iptable命令详解

1.iptables的基本语法格式

iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］
说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；条件匹配用于指定对符合什么样 条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。

2.iptables命令的管理控制选项

-A 在指定链的末尾添加（append）一条新的规则
-D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除
-I 在指定链中插入（insert）一条新的规则，默认在第一行添加
-R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换
-L 列出（list）指定链中所有的规则进行查看
-E 重命名用户定义的链，不改变链本身
-F 清空（flush）
-N 新建（new-chain）一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链（delete-chain）
-P 设置指定链的默认策略（policy）
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式（numeric）显示输出结果
-v 查看规则表详细信息（verbose）的信息
-V 查看版本(version)
-h 获取帮助（help）

3.防火墙处理数据包的四种方式

ACCEPT 允许数据包通过
DROP 直接丢弃数据包，不给任何回应信息
REJECT 拒绝数据包通过，必要时会给数据发送端一个响应的信息。
LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则

4.iptables防火墙规则的保存与恢复

iptables-save把规则保存到文件中，再由目录rc.d下的脚本（/etc/rc.d/init.d/iptables）自动装载

使用命令iptables-save来保存规则。一般用

iptables-save > /etc/sysconfig/iptables

生成保存规则的文件 /etc/sysconfig/iptables，

也可以用

service iptables save

它能把规则自动保存在/etc/sysconfig/iptables中。

当计算机启动时，rc.d下的脚本将用命令iptables-restore调用这个文件，从而就自动恢复了规则。

5.iptables防火墙常用的策略

(1).拒绝进入防火墙的所有ICMP协议数据包

iptables -I INPUT -p icmp -j REJECT

 这条命令的作用是将一条新的规则插入到 INPUT 链中，用于拒绝所有传入的 ICMP 协议的数据包。

具体来说，这条命令中的各个参数含义如下：

• -I INPUT：这里的 -I 代表“Insert”，意味着将新规则插入到指定的链中，在这个例子中是 INPUT 链。INPUT 链负责处理进入本机的数据包。

• -p icmp：-p 选项后面跟的是协议类型，在这里指定的是 icmp，即 Internet Control Message Protocol，互联网控制报文协议。ICMP 主要用于网络设备之间传递控制信息和错误消息，比如我们常用的 ping 命令就是基于 ICMP 协议的。

• -j REJECT：-j 选项后面跟的是目标动作，REJECT 表示拒绝匹配到的数据包。与 DROP 直接丢弃数据包不同，REJECT 会向发送者返回一个错误消息，告知数据包被拒绝。

执行这条命令后，任何尝试通过 ICMP 协议发送到本机的数据包都将被拒绝，并且发送者会收到一个拒绝的消息。这可以作为一种安全措施，防止某些基于 ICMP 的网络攻击，或者简单地用于控制网络流量。

(2).允许防火墙转发除ICMP协议以外的所有数据包

iptables -A FORWARD -p ! icmp -j ACCEPT

• -A FORWARD：这里的 -A 代表“Append”，意味着将新规则追加到指定的链中，在这个例子中是 FORWARD 链。FORWARD 链负责处理需要通过本机转发的数据包，而不是直接发往本机的数据包。

• -p ! icmp：-p 选项后面跟的是协议类型，而 ! 符号表示逻辑非，所以这里指定的是除 ICMP 协议之外的所有协议。

• -j ACCEPT：-j 选项后面跟的是目标动作，ACCEPT 表示接受匹配到的数据包，允许它们继续传输。

执行这条命令的结果是，任何尝试通过本机转发且不是 ICMP 协议的数据包都将被接受。这对于配置网络路由器或防火墙来说非常有用，可以根据需要对不同的网络流量进行管理和控制。

说明：使用“！”可以将条件取反。

(3).拒绝转发来自192.168.1.10主机的数据，允许转发来自192.168.0.0/24网段的数据

iptables -A FORWORD -s 192.168.1.10 -j REJECT

iptabes -A FORWORD -s  192.168.0.0/24 -j ACCEPT

说明：注意要把拒绝的放在前面不然就不起作用了！

请注意，iptables 规则的顺序非常重要，因为 iptables 会按照规则的顺序进行检查，一旦某个数据包匹配到了某条规则，就不会继续检查后面的规则。因此，如果这两条命令的顺序颠倒，可能会导致实际执行结果与预期不符。通常，更具体的规则（如单个 IP 地址）应该放在前面，而更宽泛的规则（如整个子网）放在后面。

(4).丢弃从外网接口（eth1）进入防火墙本机的源地址为私网地址的数据包

私网IP地址范围                               CIDR 表示法
10.0.0.0 - 10.255.255.255              10.0.0.0/8
172.16.0.0 - 172.31.255.255          172.16.0.0/12
192.168.0.0 - 192.168.255.255      192.168.0.0/16

iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP 
iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP 
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

• -A INPUT：表示将规则追加到 INPUT 链，该链负责处理进入本机的数据包。
• -i eth1：指定数据包必须是通过 eth1 接口进入的。
• -s 192.168.0.0/16：指定源地址范围为 192.168.0.0/16，这是一个常见的私有IP地址范围。
• -j DROP：指定对这些匹配到的数据包执行的动作是 DROP，即直接丢弃这些数据包，不进行任何回应。

(5).封堵网段（192.168.1.0/24），两小时后解封。

# iptables -I INPUT -s 192.168.1.0/24 -j DROP 
# iptables -I FORWARD -s 192.168.1.0/24 -j DROP 
# at now 2 hours at> iptables -D INPUT 1 at> iptables -D FORWARD 1

• at now 2 hours

  这行命令使用 at 调度器安排在当前时间的两小时后执行后续的任务。

• at> iptables -D INPUT 1

  这行命令安排在两小时后执行，它将删除 INPUT 链中的第一条规则。-D 表示删除规则，INPUT 1 指删除 INPUT 链中的第一条规则。

• at> iptables -D FORWARD 1

  同样，这行命令安排在两小时后执行，它将删除 FORWARD 链中的第一条规则。

(6).只允许管理员从202.13.0.0/16网段使用SSH远程登录防火墙主机

iptables -A  INPUT -p tcp --dport 22 -s 202.13.0.0/16 -j  ACCEPT

iptables -A  INPUT  -p tcp --dport 22  -j DROP

(7).允许本机开放从TCP端口20-1024提供的应用服务。

iptables -A  INPUT -p tcp --dport 22:1024 -j ACCEPT

iptables -A  OUTPUT -p tcp --sport 22:1024 -j ACCEPT

(8).允许转发来自192.168.0.0/24局域网段的DNS解析请求数据包。

iptables -A  FORWORD -s 192.168.0.0/24 -p  tcp --dport 53 -j ACCEPT

iptables -A  FORWORD -d  192.168.0.0/24 -p tcp  --sport 53 -j  ACCEPT

(9).禁止其他主机ping防火墙主机，但是允许从防火墙上ping其他主机

iptables -I INPUT -p icmp --icmp-type Echo-Request -j DROP 
iptables -I INPUT -p icmp --icmp-type Echo-Reply -j ACCEPT 
iptables -I INPUT -p icmp --icmp-type destination-Unreachable -j ACCEPT