iptables 实例杂锦(端口封闭或转发,ip,mac)

最新推荐文章于 2022-03-29 11:22:13 发布
最新推荐文章于 2022-03-29 11:22:13 发布
阅读量3.7k 收藏
点赞数
分类专栏： Linux下防火墙与代理服务器IPTABLES&squid 文章标签： tcp input 防火墙 vpn domain mysql
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yeqihong/article/details/651744
版权 
 
 

  
  #/sbin/modprobe iptable_filter
  
  
#/sbin/modprobe ip_tables
  
  
#/sbin/modprobe iptable_nat
  
  
#/sbin/iptables -F -t nat
 
 


 
 

  
  adsl拨号的转发
 
 


 
 

  
  /sbin/iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -o ppp0 -j MASQUERADE
 
 


 
 

  
   
 
 


 
 

  
  网卡转发
 
 


 
 

  
  /sbin/iptables -t nat -A POSTROUTING -s 172.16.0.0/24 -o eth0 -j MASQUERADE
 
 


 
 

  
   
 
 


 
 

  
  封堵 tcp udp 端口, 并打开特定的端口(包括vpn转发,进入的端口)
 
 


 
 

  
  /sbin/iptables -I INPUT -p tcp -s 172.16.0.0/24 -m multiport --dports 110,80,25,22,443,5432,3306,21,445,10101,5252,8080,8383,139,1723 -j ACCEPT
  
  
/sbin/iptables -A INPUT -p tcp -s 172.16.0.0/24 --dport 5432 -j ACCEPT
  
  
/sbin/iptables -A INPUT -p udp -s 172.16.0.0/24 -m multiport --dports 53,111 -j ACCEPT
  
  
/sbin/iptables -A INPUT -p gre -s 172.16.0.0/24 -j ACCEPT
 
 


 
 

  
  #/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
  
  
/sbin/iptables -A INPUT -s 172.16.0.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT 
 
 


 
 

  
  
/sbin/iptables -A FORWARD -p tcp -s 172.16.0.0/24 -m multiport --dports 80,110,21,25,1723,22,5252,10101,3306,443,5432,8080,2000,1935,8383 -j ACCEPT
  
  
/sbin/iptables -A FORWARD -p udp -s 172.16.0.0/24 --dport 53 -j ACCEPT
  
  
/sbin/iptables -A FORWARD -p udp -s 172.16.0.0/24 --dport 8000 -j ACCEPT
  
  
某游戏端口
 
 


 
 

  
  #/sbin/iptables -A FORWARD -p udp -s 172.16.0.0/24 --dport 7000 -j ACCEPT
 
 


 
 

  
  vpn 所需协议
  
  
/sbin/iptables -A FORWARD -p gre -s 172.16.0.0/24 -j ACCEPT
 
 


 
 

  
  运行ping
  
  
/sbin/iptables -A FORWARD -p icmp -s 172.16.0.0/24 -j ACCEPT
 
 


 
 

  
   
 
 


 
 

  
  #加这一句, ICMP应答、FTP传输、DCC等才能穿过防火墙正常工作。大部分还有一些UDP协议都依赖这个机制。不打开, bt们就不能变态了,bt软件不能穿透防火墙了, 需要进行ftp时候再打开, 限制只让 tcp 的包穿透防火墙
 
 


 
 

  
  #/sbin/iptables -A FORWARD -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  
  

 
 


 
 

  
  /sbin/iptables -A FORWARD -s 172.16.0.0/24 -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
 
 


 
 

  
   
 
 


 
 

  
  #封住 tcp, udp 所有端口 (应该有其他方法)
  
  
/sbin/iptables -A FORWARD -p tcp -s 172.16.0.0/24 --dport 0:65535 -j DROP
  
  
/sbin/iptables -A FORWARD -p udp -s 172.16.0.0/24 --dport 0:65535 -j DROP
  
  
/sbin/iptables -A INPUT -p tcp -s 172.16.0.0/24 --dport 0:65535 -j DROP
  
  
/sbin/iptables -A INPUT -p udp -s 172.16.0.0/24 --dport 0:65535 -j DROP
  
  
 
 
 


 
 

  
  #我的ip, 不受规则限制
  
  
/sbin/iptables -I INPUT -s 172.16.0.108 -j ACCEPT
  
  
/sbin/iptables -I FORWARD -s 172.16.0.108 -j ACCEPT
 
 


 
 

  
   
 
 


 
 

  
  # iptables -L
  
  
Chain INPUT (policy ACCEPT)
  
  
target     prot opt source               destination         
  
  
ACCEPT     all  --  172.16.0.108         anywhere            
  
  
ACCEPT     tcp  --  172.16.0.0/24        anywhere            multiport dports pop3,http,smtp,ssh,https,postgres,mysql,ftp,microsoft-ds,10101,5252,webcache,8383,netbios-ssn,1723 
  
  
ACCEPT     tcp  --  172.16.0.0/24        anywhere            state RELATED,ESTABLISHED 
  
  
ACCEPT     tcp  --  172.16.0.0/24        anywhere            tcp dpt:postgres 
  
  
ACCEPT     udp  --  172.16.0.0/24        anywhere            multiport dports domain,sunrpc 
  
  
ACCEPT     gre  --  172.16.0.0/24        anywhere            
  
  
DROP       tcp  --  172.16.0.0/24        anywhere            tcp 
  
  
DROP       udp  --  172.16.0.0/24        anywhere            udp 
  
  
 
  
  
Chain FORWARD (policy ACCEPT)
  
  
target     prot opt source               destination         
  
  
ACCEPT     all  --  anywhere             anywhere            state NEW,RELATED,ESTABLISHED 
  
  
ACCEPT     all  --  172.16.0.108         anywhere            
  
  
ACCEPT     tcp  --  172.16.0.0/24        anywhere            multiport dports http,pop3,ftp,smtp,1723,ssh,5252,10101,mysql,https,postgres,webcache,sieve,1935,8383 
  
  
ACCEPT     udp  --  172.16.0.0/24        anywhere            udp dpt:domain 
  
  
ACCEPT     udp  --  172.16.0.0/24        anywhere            udp dpt:8000 
  
  
ACCEPT     udp  --  172.16.0.0/24        anywhere            udp dpt:afs3-fileserver 
  
  
ACCEPT     gre  --  172.16.0.0/24        anywhere            
  
  
ACCEPT     icmp --  172.16.0.0/24        anywhere            
  
  
DROP       tcp  --  172.16.0.0/24        anywhere            tcp 
  
  
DROP       udp  --  172.16.0.0/24        anywhere            udp 
  
  
 
  
  
Chain OUTPUT (policy ACCEPT)
  
  
target     prot opt source               destination    
 
 





 
 

  
  =======================================================
 
 


 
 

  
  封ip
 
 


 
 

  
  /sbin/iptables -A FORWARD -s 172.16.0.*** -j DROP
 
 


 
 

  
  取消ip封闭
 
 


 
 

  
  /sbin/iptables -D FORWARD -s 172.16.0.*** -j DROP
 
 


 
 

  
  =======================================================
 
 


 
 

  
  路由端口转发, 电驴为高id用户, 但是试过后,好像不行
 
 


 
 

  
  /sbin/iptables -t nat -A PREROUTING -p udp -m udp --dport 19145 -j DNAT --to-destination 172.16.0.108:19145
  
  
/sbin/iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -d 172.16.0.108 -p udp -m udp --dport 19145 -j SNAT --to-source 172.16.0.2
  
  
 
  
  
/sbin/iptables -t nat -A PREROUTING -p tcp -m tcp --dport 19145 -j DNAT --to-destination 172.16.0.108:19145
  
  
/sbin/iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -d 172.16.0.108 -p tcp -m tcp --dport 19145 -j SNAT --to-source 172.16.0.2
  
  
 
  
  
#/sbin/iptables -t nat -A PREROUTING -p udp -m udp --dport 4662 -j DNAT --to-destination 172.16.0.108:4662
  
  
#/sbin/iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -d 172.16.0.108 -p udp -m udp --dport 4662 -j SNAT --to-source 172.16.0.2
  
  
 
  
  
#/sbin/iptables -t nat -A PREROUTING -p tcp -m tcp --dport 4662 -j DNAT --to-destination 172.16.0.108:4662
  
  
#/sbin/iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -d 172.16.0.108 -p tcp -m tcp --dport 4662 -j SNAT --to-source 172.16.0.2
 
 


 
 

  
  =============================================================
 
 


 
 

  
  ###### 用mac地址封闭上网
  
  
######注意顺序问题
  
  
 
  
  
#/sbin/iptables -A FORWARD -m mac --mac-source 00:00:BA:A5:7D:12 -p tcp -m multiport --dports 80,110,21,25,1723,22,5252,10101,3306,443,5432,8080,2000,1935,8383 -j  ACCEPT
  
  
 
  
  
#/sbin/iptables -A FORWARD -m mac --mac-source 00:00:BA:A5:7D:12 -p udp --dport 53 -j ACCEPT
  
  
 
  
  
#/sbin/iptables -A FORWARD -p icmp -j ACCEPT
  
  
 
  
  
######这一行保持在最后. 用iptables -L 查看
  
  
 
  
  
#/sbin/iptables -A FORWARD -m mac --mac-source 00:00:BA:A5:7D:12 -j DROP
yeqihong
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
iptables简单实现IP与MAC绑定上网
03-06
iptables简单实现IP与MAC绑定上网，控制哪点机器可以上网，哪台机器上不了网
iptables mac
weixin_41666796的博客
09-27 306
1、阻止MAC地址为XX:XX:XX:XX:XX:XX主机的所有通信： iptables -A INPUT -m mac --mac-source XX:XX:XX:XX:XX:XX -j DROP
iptalbes
shejf
09-30 257
典型的防火墙设置有两个网卡：一个流入，一个流出。iptables读取流入和流出数据包的报头，将它们与规则集（Ruleset）相比较，将可接受的数据包从一个网卡转发至另一个网卡， 通过向防火墙提供有关对来自某个源地址、到某个目的地或具有特定协议类型的信息包要做些什么的指令，规则控制信息包的过滤。通过使用iptables系统提供的特殊命令iptables建立这些规则，并将其添加到内核空间特定信息包...
iptable 规则之mac
caoshunxin01的专栏
02-23 1722
这里（http://en.wikipedia.org/wiki/Mac_address）有关于MAC地址的一些信息。      1、阻止MAC地址为XX:XX:XX:XX:XX:XX主机的所有通信： iptables -A INPUT -m mac --mac-source XX:XX:XX:XX:XX:XX -j DROP 2、允许MAC地址为XX:XX:XX:XX:XX:XX主
iptables限制源IP和MAC地址
weixin_34342992的博客
09-23 736
vi /etc/sysconfig/iptables-A INPUT -s x.x.x.x -p tcp --dport 8080 -m mac --mac-source 11:22:33:44:55:66 -j ACCEPT 转载于:https://blog.51cto.com/hj192837/1557267
记一次ubuntu利用iptables做端口转发的操作
01-09
于是曲线救国，找了国内一台到两边访问都较快的机器做为跳板，做一个端口转发，以加速云机器3389端口的访问。这里记录下思路和操作。 我是T型人小付，一位坚持终身学习的互联网从业者。喜欢我的博客欢迎在csdn上关注...
通过iptables实现端口转发和内网共享上网.docx
09-30
通过iptables实现端口转发和内网共享上网 本文将详细介绍如何使用iptables实现端口转发和内网共享上网。iptables是一个Linux下的优秀的nat+防火墙工具，可以配置灵活强劲的防火墙+nat系统。 首先，需要说明的是，...
iptables 端口转发
07-02
iptables是一个Linux下优秀的nat+防火墙工具
centos6.5 iptables实现端口转发
02-05
将本地3389端口 转发到192.168.10.210的22（主要访问到本机的15210端口，就会跳转到192.168.10.210的22） 【步骤】 1、 首先应该做的是/etc/sysctl.conf配置文件的 net.ipv4.ip_forward = 1 默认是0 这样允许...
配置iptables,把80端口转到8080的简单方法
01-10
所以这里需要使用linux的端口转发机制，把到80端口的服务请求都转到8080端口上。 在root账户下面运行一下命令： iptables -t nat -A PREROUTING -p tcp –dport 80 -j REDIRECT –to-port 8080 注意：网上朋友的...
iptables的MAC地址过滤
weixin_30606461的博客
06-30 321
这里（http://en.wikipedia.org/wiki/Mac_address）有关于MAC地址的一些信息。 查询现有设置 iptables -S [chain] 比如：针对1中所设 input 类，要查询则输入 iptables -S INPUT 删除已有设置 iptables -D [chain] [chain-num] 可...
iptables网关配置，指定内网MAC地址主机访问外网
沙洲浪子的专栏
10-30 2162
      刚调到新单位上班，由于单位对上互联网主机有要求，必须经过领导审批的电脑才允许上互联网，而单位上互联网使用的是小型ADSL路 由器，最多能对30个MAC地址进行绑定，所以领导给了我一台老的服务器，要我设置软路由来代替ADSL路由器。拿到服务器，我简单看了一下配置，再到网上搜了一下软路由的相关资料，觉得用LINUX+IPTABLES来设置是最合适不过的了，于是就在服务器上装了CentOS
linux-iptables nat设置路由转换
热门推荐
Coohx
04-01 1万+
DNAT（Destination Network Address Translation,目的地址转换) 通常被叫做目的映射。而SNAT（Source Network Address Translation，源地址转换）通常被叫做源映射。这是我们在设置Linux网关或者防火墙时经常要用来的两种方式。以前对这两个都解释得不太清楚，现在我在这里解释一下
oracle常用端口7799,TCP注册端口号大全【7】
weixin_28894087的博客
04-14 4987
TCP注册端口号大全【7】(2014-06-08 15:18:29)标签：宠物afs3-fileserver 7000/tcp file server itselfafs3-fileserver 7000/udp file server itselfafs3-callback 7001/tcp callbacks to cache managersafs3-callback ...
iptables禁止某个mac地址上网
Do one thing at a time, and do well.
10-18 1万+
iptables -I FORWARD  -m mac --mac-source c0:64:c6:cc:3e:a0 -j DROP //禁止这个mac地址上网，马上禁止马上生效 ///////////////////////////////////////////////////////////////////////////////////////////////////////
解决 Linux【iptables: Firewall modules are not loaded】的问题
peach_garden的博客
08-24 1001
安装完iptables，不能查看防火墙状态，解决 后，总结如下： 安装 iptables yum install -y iptables 执行命令： service iptables status 未返回信息 为防火墙模块没有加载 1.加载ip_tables模块 [root@host src]# modprobe ip_tables 2.加载iptable_filter模块 [root@...
Linux系统管理实践(11)：网络诊断的基本技巧
chuifuhuo6864的博客
07-29 293
1、网络慢的原因：网络问题经常以两种形式出现。第一种是来自远程服务器的慢速响应，第二种是完全失去连接。网络慢的根源主要有网卡的双工和速度的不兼容、网络拥塞、不良的路由、线缆问题、电阻或电波干扰、远端服务器负载过重、DNS配置不当。连接丢失的根源主要有电源问题、远端的服务器或程序被关掉。...
iptables拓展规则（多端口、根据IP地址范围、MAC地址设置）
m0_67900727的博客
03-29 6667
iptables在基本过滤条件的基础上还可以扩展其他条件，在使用时需要使用-m参数来启动这些扩展功能，语法如下： iptables 选项 链名称 -m 扩展模块 --具体扩展条件 -j 动作 一：根据MAC地址过滤 1）根据IP过滤的规则，当对方修改IP后，防火墙会失效 iptables -F iptables -I INPUT -s 192.168.4.10 -p tcp --dport 22 -j DROP #设置规则禁止192.168.4.10使用ssh远程本机 但是，当clien
iptables 将接收到的数据转发至指定ip 端口
最新发布
06-07
要将接收到的数据转发至指定的IP地址和端口，可以使用iptables的DNAT规则。具体操作步骤如下： 1. 首先开启IP转发功能，确保系统能够进行数据转发。可以通过修改 /etc/sysctl.conf 文件中的 net.ipv4.ip_forward=1 来开启IP转发。 2. 使用iptables添加DNAT规则，将接收到的数据转发至指定IP地址和端口。例如，将所有来自本地网卡eth0的TCP请求转发至IP地址为192.168.1.100，端口为8080的服务器上，命令如下： ``` iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:8080 ``` 这条命令的含义是：当接收到本地网卡eth0上的TCP请求，目标端口为80时，将数据包的目标IP地址和端口改为192.168.1.100:8080，然后继续进行路由转发。 注意，这条命令只是添加了一条iptables规则，如果要使规则生效，还需要保存规则并启用iptables服务。可以使用以下命令来保存规则并启用iptables服务： ``` iptables-save >/etc/sysconfig/iptables systemctl restart iptables ```

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值