防火墙语法(二):
匹配类型:
通用匹配:
可直接使用,不依赖于其他条件或扩展
包括网络协议、IP地址、网络接口等条件
隐含匹配:
要求以特定的协议匹配作为前提
包括端口、TCP标记、ICMP类型等条件
显示匹配:
要求以“-m 扩展模块” 的形式明确指出类型
包括多端口、MAC地址、IP范围、数据包状态等条件
常用的通用匹配条件:
协议匹配: -p 协议名
地址匹配:-s 源地址、-d 目的地址
接口匹配:-i 入站网卡、-o 出站网卡
举例:iptables -A INPUT -i eth0 -s 192.168.197.170 -j DROP
含义:来源地址192.168.197.170的访问请求,入站经过网卡是eth0时,直接拒绝(丢弃)该访问
常用的隐含匹配条件:
端口匹配:–sport 源端口、–dport 目的端口
ICMP类型匹配:–icmp-type ICMP类型
举例:
利用做到防火墙--icmp-type ICMP的类型本机可以ping别的机器,别的机器不能ping本机(三条语句)
iptables -A INPUT -p ICMP -j DROP
该语句可以做到不被别的机器ping,但也不能ping别的机器(因为ICMP是一个双向协议,需要向本机返回数据报文时,会被拒绝)
iptables -I INPUT -p ICMP --icmp-type 0 -j ACCEPT
该语句--icmp-type 0级别 可以做到本机回写,即可以接收返回的数据报文,能p