Linux安全-关于防火墙语法（二）：

防火墙语法（二）：
匹配类型：

通用匹配：
可直接使用，不依赖于其他条件或扩展
包括网络协议、IP地址、网络接口等条件

隐含匹配：
要求以特定的协议匹配作为前提
包括端口、TCP标记、ICMP类型等条件

显示匹配：
要求以“-m 扩展模块” 的形式明确指出类型
包括多端口、MAC地址、IP范围、数据包状态等条件

常用的通用匹配条件：
协议匹配： -p 协议名
地址匹配：-s 源地址、-d 目的地址
接口匹配：-i 入站网卡、-o 出站网卡

举例：iptables -A INPUT -i eth0 -s 192.168.197.170 -j DROP
含义：来源地址192.168.197.170的访问请求，入站经过网卡是eth0时，直接拒绝（丢弃）该访问

常用的隐含匹配条件：
端口匹配：–sport 源端口、–dport 目的端口
ICMP类型匹配：–icmp-type ICMP类型

举例：
利用做到防火墙--icmp-type ICMP的类型本机可以ping别的机器，别的机器不能ping本机（三条语句）

iptables -A INPUT -p ICMP -j DROP
该语句可以做到不被别的机器ping，但也不能ping别的机器（因为ICMP是一个双向协议，需要向本机返回数据报文时，会被拒绝）
iptables -I INPUT -p ICMP --icmp-type 0 -j ACCEPT
该语句--icmp-type 0级别 可以做到本机回写，即可以接收返回的数据报文，能p