防火墙iptables规则编写1

iptables/netfilter:

表:(table)
    filter、nat、mangle和raw

链:(chain)
    PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING

filter:
    INPUT、FORWARD和OUTPUT

nat:
    PREROUTING(DNAT)、OUTPUT、POSTROUTING(SNAT)

mangle:
    PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING

raw:
    PREROUTING、OUTPUT

iptables：

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

• 表名、链名：指定iptables命令所操作的表和链，未指定表名时将默认使用filter表；

• 管理选项：表示iptables规则的操作方式，比如：插入、增加、删除、查看等；

• 匹配条件：指定要处理的数据包的特征，不符合指定条件的数据包不在处理；

• 控制类型：指数据包的处理方式，比如：允许、拒绝、丢弃等；

匹配条件
    通用匹配
        -s:ip报文中源地址
        -d:ip报文中目的地址
        -p {tcp|udp|icmp}:匹配协议
        -i INTERFACE: 指定数据报文流入的接口
            可用于定义标准的链：PREROUTING,INPUT,FORWARD
        -o INTERFACE: 指定数据报文流出的接口
            可用于标准定义的链：OUTPUT,POSTROUTING,FORWARD

          例如

          iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT  # 允许 192.168.1.0 段 IP 访问

          iptables -A INPUT -s 192.168.1.10 -j DROP    # 对 1.10 数据包丢弃 
  扩展匹配
        隐含扩展
            -p tcp
                --sport PORT[-PORT]: 源端口
                --dport PORT[-PORT]: 目标端口
                --tcp-flags mask comp: 只检查mask指定的标志位，是逗号分隔的标志位列表；
                comp：此列表中出现的标记位必须为1，comp中没出现，而mask中出现的，必须为0；
                    --tcp-flags SYN,FIN,ACK,RST SYN = --syn
                --syn
                例如:

                     iptables -I INPUT -d 172.16.100.7 -p tcp --dport 80 -j ACCEPT
                     iptables -I OUTPUT -s 172.16.100.7 -p tcp --sport 80 -j ACCEPT
                     iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -i lo -j ACCEPT
                     iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -o lo -j ACCEPT

                    iptables -A INPUT -p tcp --dport 22 -j ACCEPT    # 允许 TCP 的 22 端口访问

                    iptables -I INPUT -p udp --dport 53 -j ACCEPT    # 允许 UDP 的 53 端口访问，插入在第一条

                    iptables -A INPUT -p tcp --dport 22:25 -j ACCEPT  # 允许端口范围访问
                      
                

            -p icmp
                --icmp-type 
                    0: echo-reply
                    8: echo-request
                    例如:

                         iptables -A OUTPUT -s 172.16.100.7 -p icmp  --icmp-type 8 -j ACCEPT
                         iptables -A INPUT -d 172.16.100.7 -p icmp --icmp-type 0 -j ACCEPT

                        iptables -A INPUT -i eth0 -p icmp -j DROP    # eth0 网卡 ICMP 数据包丢弃，也就是禁 ping 
                         

            -p udp
                --sport
                --dport
        显式扩展: 使用额外的匹配机制
            -m EXTESTION --spe-opt

                    state 包状态，有四个：NEW、RELATED、ESTABLISHED 和 INVALID 
                    mac 源 MAC 地址
                    connlimit 限制并发连接数

                    limit 包速率限制 
                    multiport 多端口，以逗号分隔 
                     iprange 端口范围，以逗号分隔 

   

            state: 状态扩展
                结合ip_conntrack追踪会话的状态
                    NEW: 新连接请求
                    ESTABLISHED：已建立的连接
                    INVALID：非法连接
                    RELATED：相关联的
                -m state --state NEW,ESTABLISHED -j ACCEPT
                例如:

                iptables -R INPUT 6 -d 172.16.100.7 -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
                iptables -I INPUT -d 172.16.100.7 -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

            multiport 多端口，以逗号分隔 

            multiport: 离散的多端口匹配扩展
                --source-ports
                --destination-ports
                --ports

           例如：

                   iptables -A INPUT -p tcp -m multiport --dports 22,80,8080 -j ACCEPT

            iprange 端口范围，以逗号分隔 

            -m iprange
                --src-range
                --dst-range

            -m connlimit: 连接数限制
                --connlimit-above n

                    iptables -A INPUT -d 172.16.100.7 -p tcp --dport 80 -m connlimit --connlimit-above 2 -j ACCEPT

                   # 限制并发连接数，超过 30 个拒绝    

                    iptables -I INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 30 -j REJECT 
            
            -m limit
                --limit RATE
                --limit-burst 

                例如:

             # 限制每个 IP 每秒并发连接数最大 3 个

            iptables -I INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT            

            iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT 

https://mp.weixin.qq.com/s/W6Z0K0eq-ZMe3sf6_CwqOw