8、iptables 语法规则

1.语法构成

iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]
注意事项：
不指定表名时，默认指filter表
不指定链名时，默认指表内的所有链
选项、链名、控制类型使用大写字母，其余均为小写

2.常见的动作类型

ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配
SNAT：修改数据包源地址
DNAT：修改数据包目的地址
REDIRECT：重定

3.添加新的规则

-A：在链的末尾追加一条规则
-I：在链的开头（或指定序号）插入一条规则

举例：

• iptables -t filter -A INPUT -p tcp -j ACCEPT
• iptables -I INPUT -p udp -j ACCEPT
• iptables -I INPUT 2 -p icmp -j ACCEPT

4.查看规则列表

-L：列出所有的规则条目
-n：以数字形式显示地址、端口等信息
-v：以更详细的方式显示规则信息
–line-numbers：查看规则时，显示规则的序号

5.删除清空规则

• iptables -t nat -D INPUT 3
• iptables -t nat -F 清空所有规则

6.设置默认策略

为 input output prerouting 等默认连设置策略

• iptables -t filter -P FORWARD DROP
• iptables -P OUTPUT ACCEPT

7.通用匹配

常见的通用匹配条件
协议匹配：-p 协议名
地址匹配：-s 源地址、-d 目的地址
接口匹配：-i 入站网卡、-o 出站网卡

举例：

• iptables -A FORWARD -s 192.168.1.11 -j REJECT
• iptables -I INPUT -s 10.20.30.0/24 -j DROP
• iptables -I INPUT -p icmp -j DROP
• iptables -A FORWARD -p ! icmp -j ACCEPT
• iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP

8.隐含匹配

常用的隐含匹配条件
端口匹配：–sport 源端口、–dport 目的端口
ICMP类型匹配：–icmp-type ICMP类型

举例：

• iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT
• iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
• iptables -A INPUT -p icmp -j DROP

9.显示匹配

多端口匹配：-m multiport --sport 源端口列表 -m multiport --dport 目的端口列表
IP范围匹配：-m iprange --src-range IP范围
MAC地址匹配：-m mac –mac1-source MAC地址
状态匹配：-m state --state 连接状态

举例：

• iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT
• iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j ACCEPT
• iptables -A INPUT -m mac --mac-source 00:0c:29:c0:55:3f -j DROP
• iptables -P INPUT DROP
• iptables -I INPUT -p tcp -m multiport --dport 80-82,85 -j ACCEPT
• iptables -I INPUT -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

10.SNAT

• iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 218.29.30.31
• iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to-source 218.29.30.31
• iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
• iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE

11.DNAT

• iptables -t nat -A PREROUTING -i eth0 -d 218.29.30.31 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.6
• iptables -t nat -A PREROUTING -i eth0 -d 218.29.30.31 -p tcp --dport 2346 -j DNAT --to-destination 192.168.1.6:22

开启IPV4转发功能

echo "1" > /proc/sys/net/ipv4/ip_forward

12.备份和还原

iptables-save
iptables-save > ceshi.txt
iptables-restore < ceshi.txt