iptables基本概念深入理解

iptables解析

一般centos系统（即便是mini版）会默认会安装iptables rpm包，这个rpm包括了iptables运行时的动态链接库，以及创建规则的命令（iptables/iptables-save/iptables-restore）等等，那么有此包之后便可以进行端口转发NAT、过滤filter等规则，默认安装之iptables rpm包后是没有任何防火墙规则，即没有任何防火墙规则限制，通过iptables做规则之后即可生效，并且通过iptables-save可以将规则输出终端进行查看，但是此种方法重启后将失效，需要将规则命令写入开机启动/etc/rc.local重启后依然生效，同时加入echo 1 > /proc/sys/net/ipv4/ip_forward ，注意： 需要执行chmod +x /etc/rc.d/rc.local

如果要使用iptables做为系统的一个服务使用，则同时需要安装iptables和iptables-services的rpm包，iptables-services的rpm包包括iptables服务的运行文件，默认安装这两个包之后便可以使用iptables服务，systemctl start iptables或者service start iptables，服务启动后默认会生成一些默认的防火墙配置，如默认规则为INPUT链允许icmp和22端口的网络协议包通过，其他数据包均不能通过（iptables-services-1.4.2的默认规则，其他版本可能有不一样），可以在/etc/sysconfig/iptables查看到iptables的配置，便可以通过服务去管理iptables的相应规则。
总结为：只有iptables rpm包的时候也能做nat filter等策略，写多少，生效多少，规则保存在内和缓冲区，重启失效，写入开机启动则永久生效。有iptables及iptables-service rpm包的时候可以启动iptables服务，启动服务后，会有默认配置（默认规则为INPUT链允许icmp和22端口的网络协议包通过，其他数据包均不能通过）在此默认配置上再自己手动增加再保存，再重启iptables服务来写入内核，永久生效，通过服务区管理防火墙规则。

iptables保存规则

iptables-save, service iptables save 作用一样，只不过iptables-save需要手动指定路径及文件名，如果不指定文件名，则结果输出在终端，重启之后失效，而service iptables save的文件为/etc/sysconfig/iptables。默认iptables新建的规则保存在规则缓冲区中，用iptables -F 或iptables -X会清空规则缓冲区的内容；如果需要保存则service iptables save，重启系统或systemctl restart iptables或service restart iptables则永久生效，不保存的话重启iptables不影响，重启机器失效，没有装iptables-services服务来管理的话需要将缓冲区的策略写入开机启动。

iptables恢复规则

iptables-restore, service iptables restore 作用一样，只不过iptables-restore需要手动指定路径及文件名，而service iptables restore的文件为/etc/sysconfig/iptables

实例

iptables做端口转发 访问192.168.240.129的22022端口转发至192.168.240.130的22端口，此种情况下如果不能直接ssh 192.168.240.130，但是可以访问192.168.240.129，可以通过129做跳板端口转发去ssh192.168.240.130。
iptables -t nat -A PREROUTING -d 192.168.240.129 -p tcp -m tcp --dport 22022 -j DNAT --to-destination 192.168.240.130:22
// DNAT做端口映射，在192.168.240.129 prerouting链上所有发往192.168.240.129 22022的包都转发至192.168.240.130:22
iptables -t nat -A POSTROUTING -d 192.168.240.130 -p tcp -m tcp --dport 22 -j SNAT --to-source 192.168.240.129
// SNAT做出口访问转发，在POSTROUTING链上将来自192.168.240.130:22的包全部从192.168.240.129网卡的POSTROUTING转发出去

转载于:https://blog.51cto.com/7142665/2057121