iptables

最新推荐文章于 2024-05-01 23:03:56 发布

weixin_34019929

最新推荐文章于 2024-05-01 23:03:56 发布

阅读量44

点赞数

文章标签：网络 python

原文链接：https://my.oschina.net/hnuweiwei/blog/845739

版权

2019独角兽企业重金招聘Python工程师标准>>>

iptables组成

3个表 5条链

规则表

mangle表：为数据包设置标记，用来做流量整形的.

nat表：修改数据包中的源、目标IP地址或端口.

filter表：确定是否放行该数据包（过滤）

5条链

INPUT：处理入站数据包

OUTPUT：处理出站数据包

FORWARD：处理转发数据包

POSTROUTING链：在进行路由选择后处理数据包

PREROUTING链：在进行路由选择前处理数据包

数据包转发流程

梳理顺序

表的优先顺序

mangle>nat>filter

规则链间的匹配顺序

入站数据：PREROUTING > INPUT

出站数据：OUTPUT > POSTROUTING

转发数据：PREROUTING > FORWARD > POSTROUTING

iptables 书写命令

几个注意事项
- 不指定表名时，默认表示filter表
- 不指定链名时，默认表示该表内所有链
- 除非设置规则链的缺省策略，否则需要指定匹配条件
添加规则
- -A：在一个链的最后面新增( append ) 一条规则
- -I：在链内某个位置插入(insert)一条规则（默认插入第一个，加数字按数字位置加）
清除规则
- -D：删除指定位置或内容的规则
- -F：清空规则链内的所有规则
- -Z：清空计数器
替换规则
- -R：在链内某个位置替换(replace)一条规则
显示规则
- -L：列出一个链中的规则
自定义规则链
- -N：创建一条新的规则链
- -X：删除自定义的规则链

例如：
#插入规则
/sbin/iptables -t filter -A INPUT -p tcp -j ACCEPT
/sbin/iptables -I INPUT -p udp -j ACCEPT
/sbin/iptables -I INPUT 2 -p icmp -j ACCEPT
/sbin/iptables -L INPUT --line-numbers
#删除规则
/sbin/iptables -D INPUT 2
/sbin/iptables -F INPUT
#清空计数器
/sbin/iptables --list -v -n
/sbin/iptables -Z
#修改chain目标
/sbin/iptables -P INPUT DROP

协议匹配
- 使用“-p 协议名”的形式
- 协议名可使用在“/etc/protocols”文件中定义的名称
- 常用的协议包括tcp、udp、icmp等
地址匹配
- 使用“-s 源地址”、 “-d 目标地址”的形式
- 地址可以是单个IP地址、网络地址（带掩码长度）
接口匹配
- 使用“-i 网络接口名”、 “-o 网络接口名”的形式，分别对应接收、发送数据包的网络接口

#协议匹配
/sbin/iptables -I INPUT -p icmp -j REJECT
/sbin/iptables -A FORWARD -p ! icmp -j ACCEPT
#地址匹配
/sbin/iptables -A FORWARD -s 192.168.1.11 -j REJECT
/sbin/iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP
#接口匹配
/sbin/iptables -A FORWARD -o eth1 -d 61.35.4.3 -j DROP

端口匹配
- 使用“--sport 源端口”、“--dport 目标端口”的形式
- 采用“端口1:端口2”的形式可以指定一个范围的端口
TCP标记匹配
- 使用“--tcp-flags 检查范围被设置的标记”的形式
- 如“--tcp-flags SYN,RST,ACK SYN”表示检查SYN、RST、ACK这3个标记，只有SYN为1时满足条件
ICMP类型匹配
- 使用“--icmp-type ICMP类型”的形式
- ICMP类型可以使用类型字符串或者对应的数值，例如Echo-Request、Echo-Reply