02iptables语法

已于 2023-04-04 09:56:40 修改
阅读量58 收藏
点赞数
分类专栏： Linux防火墙 文章标签： 网络 udp tcp/ip
于 2023-04-04 09:56:11 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_46686336/article/details/129945909
版权
本文介绍了iptables的基本语法，包括添加、查看和删除规则，以及常见的控制类型如ACCEPT、DROP和REJECT。示例展示了如何管理进站和出站的网络流量，如允许或拒绝特定协议、端口和IP地址的通信。此外，还提到了如何永久保存规则并设置链的默认策略。
摘要由CSDN通过智能技术生成

iptables语法

一、iptables语法
1、语法构成
iptables  [-t 表名]  选项  [链名]  [条件]  [-j 控制类型]
举例：
#进站的ICMP包都丢掉
[root@CentOS7-4 ~]# iptables -t filter -I INPUT -p icmp -j REJECT
  • 注意事项
  • 不指定表名时，默认指filter表
  • 不指定链名时，默认指表内的所有链
  • 除非设置链的默认策略，否则必须指定匹配条件
  • 选项、链名、控制类型使用大写字母，其余均为小写
2、常见控制类型
ACCEPT：允许通过
DROP：直接丢弃，不给出任何回应
REJECT：拒绝通过，必要时会给出提示
LOG：记录日志信息，然后传给下一条规则继续匹配
3、常见选项

  • 管理选项

    类别选项用途
    添加新的规则-A在链的末尾追加一条规则
    -I在链的开头（或指定序号）插入一条规则
    查看规则列表-L列出所有的规则条目
    -n以数字形式显示地址、端口等信息
    -v以更详细的方式显示规则信息
    --line-numbers查看规则时，显示规则的序号
    删除、清空规则-D删除链内指定序号（或内容）的一条规则
    -F清空所有的规则
    设置默认策略-P为指定的链设置默认规则
    #添加新规则
#在链的末尾添加进站所有的TCP协议包都放通
[root@CentOS7-4 ~]# iptables -t filter -A INPUT -p tcp -j ACCEPT
#在链的最前面添加进站所有的UDP协议包都放通
[root@CentOS7-4 ~]# iptables -I INPUT -p udp -j ACCEPT
#在链的最前面添加进站所有的ICMP协议包都放通
[root@CentOS7-4 ~]# iptables -I INPUT 2 -p icmp -j ACCEPT

    #查看规则
#带序号查询
[root@CentOS7-4 ~]# iptables -nL --line-numbers
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
3    REJECT     icmp --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
4    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
5    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
6    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
7    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
8    REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
9    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         
1    REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination         
#不带序号查询
[root@CentOS7-4 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
REJECT     icmp --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination  

    #指定序号删除规则
[root@CentOS7-4 ~]# iptables -D INPUT 3
#查看规则
[root@CentOS7-4 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination   

    #删除所有规则
[root@CentOS7-4 ~]# iptables -F
[root@CentOS7-4 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination  
#删除nat表种的所有规则
[root@CentOS7-4 ~]# iptables -t nat -F
#删除mangle表种的所有规则
[root@CentOS7-4 ~]# iptables -t mangle -F
#删除raw表种的所有规则
[root@CentOS7-4 ~]# iptables -t raw -F

    #为指定的链设置默认规则（要么是允许，要么是丢弃）
#进入forward链包都直接丢弃
[root@CentOS7-4 ~]# iptables -t filter -A FORWARD -j DROP
#放通所有出战流量
[root@CentOS7-4 ~]# iptables -A OUTPUT -j ACCEPT

  • 匹配条件

    类别条件类型用法
    通用匹配协议匹配-p 协议名
    地址匹配-s 源地址、-d 目的地址
    接口匹配-i 入站网卡、-o 出站网卡
    隐含匹配端口匹配—sport 源端口、—dport 目的端口
    TCP标记匹配—tcp-flags 检查范围 被设置的标记
    ICMP类型匹配—icmp-type ICMP类型
    显式匹配多端口匹配-m multiport —sports \—dports 端口列表
    IP范围匹配-m iprange —src-range IP范围
    MAC地址匹配-m mac —mac-source MAC地址
    状态匹配-m state —state 连接状态 (NEW新连接、ESTABLISHED双向传输、RELATED新连接但前提是有链接、INVAILD未知链接，一般DROP)
    # “ ! ” 表示取反
#进站的所有icmp包丢弃
[root@CentOS7-4 ~]# iptables -I INPUT -p icmp -j DROP
#不是icmp协议包的允许通行
[root@CentOS7-4 ~]# iptables -A FORWARD ! -p icmp -j ACCEPT
# -s 指定源地址
#拒绝源地址为1.11的包进行转发
[root@CentOS7-4 ~]# iptables -A FORWARD -s 192.168.1.11 -j REJECT
#进站源地址为20.30网段丢弃
[root@CentOS7-4 ~]# iptables -I INPUT -s 10.20.30.0/24 -j DROP 
# -i ens37    指定入站网卡
[root@CentOS7-4 ~]# iptables -A INPUT -i ens33 -s 192.168.0.0/16 -j DROP 
[root@CentOS7-4 ~]# iptables -A INPUT -i ens33 -s 10.0.0.0/8 -j DROP
[root@CentOS7-4 ~]# iptables -A INPUT -i ens33 -s 172.16.0.0/12 -j DROP

    在这里插入图片描述

    这是网卡名称！！！！

    # --dport 20:21 指定目标端口20和21
#指定源地址为4.0网段的UDP协议的目标端口为53放通
[root@CentOS7-4 ~]# iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT
#进站放通TCP协议端口为20和21放通
[root@CentOS7-4 ~]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT

    # 指定ICMP类型
[root@CentOS7-4 ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP
[root@CentOS7-4 ~]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
[root@CentOS7-4 ~]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
#所有进站的icmp协议包都丢弃
[root@CentOS7-4 ~]# iptables -A INPUT -p icmp -j DROP

    如果不知道ICMP的类型可以百度一手！！！！

    #指定目的范围端口
#把所有进站包都丢弃
[root@CentOS7-4 ~]# iptables -A INPUT -j DROP
#把进站的TCP端口为1-80的包放通
[root@CentOS7-4 ~]# iptables -I INPUT -p tcp -m multiport --dport 1:80 -j  ACCEPT
#把进站的TCP端口为1,80,3389的包放通
[root@CentOS7-4 ~]# iptables -I INPUT -p tcp -m multiport --dport 1,80,3389 -j  ACCEPT
[root@CentOS7-4 ~]# iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT

    #指定范围多端口，指定IP范围，指定源MAC
#进站协议TCP端口为25，80，110，143都放行
[root@CentOS7-4~]# iptables -A INPUT -p tcp -m multiport --dport 25,80,110,143 -j ACCEPT
#4.21到4.28的IP地址进行转发
[root@CentOS7-4 ~]# iptables -A FORWARD -p tcp -m iprange --src-range 192.168.4.21-192.168.4.28 -j ACCEPT
#这是基于mac地址然后丢掉
[root@CentOS7-4 ~]# iptables -A INPUT -m mac --mac-source 00:0c:29:c0:55:3f -j DROP
    4、永久性保存修改的规则
    #如果重启服务器或者重启iptables它自己会找它的配置文件里的配置进行读取，所以配置完之后记得保存
[root@CentOS7-4 ~]#iptables-save > /etc/sysconfig/iptables
    5、提供状态化链接
    [root@CentOS7-4 ~]# iptables -I FORWARD -p tcp -m state --state NEW,ESTABLISHED -j ACCEPT
小冷爱学习！
关注
专栏目录
运维——Linux防火墙iptables语法详解
海渊_haiyuan的博客
08-01 2688
运维——Linux防火墙iptables语法详解在Linux防火墙中，对于数据报而言，有以下几个流向：PREROUTING–>FORWARD–>POSTROUTINGPREROUTING–>INPUT–>本机OUTPUT–>POSTROUTING数据报的流向主要流向其实也是iptables的两种工作模式： 用作NAT路由器 用作主机防火墙 iptables会根据不同的数据处理包处理功能不同的规则表。
iptables语法命令汇总
10-16
iptables语法命令汇总，包括添加、查看、删除、插入、清除语法
iptables语法规则
qq_50247813的博客
03-03 445
iptables -A FORWARD -d 192.168.1.1 -j DROP //禁止转发192.168.1.1的数据包。显示详细信息，包括每条规则的匹配包数量和匹配字节数 x: 在v的基础上，禁止自动单位换算（K，M）//将源地址是192.168.1.0/24 的数据包进行地址伪装，转换成eth0上的IP地址。//把从eth0口进来访问TCP/80端口的数据包目的地址改成192.168.1.1。2、 数据包的目的（dport）地址是22，就是要访问我本地的22端口。（如为指定，则认为是所有链）
8、iptables 语法规则
LiuWei
05-10 652
文章目录1.语法构成2.常见的动作类型3.添加新的规则4.查看规则列表5.删除清空规则6.设置默认策略7.通用匹配8.隐含匹配9.显示匹配10.SNAT11.DNAT12.备份和还原 1.语法构成 iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型] 注意事项： 不指定表名时，默认指filter表 不指定链名时，默认指表内的所有链 选项、链名、控制类型使用大写字母，其余均为小写 2.常见的动作类型 ACCEPT：允许通过 DROP：直接丢弃，不给出任何回应 REJECT：拒绝
iptables系列教程（二）| iptables语法规则
Dragon的博客
05-15 1945
目录 iptables 命令基本语法 -t table command参数 条件匹配参数 目的动作 iptables 常用附加模块： iptables 规则备份和恢复 iptables 命令基本语法 “ iptables [-t table] command [链名] [条件匹配] [-j 目标动作] 以下是对 iptables 命令的拆分讲解： -t table 用来指明使用的表，有三种选项:filter，nat，mangle。若未指定，则默认使用filter表。 com.
iptables语法规则(一)
ruth13156402807的博客
11-29 1895
iptables 一、简介 1、iptables 内核：netfilter 2、四表 raw：数据包跟踪 mangle：标记数据包 nat：网络地址转换 filter：数据包过滤 3、五链 PREROUTING：路由之前 INPUT:数据包流入 FORWARD:数据包经过 OUTPUT:数据包流出 POSTROUTING:路由之后 执行顺序由上到下 4、匹配条件 协议： ​ -p tcp ​ -p icmp （仅有ping使用） ​ -p udp 端口：必须和协议一起写 ​ --dport 目标端
iptables语法规则(二)
ruth13156402807的博客
12-01 924
iptables语法规则(二) SNAT策略的典型应用环境 局域网主机共享单个公网IP地址接入Internet SNAT的策略原理 源地址转换，修改数据包的源地址 #-o:出口的网卡 iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 218.29.30.31 MASQUERADE ---------地址伪装，适用于外网IP地址非固定的情况 iptables -t nat -A POST
iptables语法
muyangzhe123的专栏
11-30 384
iptables工具__过滤包—命令(-A、-I、-D、-R、-L等)、参数(-p、-s、-d、--sport、--dport、-i、-o等)、动作-j (ACCEPT、DROP、REJECT、REDIRECT等) iptables 指令 语法：          iptables [-t table] command [match] [-j target/jump]          -t
linux防火墙 语法,LINUX的iptables防火墙语法
weixin_39805539的博客
05-12 272
IPTABLES基础打开防火墙echo 1 >/proc/sys/net/ipv4/ip_forwardIptables语法：Iptables [-t TABLE] ACTION [PATTERN] [-j TARGET]TABLE:有filter,nat,mangle；若无指定，预设为filter table.1.ACTION(对Chains执行的动作):ACTION 说明-L Chain...
10、7 iptables语法
chunyouban0052的博客
07-12 114
iptables命令是Linux上常用的防火墙软件，是netfilter项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。 语法： iptables [options] [参数] Options： -n：不针对IP反解析主机名 -v：显示更详细的信息 -t：指定表（iptables...
iptables之语法
weixin_30644369的博客
04-24 133
一iptables概念 防火墙分类 分为硬件防火墙和软件防火墙 硬件防火墙一般放在外网的最前面,公司的拓扑的最外面 iptables虽然称为防火墙,但是不能当做整个公司的出口防火墙,和动戈几千万,几百万的硬件防火墙还是不能相比的一般用来在公司的局域网做防护,还可以在服务器上做一些端口,流量,安全防护. 但是真的有人盯上了,当大流量打过来的时候,没有硬件高防设备来保护,还是会瘫痪的 iptabl...
iptables 语法 （经典）
12-06
本文将详细介绍iptables的基本语法及其在不同场景下的应用。 首先，iptables有多个表，包括filter、nat、mangle和raw，每个表都有自己的链，如INPUT、OUTPUT、FORWARD等。在filter表中，主要处理的是包过滤规则，这...
iptables语法概述
05-02
这是一个PPT，主要讲解iptables的语法，以及用iptables来配置Linux防火墙。
操作系统安全：iptables语法.pptx
06-01
操作系统安全：iptables语法.pptx
Linux 再入门整理：详解 /etc/fstab 文件
一只奋斗的猪
10-01 1237
`/etc/fstab` 文件是 Linux 系统中用于定义和管理文件系统的挂载信息的配置文件。它的作用是告诉系统在启动时，应该如何自动挂载各种文件系统。挂载是 Linux 操作系统中一种将存储设备与目录树关联的操作。通过挂载，存储设备中的文件可以通过目录访问。
【2024版】最新kali linux入门及常用简单工具介绍（非常详细）零基础入门到精通，收藏这一篇就够了_kalilinux
最新发布
weixin_57514792的博客
10-07 798
最新kali linux入门及常用简单工具介绍
Mac ToDesk 无法连接网络
Primer5
10-04 243
检查登录项，看到后台运行项目是关闭状态，允许后台运行之后返回查看立马显示网络连接正常。网络连接的是 Wi-Fi，打开浏览器能跟正常浏览内容，说明 Wi-Fi 是正常的。检查防火墙是没有阻止ToDesk 的任何连接，说明防火墙也是正常的。
从零开始实现RPC框架---------项目介绍及环境准备
qq_41934502的博客
10-02 427
从零开始实现rpc架构项目介绍
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值