filter表是默认表,功能是对数据包做过滤。此表有三条链(iptables -t filter -L -n,用此命令查看),分别是:INPUT、FORWARD、OUTPUT。
INPUT链:数据流向iptables主机本身的数据包经过input链。比如访问iptables主机的22、80等端口的包会到input链,然后与此链中的规则进行匹配,决定丢弃或放行。
--->eth0----iptables主机各种应用----eth1<------
-->input input<--
FORWARD链:数据包从接口进来,只要目标地址不是iptables主机本身,此包会通过forward链进行转发。
--->eth0----------forward---------->eth1-----
目的地址:不是本机
比如LinuxA ping LinuxB,数据包的目的地址不是iptables本机而是其它网段或外网,会进行路由选择,并把数据包放入filter表的forward链处理。
OUTPUT链:iptables主机发出的数据包,比如linuxA ping iptables,iptables回应请求时就会经过output链。
例:禁止192.168.198.1 ping iptables(192.168.198.250)主机
icmp包说明:
TYPE | CODE | Description | Query | Error |
---|---|---|---|---|
0 | 0 | Echo Reply——回显应答(Ping应答) |
8 | 0 | Echo request——回显请求(Ping请求) | x |
在进入时候把icmp的请求丢弃
iptables -t filter -A INPUT -p icmp --icmp-type 8 -s 192.168.198.1 -i eth0 -j DROP
[root@fw myshell]# iptables -L -n --line-number Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP icmp -- 192.168.198.1 0.0.0.0/0 icmp type 8
没有指定网卡、源地址,默认指所有网卡、所有地址
[root@fw myshell]# iptables -t filter -A INPUT -p icmp --icmp-type 8 -j DROP
[root@fw myshell]# iptables -L -n --line-number Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 8 Chain FORWARD (policy ACCEPT) num target prot opt source destination Chain OUTPUT (policy ACCEPT) num target prot opt source destination
例:禁止LinuxB(10.1.1.2) 访问 iptables主机的22端口
iptables -A INPUT -p tcp --dport 22 -s 10.1.1.2 -j DROP
[root@fw myshell]# iptables -L -n --line-number Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP tcp -- 10.1.1.2 0.0.0.0/0 tcp dpt:22 Chain FORWARD (policy ACCEPT) num target prot opt source destination Chain OUTPUT (policy ACCEPT) num target prot opt source destination
例:禁止10.1.1.2访问192.168.198.1的139端口。
因为数据包不是到iptables本地的,所以需要把规则做在forward链上。
iptables -A FORWARD -s 10.1.1.2 -d 192.168.198.1 -p tcp --dport 139 -j DROP
[root@fw myshell]# iptables -L -n --line-number Chain INPUT (policy ACCEPT) num target prot opt source destination 1 DROP tcp -- 10.1.1.2 0.0.0.0/0 tcp dpt:22 Chain FORWARD (policy ACCEPT) num target prot opt source destination 1 DROP tcp -- 10.1.1.2 192.168.198.1 tcp dpt:139 Chain OUTPUT (policy ACCEPT) num target prot opt source destination
转载于:https://blog.51cto.com/hxw168/1404942