m state --state NEW -m recent --set --name wt211 --rsource
-A INPUT -i eth1 -d 118.244.194.211 -p tcp -m tcp -m state --state NEW -m recent --update --seconds 30 --hitcount 90 --name wt211 --rsource -j DROP
-A INPUT -i eth1 -d 118.244.194.211 -p tcp -m tcp -m state --state NEW -m limit --limit-burst 20 --limit 10/s -j ACCEPT
-A INPUT -i eth1 -d 118.244.194.211 -p tcp -m tcp -m connlimit ! --connlimit-above 32 -j ACCEPT
#-A INPUT -i eth1 -d 118.244.194.211 -p tcp -m tcp -j DROP

-A INPUT -i eth1 -d 118.244.194.198 -p tcp --dport 8081 -m hashlimit --hashlimit-upto 300/sec --hashlimit-burst 512 --hashlimit-mode srcip --hashlimit-name W9981 -j ACCEPT
-A INPUT -i eth1 -d 118.244.194.198 -p tcp -m tcp -m state --state NEW -m recent --set --name wt198 --rsource
-A INPUT -i eth1 -d 118.244.194.198 -p tcp -m tcp -m state --state NEW -m recent --update --seconds 30 --hitcount 90 --name wt198 --rsource -j DROP
-A INPUT -i eth1 -d 118.244.194.198 -p tcp -m tcp -m state --state NEW -m limit --limit-burst 20 --limit 10/s -j ACCEPT
-A INPUT -i eth1 -d 118.244.194.198 -p tcp -m tcp -m connlimit ! --connlimit-above 32 -j ACCEPT
#-A INPUT -i eth1 -d 118.244.194.211 -p tcp -m tcp -j DROP

-A INPUT -d 118.244.194.197 -p tcp -m tcp --dport 8558 -j LOG --log-prefix "gwSQ8558: "
-A INPUT -d 118.244.194.197 -p tcp -m tcp --dport 8558 -j ACCEPT
#-A INPUT -i eth1 ! -d 118.244.194.197 -p tcp -m tcp --dport 8558 -j LOG --log-prefix "gwETH1_in "
-A INPUT -i eth1 -m state --state NEW -j LOG --log-prefix "gwETH1_in "
-A INPUT -d 118.244.194.199 -p tcp -m tcp --dport 9922 -j ACCEPT
-A INPUT -i eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -j LOG --log-prefix "gwETH0_in "
-A INPUT -i tap0 -j LOG --log-prefix "gwTAP0_in "
-A INPUT -i eth1 -d 118.244.194.211 -p tcp -m tcp -m state --state NEW -j DROP
-A INPUT -d 118.244.194.211 -p tcp -j DROP

-A INPUT -s 118.244.194.192/27 -j ACCEPT
-A INPUT -s 10.10.10.0/24 -j ACCEPT
-A INPUT -s 10.20.20.0/24 -j ACCEPT
-A INPUT -s 118.244.194.0/24 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -s 118.244.194.0/24 -p tcp -m tcp --dport 139 -j ACCEPT
-A INPUT -s 118.244.194.0/24 -p tcp -m tcp --dport 445 -j ACCEPT

-A INPUT -i eth1 -s 218.241.140.82 -d 118.244.194.197 -p tcp -m tcp --dport 8558 -m connlimit ! --connlimit-above 16 -j ACCEPT
-A INPUT -i eth1 -s 218.241.140.82 -d 118.244.194.197 -p tcp -m tcp --dport 8558 -m hashlimit --hashlimit-upto 64/sec --hashlimit-burst 80 --hashlimit-mode srcip --hashlimit-name SRC82 -j ACCEPT
-A INPUT -i eth1 -d 118.244.194.197 -p tcp -m tcp --dport 8558 -m state --state NEW -m recent --set --name w8 --rsource
-A INPUT -i eth1 -d 118.244.194.197 -p tcp -m tcp --dport 8558 -m state --state NEW -m recent --update --seconds 30 --hitcount 90 --name w8 --rsource -j DROP
-A INPUT -i eth1 -d 118.244.194.197 -p tcp -m tcp --dport 8558 -m state --state NEW -m limit --limit-burst 90 --limit 90/s -j ACCEPT
-A INPUT -i eth1 -d 118.244.194.197 -p tcp -m tcp --dport 8558 -m connlimit ! --connlimit-above 256 -j ACCEPT
-A INPUT -i eth1 -d 118.244.194.197 -p tcp -m tcp --dport 8558 -m state --state NEW -j DROP
-A INPUT -i eth1 -d 118.244.194.197 -p tcp -m tcp --dport 8558 -j DROP

-A INPUT -d 118.244.194.205 -p tcp -m tcp --dport 8549 -j ACCEPT
-A INPUT -d 118.244.194.205 -p tcp -m tcp --dport 8080 -j ACCEPT
-A INPUT -d 118.244.194.205 -p tcp -m tcp --dport 7001 -j ACCEPT
-A INPUT -d 118.244.194.205 -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -d 118.244.194.199 -p tcp -m tcp --dport 8083 -j ACCEPT
-A INPUT -s 192.168.2.24 -p tcp -j ACCEPT
-A INPUT -d 118.244.194.197 -p tcp -m tcp --dport 8543 -j ACCEPT
-A INPUT -d 118.244.194.197 -p tcp -m tcp --dport 8550 -j ACCEPT
-A INPUT -d 118.244.194.197 -p tcp -m tcp --dport 8525 -j ACCEPT
-A INPUT -d 118.244.194.197 -p tcp -m tcp --dport 8526 -j ACCEPT
-A INPUT -d 118.244.194.197 -p tcp -m tcp --dport 8081 -j ACCEPT
-A INPUT -d 118.244.194.197 -p tcp -m tcp --dport 8082 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 2121 -j ACCEPT
-A INPUT -d 118.244.194.0/24 -p tcp -m tcp --dport 21 -j DROP
-A INPUT -d 118.244.194.0/24 -p tcp -m tcp --dport 20 -j DROP
-A INPUT -d 118.244.194.0/24 -p tcp -m tcp --dport 22 -j DROP
-A INPUT -s 118.244.194.0/24 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -s 118.244.194.0/24 -p udp -m udp --dport 123 -j ACCEPT
-A INPUT -s 118.244.194.0/24 -p tcp -m tcp --dport 123 -j ACCEPT
-A INPUT -i eth1 -p udp --dport 123 -j DROP
#-A INPUT -i eth1 -s 221.179.168.178 -p tcp -m tcp --dport 9922 -j ACCEPT
#-A INPUT -i eth1 -s 221.179.168.251 -p tcp -m tcp --dport 9922 -j ACCEPT
#-A INPUT -i eth1 -s 221.179.168.0/24 -p tcp -m tcp --dport 9922 -m state --state NEW -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 9922 -m state --state NEW -m recent --set --name sshlimit --rsource
-A INPUT -i eth1 -p tcp -m tcp --dport 9922 -m state --state NEW -m recent --update --seconds 160 --hitcount 2 --name sshlimit --rsource -j DROP
-A INPUT -i eth1 -p tcp -m tcp --dport 9922 -m state --state NEW -m limit --limit-burst 2 --limit 1 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 9922 -m state --state NEW -j DROP

-A INPUT -i eth1 -p tcp -m tcp -m state --state NEW -m recent --set --name tcplimit --rsource
-A INPUT -i eth1 -p tcp -m tcp -m state --state NEW -m recent --update --seconds 90 --hitcount 30 --name tcplimit --rsource -j DROP
-A INPUT -i eth1 -p tcp -m tcp -m state --state NEW -m limit --limit-burst 4 --limit 2 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp -m state --state NEW -j DROP

-A INPUT -i eth1 -p udp -m udp -m state --state NEW -m recent --set --name udplimit --rsource
-A INPUT -i eth1 -p udp -m udp -m state --state NEW -m recent --update --seconds 90 --hitcount 3 --name udplimit --rsource -j DROP
-A INPUT -i eth1 -p udp -m udp -m state --state NEW -m limit --limit-burst 4 --limit 2 -j ACCEPT
-A INPUT -i eth1 -p udp -m udp -m state --state NEW -j DROP
-A INPUT -i eth1 -p udp -m udp -j DROP
-A INPUT -i eth1 -p udp -m udp -m limit --limit-burst 4 --limit 2 -j ACCEPT

-A INPUT -s 192.168.0.0/24 -j ACCEPT
-A INPUT -s 192.168.100.0/24 -j ACCEPT
-A INPUT -s 172.18.0.0/24 -j ACCEPT
-A INPUT -s 172.19.0.0/16 -j ACCEPT
-A INPUT -i eth0 -j LOG --log-prefix "gwETH0_in "
#-A INPUT -i eth1 -j LOG --log-prefix "ETH1end_in "
-A INPUT -i tap0 -j LOG --log-prefix "gwTAP0_in "
-A INPUT -j DROP

COMMIT

Completed on Wed Jun 11 01:06:48 2014

转载于:https://blog.51cto.com/jxwpx/2147238

weixin_33724059
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Linux为FTP服务器添加iptables规则–案例分析
01-09
一、故障描述 　　由于开发提出需求，为他们搭建内部ftp服务器，搭建好后，提交给他们，测试可以正常使用。后来过了一段时间后，有无法登陆了。于是去ftp主机上检查问题，ftp的配置文件没有改动，端口监听也正常。telnet也可以通。但是用网页，或者winscp 访问是无法连接。后来谷歌后，发现ftp的iptables 规则比其它应用不太像，有点特别。需要特别的修改下防火墙。（询问后，得知之前其它运维同事加固过该机器的防火墙….） 　　二、解决方式 　　1.在原有的防火墙规则中加入以下规则。 　　-A INPUT -p tcp -s 192.168.30.0/24 -p tcp -m st
iptables中的PREROUTING和POSTROUTING
weixin_33969116的博客
07-09 1046
工作中用到iptables，PREROUTING和POSTROUTING，写个简单例子，为以后作参考 [root@tech ~]# cat /tmp/ipt_tmp.sh # Generated by iptables-save v1.3.5 on Mon Jul 9 08:17:39 2012 *filter :INPUT ACCEPT [39519334:18...
Linux下iptables实践与详解
小小默：进无止境
03-04 1293
【1】简介 当主机收到一个数据包后，数据包先在内核空间中处理，若发现目的地址是自身，则传到用户空间中交给对应的应用程序处理，若发现目的不是自身，则会将包丢弃或进行转发。 iptables实现防火墙功能的原理是：在数据包经过内核的过程中有五处关键地方，分别是PREROUTING、INPUT、OUTPUT、FORWARD、POSTROUTING，称为钩子函数。iptables这款用户空间的软件可以...
linux防火墙 四表五链 语法规则
konghui099的博客
07-07 477
linux防火墙 linux防火墙是linux内核的一个功能，iptables（管理工具） 结构： 四个表五个链 raw表 连接跟踪表 不常用，跟踪记录连接情况 PREROUTING OUPUT mangle表 矫正表 不常用，策略路由、QOS限速使用的 5个链都有 nat表 地址转换表 比较常用， SNAT DNAT ...
ipbale 常用指令（供自己学习参考，如果有错请大侠们指出）
STEELY CHEN的专栏
07-13 1056
本文档仅为了个人学习用，因为google 文档在中国打开灰常慢，所以只有csdn存自己的文档了，文档会不断更新 ip 端口 转发， *nat :PREROUTING ACCEPT [0:0] :OUTPUT ACCEPT [0:0] :POSTROUTING ACCEPT [0:0] -A PREROUTING -p tcp --dport 81 -d 192.168.1.199 -j
iptables和容器Docker命令详细解析--看完秒懂
qq_43636320的博客
09-09 4456
表（tables）提供特定的功能，iptables内置了4个表，即filter表、nat表、mangle表和raw表，分别用于实现包过滤，网络地址转换、包重构(修改)和数据跟踪处理。链（chains）是数据包传播的路径，每一条链其实就是众多规则中的一个检查清单，每一条链中可以有一 条或数条规则。当一个数据包到达一个链时，iptables就会从链中第一条规则开始检查，看该数据包是否满足规则所定义的条件。如果满足，系统就会根据 该条规则所定义的方法处理该数据包；
iptables
小猪观察员的博客
04-20 321
安全运维中几条实用的 iptables 规则总结 案例一 假设运行 iptables 的 Linux 主机作为企业的网关防火墙， 其上有2个以太网卡：eth0 连接 Internet，使用公网 IP ；eth1 连接企业内网，使用局域网 IP，要限制内网用户访问 www.evil.com iptables -A OUTPUT -o eth0 -p tcp -d www.evil.com --dport 80 -j DROP 登录后复制 或者 iptables -A OU...
3G设置linux路由-iptables配置
weixin_30692143的博客
02-04 255
1.如何区分iptables的PREROUTING和POSTROUTING链 （引自http://jingyan.baidu.com/article/aa6a2c143d84470d4c19c4cf.html） *mangle#-A PREROUTING -i wlan0 -j TTL --ttl-inc 1#-A POSTROUTING -o wlan0 -j TTL --ttl-dec ...
Iptables 指南 1.1.19
leopard_ray的专栏
05-23 2217
Iptables 指南 1.1.19Oskar Andreasson     [email protected]     Copyright © 2001-2003 by Oskar Andreasson本文在符合 GNU Free Documentation 许可版本1.1的条件下，可以拷贝、分发、更改，但必须保留绪言 和所有的章节，如印刷成书，封
关于PREROUTING链和POSTROUTING链
热门推荐
leo_wanta的专栏
12-12 1万+
PREROUTING 和 POSTROUTING 的简单关系 源地址发送数据--> {PREROUTING-->路由规则-->POSTROUTING} -->目的地址接收到数据 当你使用：iptables -t nat -A PREROUTING -i eth1 -d 1.2.3.4 -j DNAT --to 192.168.1.40 时，你访问1.2.3.4，linux路由器会在“路由规则
Iptables中文使用指南
06-06
第一章序言部分除了第三小节介绍的术语要看看，其他都没什么。...第七章与第八章是实例讲解，对我们编写自己的规则很有指导意义的，强烈建议你看一看。 附录里有一些资源链接是很好的，相信你一定会喜欢。
iptables命令实例
03-31
在介绍iptables之前，我们先来了解一下防火墙的相关知识： 防火墙存在于网络边界，通过预设规则对进出口路由进行检查的处理组件；防火墙分为包过滤防火墙和procy防火墙，（第二种称谓可能不太合适，欢迎大家来指点哦...
iptables应用案例分析--包过滤
11-21
iptables应用案例分析--包过滤，以实例说明iptables包过滤的原理。
set-iptables.sh
06-17
本脚本使用与web服务器，开发80端口，使用时可根据服务器设置端口自行修改，若用于其他服务器，可根据服务器用途自行添加或修改规则。
网络安全之反弹Shell
小飞的博客
04-12 1428
在网络安全和渗透测试领域，“正向Shell”（Forward Shell）和"反向Shell"（Reverse Shell）是两种常用的技术手段，用于建立远程访问目标计算机的会话。这两种技术都可以让攻击者在成功渗透目标系统后执行命令，但它们在建立连接的方式上有所不同。
Verilog 不可综合部分
Arthur...J的博客
04-22 337
Verilog中存在部分用于仿真验证的子集，只在仿真时使用，因为没有对应的硬件元件，因此不可综合。
hcip实验5：ospf综合实验
rrl18215821889的博客
04-20 474
私网的ip还是不能够访问公网上R4的环回地址 ，因为公网口的地址并没有宣告进私网（这里需要下发一条默认缺省让其他路由器能够访问公网口----3、整个OSPF环境IP基于172.16.0.0/16划分；除了R12有两个环回，其他路由器均有一个环回IP。1、R4为ISP，其上只配置IP地址；2、R3-R5、R6、R7为MGRE环境，R3为中心站点；5、减少LSA的更新量，加快收敛，保障更新安全；4.配置nat easy ip能够访问R4的环回。4、所有设备均可访问R4的环回；8.配置认证保证安全。
Mac 上可以使用 ping 端口
最新发布
qq_37194189的博客
04-24 96
在 Mac 上可以使用 ping 命令来检查与另一台计算机或网络设备的连通性。要 ping 一个端口，你需要使用另一个命令 nc（也称为 netcat）。
OSI网络七层协议＜随手笔记＞
Timmer的博客
04-19 529
OSI（Open System Interconnect），即。一般都叫，是组织在1985年研究的网络互连模型。该体系结构标准定义了网络互连的七层框架。
直接给出代码案例,java读取iptables规则,按照优先级排序
09-02
以下是一个简单的示例代码，它可以使用Java读取iptables规则，并按照优先级进行排序： ```java import java.io.BufferedReader; import java.io.IOException; import java.io.InputStreamReader; import java.util....

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值