Linux学习-iptables操作

最新推荐文章于 2023-06-26 16:42:00 发布
最新推荐文章于 2023-06-26 16:42:00 发布
阅读量309 收藏
点赞数
分类专栏： Linux 文章标签： linux 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xuwenpeng/article/details/124308799
版权
iptables操作事例
#获取filter表中的规则链信息
[root@nginx02 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination  
#创建一个自定义链名为IN_public       
[root@nginx02 ~]# iptables -t filter -N IN_public
#查看filter链
[root@nginx02 ~]# iptables -t filter -L
...
Chain IN_public (0 references)
target     prot opt source               destination         
#自定义链没有被引用，可以通过-E参数进行自定义链重命名
[root@nginx02 ~]# iptables -t filter -E IN_public OUT_public
[root@nginx02 ~]# iptables -t filter -L
...    
Chain OUT_public (0 references)
target     prot opt source               destination 
#清空链
[root@nginx02 ~]# iptables -F
#清除所有规则
[root@nginx02 ~]# iptables -X
#修改链的匹配规则
[root@nginx02 ~]# iptables -t filter -P FORWARD DROP
[root@nginx02 ~]# iptables -L -n
...
Chain FORWARD (policy DROP)
target     prot opt source               destination         
...
#显示指定规则的号码
[root@nginx02 ~]# iptables -L -n --line-numbers
...
Chain IN_public (2 references)
num  target     prot opt source               destination         
1    IN_public_log  all  --  0.0.0.0/0            0.0.0.0/0           
2    IN_public_deny  all  --  0.0.0.0/0            0.0.0.0/0  
...
#删除FORWARD链上的第9条规则
[root@nginx02 ~]# iptables -D FORWARD 9
#指定源地址为任意地址，目标地址为本机，且为TCP协议的所有数据包均放行
[root@nginx02 ~]# iptables -t filter -A INPUT -d 192.168.88.102 -p tcp -j ACCEPT
[root@nginx02 ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            192.168.88.102 
#指定由本机发出的TCP协议报文与任意主机进行通信都放行
[root@nginx02 ~]# iptables -t filter -A OUTPUT -s 192.168.88.102 -p tcp -j ACCEPT
[root@nginx02 ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            192.168.88.102      

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.88.102       0.0.0.0/0 
#修改指定链的target为drop
[root@nginx02 ~]# iptables -P INPUT DROP
[root@nginx02 ~]# iptables -P OUTPUT DROP
[root@nginx02 ~]# iptables -P FORWARD DROP
[root@nginx02 ~]# iptables -L -n
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            192.168.88.102      

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.88.102       0.0.0.0/0
#开启本机[192.168.88.102]ping,80,22对外访问的规则
[root@nginx02 ~]# iptables -t filter -A INPUT -d 192.168.88.102 -p icmp -j ACCEPT
[root@nginx02 ~]# iptables -t filter -A OUTPUT -s 192.168.88.102 -p icmp -j ACCEPT
#放行SSH(22端口)服务
[root@nginx02 ~]# iptables -A OUTPUT -p tcp --sport=22 -s 192.168.88.102 -j ACCEPT
[root@nginx02 ~]# iptables -A INPUT -p tcp --dport=22 -d 192.168.88.102 -j ACCEPT
#放行http(80端口)服务
[root@nginx02 ~]# iptables -A OUTPUT -p tcp --sport=80 -s 192.168.88.102 -j ACCEPT
[root@nginx02 ~]# iptables -A INPUT -p tcp --dport=80 -d 192.168.88.102 -j ACCEPT
#查看设置的规则
[root@nginx02 ~]# iptables -L -n
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            192.168.88.102       tcp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            192.168.88.102       tcp dpt:80
ACCEPT     icmp --  0.0.0.0/0            192.168.88.102      

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.88.102       0.0.0.0/0            tcp spt:22
ACCEPT     tcp  --  192.168.88.102       0.0.0.0/0            tcp spt:80
ACCEPT     icmp --  192.168.88.102       0.0.0.0/0  
#查看内核模块nf_conntrack
[root@nginx02 netfilter]# pwd
/lib/modules/3.10.0-862.el7.x86_64/kernel/net/netfilter
[root@nginx02 netfilter]# modinfo nf_conntrack_ftp
filename:       /lib/modules/3.10.0-862.el7.x86_64/kernel/net/netfilter/nf_conntrack_ftp.ko.xz
alias:          nfct-helper-ftp
alias:          ip_conntrack_ftp
description:    ftp connection tracking helper
author:         Rusty Russell <rusty@rustcorp.com.au>
license:        GPL
retpoline:      Y
rhelversion:    7.5
srcversion:     83D9304C9B64D8FBC064040
depends:        nf_conntrack
intree:         Y
vermagic:       3.10.0-862.el7.x86_64 SMP mod_unload modversions 
signer:         CentOS Linux kernel signing key
sig_key:        3A:F3:CE:8A:74:69:6E:F1:BD:0F:37:E5:52:62:7B:71:09:E3:2B:96
sig_hashalgo:   sha256
parm:           ports:array of ushort
parm:           loose:bool  
#查看nf_conntrack当前连接数     
[root@nginx02 netfilter]# cat /proc/sys/net/netfilter/nf_conntrack_count
1
#查看nf_conntrack表最大连接数
[root@nginx02 netfilter]# cat /proc/sys/net/netfilter/nf_conntrack_max
262144
#查看已经追踪到并记录下的连接
[root@nginx02 net]# cat /proc/net/nf_conntrack
ipv4     2 tcp      6 299 ESTABLISHED src=192.168.88.1 dst=192.168.88.102 sport=51385 dport=22 src=192.168.88.102 dst=192.168.88.1 sport=22 dport=51385 [ASSURED] mark=0 zone=0 use=2
ipv4     2 tcp      6 431982 ESTABLISHED src=192.168.88.1 dst=192.168.88.102 sport=50469 dport=22 src=192.168.88.102 dst=192.168.88.1 sport=22 dport=50469 [ASSURED] mark=0 zone=0 use=2
ipv4     2 tcp      6 431986 ESTABLISHED src=192.168.88.1 dst=192.168.88.102 sport=51384 dport=22 src=192.168.88.102 dst=192.168.88.1 sport=22 dport=51384 [ASSURED] mark=0 zone=0 use=2
#通过dmesg查看nf_conntrack的信息
[root@nginx02 netfilter]# dmesg | grep nf_conntrack
[  232.452376] nf_conntrack version 0.5.0 (65536 buckets, 262144 max)
[root@nginx02 netfilter]# cat /proc/sys/net/netfilter/nf_conntrack_buckets
65536
[root@nginx02 netfilter]# cat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established
432000
#通过内核参数查看命令，查看所有参数配置
[root@nginx02 netfilter]# sysctl -a | grep conntrack
#一次放行多个端口(-m multiport)
[root@nginx02 netfilter]# iptables -I OUTPUT -s 192.168.88.102 -p tcp -m multiport --sport=22,80 -j ACCEPT
[root@nginx02 netfilter]# iptables -I INPUT -d 192.168.88.102 -p tcp -m multiport --dport=22,80 -j ACCEPT
#指定IP地址范围(-m iprange)放行
[root@nginx02 ~]# iptables -I INPUT -d 192.168.88.102 -p tcp -m iprange --src-range=192.168.88.1-192.168.88.100 -m multiport --dport=22,80 -j ACCEPT
[root@nginx02 ~]# iptables -I OUTPUT -s 192.168.88.102 -p tcp -m iprange --dst-range=192.168.88.1-192.168.88.100 -m multiport --sport=22,80 -j ACCEPT
#string扩展
[root@nginx02 ~]# iptables -I OUTPUT -m string --algo='bm' --string='movie' -j REJECT
#time扩展(注意时间格式问题)
[root@nginx02 ~]# iptables -I INPUT -d 192.168.88.102 -p tcp --dport 80 -m time --timestart 23:39 --timestop 23:45 -j REJECT
#connlimit(同一主机并发连接数限制),限制连接上限为3
[root@nginx02 ~]# iptables -I INPUT -p tcp -d 192.168.88.102 --dport 22 -m connlimit --connlimit-above=3 -j REJECT
#limit扩展，基于收发报文速率做检查
#--limit表示速率，--limit-burst表示上限
[root@nginx02 ~]# iptables -A INPUT -d 192.168.88.102 -p icmp --icmp-type 8 -m limit --limit-burst 5 --limit 30/minute -j ACCEPT
#--state扩展
#开通22端口
[root@nginx02 ~]# iptables -I INPUT -d 192.168.88.102 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
[root@nginx02 ~]# iptables -I OUTPUT -s 192.168.88.102 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
#开通ping请求
[root@nginx02 ~]# iptables -I INPUT -d 192.168.88.102 -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED -j ACCEPT
[root@nginx02 ~]# iptables -I OUTPUT -s 192.168.88.102 -p icmp --icmp-type 0 -m state --state ESTABLISHED -j ACCEPT

#------------------开放被动模式的ftp服务
#安装vsftpd服务
[root@nginx02 netfilter]# yum install -y vsftpd
#1)装载nf_conntrack_ftp模块
[root@nginx02 netfilter]# modprobe nf_conntrack_ftp
[root@nginx02 netfilter]# lsmod | grep ftp
nf_conntrack_ftp       18638  0 
nf_conntrack          133053  7 nf_nat,nf_nat_ipv4,nf_nat_ipv6,xt_conntrack,nf_conntrack_ftp,nf_conntrack_ipv4,nf_conntrack_ipv6
#2)放行请求报文
#命令连接：NEW,ESTABLISH
#数据连接：RELATED,ESTABLISHED
#放行命令连接
[root@nginx02 ~]# iptables -I INPUT -d 192.168.88.102 -p tcp -m multiport --dport 21,22,80 -m state --state NEW -j ACCEPT
#放行数据连接
[root@nginx02 ~]# iptables -I INPUT -d 192.168.88.102 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
#3)放行响应报文
[root@nginx02 ~]# iptables -I INPUT -s 192.168.88.102 -p tcp -m state --state ESTABLISHED -j ACCEPT
#------------------开放被动模式的ftp服务
#----------------保存和重载规则
#保存规则
[root@nginx02 ~]# iptables-save > /etc/sysconfig/iptables
#重载规则
[root@nginx02 ~]# iptables-restore < /etc/sysconfig/iptables
丢爸
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
iptables防火墙
ynyysn的博客
02-17 1979
iptables 概述 -netfilter/iptables: IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。 主要工作在网络层，针对IP数据包，体现在对包内的IP地址、端口等信息的处理。 -netfilter/iptables关系: netfilter:属于"内核态"又称内核空间(kernel space）的防火墙功能体系。 linux 好多东西都是内核态用户态，那我们运维人员关注的是用户态， 内核我们关注不是很多，内核基本是我们开发人员关心的事情 是内核的一部分，由一
centos7 配置iptables 开放80端口
ZT在努力
12-14 5242
因为最近在学习PHP,安装了PHP和apache之后，写的一些脚本在本机上一直都可以访问，单纯的为了学习PHP就没有太在意其它电脑能不能访问的问题，认为那是理所当然的可以，当时今晚在宿舍试了一下，神奇的发现竟然不可以，咋办，只能去网上找解决办法，有人就说是因为防火墙没有开放了80端口，于是就把防火关了，果然可以访问了。接下来就是配置方后墙iptables文件，将80端口开放即可，可是问题来了，由于
centos 在iptables中增加删除通行端口
波风水门
02-19 2257
查看开放端口命令： iptables -L -n 新增开放端口 ： //开放8080端口 iptables -I IN_public_allow -p tcp --dport 8080 -j ACCEPT iptables -I INPUT -p tcp --dport 8080-j ACCEPT -A 增加 -I 插入 -D 删除 -R 替换 拦截链的名字是IN_public_allow 还是INPUT 通过iptables -L -n查看即可，比如下面这种情况，就应该使用INPUT 开放所有端口：
Linux 开放指定端口让公网可访问
Looking的博客
07-07 4009
开放指定端口： iptables -I IN_public_allow -p tcp --dport 8080 -j ACCEPT iptables -I INPUT -p tcp --dport 8080 -j ACCEPT 开放所有端口： iptables -I IN_public_allow 1 -j ACCEPT
iptables log日志记录功能扩展应用：iptables自动配置临时访问策略，任意公网登录服务器...
weixin_30319097的博客
04-08 269
一、修改日志记录： 1. 修改配置文件： vi /etc/rsyslog.conf 添加以下内容 #iptables log kern.=notice /var/log/iptables.log 2. 重启rsyslog service rsyslog restart 二、防火墙...
centos7 在iptables中增加通行端口
热门推荐
勿忘初心
05-02 1万+
查看：iptables -L -n修改 ： iptables -I IN_public_allow -p tcp --dport 8080 -j ACCEPT原文地址：http://www.jianshu.com/p/7b38b8cebc61 作者：jiankunking 出处：http://blog.csdn.net/jiankunking
使用 Iptables 命令详细图文教程
Stars.Sky 的博客
06-08 1万+
使用 Iptables 详细图文教程
linux之iptables详解及配置（二）+案例
weixin_33939843的博客
06-12 128
在上一篇博文介绍了Linux防火墙的表、链结构及iptables规则设置。那么，当Linux防火墙同时作为企业的网关服务器使用的时候，怎样使局域网用户也能够访问互联网呢？又怎样才能使互联网中的用户能够访问到局域网内部的网络服务器？iptables真的能做到这些吗？答案是：Yes。本文主要针对前面的问题进行解决，主要介绍nat表中的两个典型应用：SNAT和DNAT策略（分别用于...
iptables 基本命令以及使用
weixin_54104864的博客
05-22 1532
iptables -Z:清空规则链中的数据包计数器和字节计数器。- iptables -L:列出规则链中已设定的规则。- iptables -F:清空规则链中已设定的规则。- iptables -P:定义规则链中默认的策略。- iptables -A:向规则链中添加规则。- iptables -D:从规则链中删除规则。- iptables -I:向规则链中插入规则。- iptables -R:替换规则链中的规则。- iptables -N:创建新的空规则链。- iptables -X:删除空规则链。
Iptables简单使用
xiaowoniuwzx的博客
05-04 214
Linux的防护墙主要工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙（或者称为网络层防火墙）。Linux系统的防火墙体系基于内核编码实现，具有非常稳定的性能和高效率。 在许多安全技术资料netfilter和iptables都用来指Linux防火墙，两者的区别如下： Netfilter：指的是Linux内核中实现包过滤防火墙的内部结构，不以程序或文件的形式存在，属于“内核...
linux操作系统iptables 防火墙
03-12
学习 iptables ，它将帮助你理解 Netfilter 和 iptables 在 Linux 中扮演的角色。它会告诉你如何配置、安 装防火墙，你的经验也会随之增长。当然，要想达到你的目标，是要花费时间，还要有毅力。
linux_防火墙[iptables][firewalld]使用.txt
08-28
该笔记由博主本人亲自整理撰写，介绍以及各方面的操作都进行了简化提示，很适合linux的萌新进行学习，内容大致：【命令介绍】【使用介绍】【简化记忆】
2-linux系统笔记之Iptables防火墙篇
10-15
该文档是linux系统详细基础，每行命令都有注释，共58页，从最基础的命令开始学习，按该文档学习熟练后相信您就完全可以管理linux常见问题了。 文档共6会陆续发布，如下： 1-linux系统笔记之基础篇1.doc 2-linux系统...
详解Docker使用Linux iptables 和 Interfaces管理容器网络
01-20
我使用docker至今已有... Docker广泛使用linux iptables和网桥接口，这篇文章是我如何用于创建容器网络的总结，大部分信息来自github上的讨论，演示文稿，以及我自己的测试。文章结尾我会给出我认为非常有用的资料链接
linux学习记录
11-28
linux 相关学习记录： ls -l 获得当前目录下的所有文件 2、cd 获得指定文件目录位置 3、pwd 获得当前目录位置 4、touch 在指定目录下生成一个空文件 5、cp 将某个文件复制到目标文件 mv 改变文件名或移动文件 rm ...
iptables端口控制脚本
qq_39812608的博客
02-11 495
iptables端口控制脚本
Linux下 lptables 常用命令
时间的博客
06-26 2295
目录iptables 命令：路由表配置iptables 是 Linux 下的一个防火墙工具，它可以通过过滤、转发和修改数据包来实现网络安全。以下是一些常用的1. iptables -L：列出当前的 iptables 规则。2. iptables -F：清空当前的 iptables 规则。3. iptables -A INPUT -p tcp --dport 22 -j ACCEPT：允许来自任何 IP 地址的 SSH 连接。4. iptables -A INPUT -p tcp --dport 80 -j
整理记录linux开放端口相关问题
panda1103的博客
03-04 436
常用的开放端口命令： iptables -I INPUT -p tcp --dport 8080 -j ACCEPT # 或者 iptables -A IN_public_allow -p tcp -m tcp --dport 8080 -m conntrack --ctstate NEW -j ACCEPT 查看已开放的端口： iptables -L -n --line-number 重启i...
Iptables应用
zt_96123的博客
02-12 2171
一 、防火墙的分类 1 、包过滤防火墙。 数据包过滤(packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，称为访问控制表(access control lable,ACL)。通过检查数据流中每个数据包的源地址和目的地址，所用的端口号和协议状态等因素，或他们的组合来确定是否允许该数据包通过。 包过滤防火墙的优点是它对用户来说是透明的，处理速度快且易于维...
iptables入门
最新发布
09-14
为了入门使用iptables，你可以按照以下步骤进行操作： 1. 安装iptables：首先，你需要确保你的Linux系统上已经安装了iptables。你可以通过运行命令 `iptables --version`来检查是否已经安装。如果未安装，你可以...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值