iptables filter表 nat表 应用实例

最新推荐文章于 2023-06-06 09:00:00 发布
最新推荐文章于 2023-06-06 09:00:00 发布
阅读量104 收藏
点赞数
文章标签： 网络 shell python
原文链接：https://my.oschina.net/u/3731306/blog/1859386
版权

2019独角兽企业重金招聘Python工程师标准>>> hot3.png

iptables基础实例

iptables -nvL 查看规则

[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   33  2412 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 22 packets, 2016 bytes)
 pkts bytes target     prot opt in     out     source               destination         
[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   38  2784 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

iptables -F 清空规则

[root@localhost ~]# iptables -F
[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 5 packets, 388 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

service iptables restart 重新加载规则

[root@localhost ~]# service iptables restart
Redirecting to /bin/systemctl restart  iptables.service

iptables -Z 清空计数器

[root@localhost ~]# iptables -Z
[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    5   388 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 4 packets, 448 bytes)
 pkts bytes target     prot opt in     out     source               destination

service iptables save 将规则保存到配置文件中/etc/sysconfig/iptables

iptables -t 指定表，不加-t默认是filter表

[root@localhost ~]# iptables -A INPUT -s 192.168.1.1 -p tcp --sport 8080 -d 192.168.100.100 --dport 80 -j DROP
[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
 224 15912 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
   0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
   0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
   0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
   6  1129 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
   0     0 DROP       tcp  --  *      *       192.168.1.1          192.168.100.100      tcp spt:8080 dpt:80

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         
   0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 15 packets, 1428 bytes)
pkts bytes target     prot opt in     out     source               destination

iptables -A 添加一条规则，添加规则到尾行 iptables -A INPUT -s 192.168.1.1 -p tcp --sport 8080 -d 192.168.100.100 --dport 80 -j DROP这段代码的意识是添加一条规则在-s表示来源 -p是协议 -sport 是源端口，-d目的地址 -dport是目的端口 -j 是选择的操作 DROP是丢弃的意思。

iptables -I是插入一条规则，会插入到首行，数据通信匹配iptables中的规则会从上向下匹配，当匹配到合适的就不会再继续向下匹配。

[root@localhost ~]# iptables -I INPUT -s 192.168.1.1 -p tcp --sport 8080 -d 192.168.100.100 --dport 80 -j REJECT
[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     tcp  --  *      *       192.168.1.1          192.168.100.100      tcp spt:8080 dpt:80 reject-with icmp-port-unreachable
  438 37040 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
   11  1920 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
    0     0 DROP       tcp  --  *      *       192.168.1.1          192.168.100.100      tcp spt:8080 dpt:80

iptables -nvL --line-number 显示规则编号

[root@localhost ~]# iptables -nvL --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     tcp  --  *      *       192.168.1.1          192.168.100.100      tcp spt:8080 dpt:80 reject-with icmp-port-unreachable
2      489 40692 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
3        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
4        0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
5        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
6       11  1920 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
7        0     0 DROP       tcp  --  *      *       192.168.1.1          192.168.100.100      tcp spt:8080 dpt:80

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 40 packets, 5000 bytes)
num   pkts bytes target     prot opt in     out     source               destination

iptables -D 删除规则，可根据行号删除 iptables -D INPUT 7 删除第7条规则

[root@localhost ~]# iptables -D INPUT 7
[root@localhost ~]# iptables -nvL --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     tcp  --  *      *       192.168.1.1          192.168.100.100      tcp spt:8080 dpt:80 reject-with icmp-port-unreachable
2      534 43876 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
3        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
4        0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
5        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
6       16  2810 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 4 packets, 480 bytes)
num   pkts bytes target     prot opt in     out     source               destination

netfilter nat表应用

实例1：A机器两块网卡一块连接外网，一块在内网环境，B机器只有一块网卡在内网环境，两台机器在同一内网中。通过A机器能让B机器上网。

  1. A机器上打开路由转发功能 echo "1" >/proc/sys/net/ipv4/ip_forward
[root@localhost ~]# echo "1">/proc/sys/net/ipv4/ip_forward 
[root@localhost ~]# cat /proc/sys/net/ipv4/ip_forward 
1
  1. A机器上执行iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o eno16777736 -j MASQUERADE在外网口开启端口转发
  2. 再给B机器配置好网关，就是A机器的内网口的地址 route add default gw 192.168.100.1

4、B机器就可以ping通外网了。

实例2 端口映射，可以让外部机器访问B机器

  1. A机器同样打开路由转发功能echo "1" >/proc/sys/net/ipv4/ip_forward
  2. A机器执行iptables -t nat -A PREROUTING -d 192.168.254.100 (模拟外网ip) -p tcp --dport 3000（借用端口） -j DNAT --to 192.168.100.100:22（C机器地址和端口）
  3. A 机器执行iptables -t nat -A POSTROUTING -s 192.168.100.100 -j SNAT --to 192.168.254.100
  4. B机器同样要设置网关
Connecting to 192.168.254.100:3000...
Connection established.
To escape to local shell, press 'Ctrl+Alt+]'.

Last login: Thu Jul 19 21:29:24 2018
[root@localhost ~]# ifconfig
eno16777736: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.100.100  netmask 255.255.255.0  broadcast 192.168.100.255
        inet6 fe80::20c:29ff:fe50:6d26  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:50:6d:26  txqueuelen 1000  (Ethernet)
        RX packets 62  bytes 9270 (9.0 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 78  bytes 11214 (10.9 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 0  (Local Loopback)
        RX packets 6  bytes 504 (504.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 6  bytes 504 (504.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

可以看到使用C机器的Xshell连接A机器的ip指定做过映射的端口3000 ，成功的连接到了B机器。

转载于:https://my.oschina.net/u/3731306/blog/1859386

weixin_34334744
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
iptables简单介绍，filter及nat表简单使用
weixin_41572126的博客
06-05 1816
iptables防火墙 iptables防火墙服务介绍 firewalld(RHEL7/8)、iptables(RHEL6及以前的版本) 由于firewalld的底层是基于iptables实现的，因此在使用iptables时建议先把firewalld卸载。 #卸载firewalld [root@localhost ~]# systemctl status firewalld [root@localhost ~]# systemctl stop firewalld [root@localhost ~]#
iptables防火墙与NAT服务
herostarone的专栏
08-05 9102
iptables防火墙与NAT服务 一.防火墙的概述 1.简介 (1)设置在不同的网络或网络安全域之间的一系列部件的组合,它能增强机构内部网络的安全性 (2)通过审查经过每一个数据包，判断它是否有相匹配的过滤规则，根据规则先后顺序一一进行比较，直到满足其中的一条规则为止，然后依据控制机制做出相应的动作，若都不能满足，则将数据包丢弃，从而保护网络安全。 (3)可以是一台路由器，也可以是一台
Iptables防火墙、filter表控制、nat表典型应用（SNAT、DNAT、地址伪装）非常详细！！
weixin_45444133的博客
12-06 1100
关闭firewalld启动iptables服务 关闭firewalld服务器 systemctl stop firewalld.service systemctl disable firewalld.service 下载iptables-server yum -y install iptables-services 启动服务和设置自启： systemctl restart ...
iptables防火墙及filter和nat的相关操作
m0_52508197的博客
09-30 526
iptables防火墙及filter和nat的相关操作
【运维知识进阶篇】iptables防火墙详解（iptables执行过程+表与链概述+iptables命令参数+配置filter表规则+NAT表实现共享上网、端口转发、IP映射）
最新发布
吾日三省吾身，想出类拔萃，要把知识学牢，学全，学深，学广。
06-06 9336
这篇文章给大家介绍下iptables防火墙，防火墙大致分三种，分别是硬件、软件和云防火墙。硬件的话部署在企业网络的入口，有三层路由的H3C、华为、Cisco（思科），还有深信服等等；软件的话一般是开源软件，写在网站内部，最常见的有iptables（写入Linux内核）和firewalld（CentOS7有的），云防火墙就是阿里云业务的防火墙安全组等等。
iptables命令实例
08-04
本文档主要介绍了 Linux 中的iptables 命令的实例，涵盖了 iptables 的基本用法、规则设定、端口控制、NAT 转发等方面的知识点。 一、iptables 的基本概念 iptables 是 Linux 系统中的一个防火墙工具，用于控制...
iptables讲义(CU白金)
10-29
1. 概述 2. 框架图 3. 语法 4. 实例分析 5. 网管策略 6. FAQ 7. 实战
iptables配置实例[参考].pdf
10-11
使用`iptables -L`可以列出filter表中的所有规则，如果需要查看其他表，如nat或mangle，可以加上表名`-t`参数。 4. 添加规则： `iptables -A`用于在链的末尾添加规则。例如，允许来自回环接口（lo）和eth0接口的...
iptables常用命令和使用
02-21
iptables的工作原理在于对数据包进行过滤，它主要由三个表组成：`filter` 表、`nat` 表和 `mangle` 表。 #### 二、iptables的表结构 1. **Filter表**：这是默认的表，主要用于过滤数据包，包括 `INPUT`、`OUTPUT` ...
iptables 1.1中文指南
10-11
- **iptables** 通过操作内核中的几个表来实现其功能，这些表包括 `filter` 表、`nat` 表和 `mangle` 表等。 - 每个表中包含若干个链（chain），链是规则的集合。 #### 三、iptables的表与链 - **表（Table）**：...
day34：iptables之filter表及nat的应用
weixin_33832340的博客
08-09 106
2019独角兽企业重金招聘Python工程师标准>>> ...
iptables防火墙 filter表控制 扩展匹配 nat表典型应用
jon_stark的博客
05-19 2825
一 iptables基本管理                1--熟悉iptables框架        1）iptables的4个表（区分大小写）：iptables默认有4个表，nat表（地址转换表）、filter表（数据过滤表）、raw表（状态跟踪表）、mangle表（包标记表）。2）iptables的5个链（区分大小写）：INPUT链（入站规则）OUTPUT链（出站规则）FORWARD链（转...
iptables filter表，iptables nat表
weixin_34217711的博客
04-13 1165
2019独角兽企业重金招聘Python工程师标准>>> ...
linux nat
04-27 243
（一）Iptables 的使用语法在使用iptables的NAT功能时，我们必须在每一条规则中使用"-t nat"显示的指明使用nat表。然后使用以下的选项::1. 对规则的操作加入(append) 一个新规则到一个链 (-A)的最后。在链内某个位置插入(insert) 一个新规则(-I)，通常是插在最前面。在链内某个位置替换(replace) 一条规则 (-R)。在链内某个位置删...
【Linux系统】第16节 Linux系统iptables命令详解—包过滤规则和NAT网络地址转换
m0_64378913的博客
03-11 4706
目录1 iptables中的“四表五链”概述1.1 iptables中的“四表”1.2 iptables中的“五链”2 iptables命令详解及示例2.1 iptables命令语法规则2.2 ACTION动作2.3 COMMAND命令2.3.1 规则管理2.3.2 链管理2.3.3 查看规则2.4 匹配条件2.4.1 通用匹配条件2.4.2 隐含匹配条件2.4.3 显式扩展匹配条件2.5 iptables服务的重启、备份与保存3 NAT网络地址转换示例3.1 示例13.2
iptables配置——NAT地址转换
热门推荐
知秋一叶
11-29 6万+
iptables nat 原理 同filter表一样，nat表也有三条缺省的"链"(chains)：     PREROUTING:目的DNAT规则   把从外来的访问重定向到其他的机子上，比如内部SERVER，或者DMZ。           因为路由时只检查数据包的目的ip地址，所以必须在路由之前就进行目的PREROUTING DNAT;           系统先P
Centos6.5 iptables的Filter详解
不能说的秘密的博客
05-01 2万+
今天一个同学它的腾讯云服务器出现了个小问题，启动tomcat服务器后。在服务器本机上使用curl 127.0.0.1:8080访问没任何问题。但通过外网ip却一直访问不了。然后我Google的一堆解决方法，最多的还是关于防火墙iptables的配置。虽然最后重新装了一个tomcat后就莫名其妙的正常了。根本不是iptables的问题，但通过解决这个问题查询了大量iptables方面的知识
（4）配置防火墙filter和nat转发（转载）
hustsselbj的专栏
05-20 3778
如果用树莓派当作路由器转发有线和无线网络，则需要对iptables进行相关配置。配置NAT转发的话，MASQUERADE一条规则是关键。 iptables共3个tables（filter nat mangle，现在貌似是4个表）5条chains（PREROUTING INPUT FORWARDING OUTPUT POSTROUTING）4个连接跟踪数据包状态（NEW INVALID EST
[网络安全学习篇31]：Linux 防火墙 iptables 中 filter（包过滤防火墙）和 nat（路由转换）详解
安全知识学习-该平台为唯一原作者平台，其他平台属冒名顶替，请勿相信上当受骗
04-16 2746
包过滤防火墙 iptables 工具 4个功能（表）： raw 不常配置 mangle 不常配置 nat filter 过滤
iptables防火墙实战：filter与nat表应用、扩展规则解析
"10.6章节讲解了iptables防火墙的使用，包括filter表控制、扩展匹配、nat表的典型应用，以及对相关知识点的总结和解答。文档通过多个案例介绍了iptables的基本管理和应用，如关闭firewalld，启用iptables服务，添加...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值