iptables防火墙配置

iptables命令：

列出iptables规则：iptables -L -n

列出iptables规则并显示规则编号：iptables -L -n --line-numbers

列出iptables nat表规则（默认是filter表）：iptables -L -n -t nat

清除默认规则（注意默认是filter表，如果对nat表操作要加-t nat）

#清楚所有规则：iptables -F 

#删除用户自定义的链：iptables -X

#将链的计数器清零：iptables -Z

#重启iptables发现规则依然存在，因为没有保存：service iptables restart

#保存配置：service iptables save

#禁止ssh登陆（若果服务器在机房，一定要小心）iptables -A INPUT -p tcp --dport 22 -j DROP

#清除规则：iptables -D INPUT -p tcp --dport 22 -j DROP

-A, --append chain    追加到规则的最后一条

-D, --delete chain [rulenum]    Delete rule rulenum (1 = first) from chain

-I, --insert chain [rulenum]    Insert in chain as rulenum (default 1=first) 添加到规则的第一条

-p, --proto  proto    protocol: by number or name, eg. 'tcp',常用协议有tcp、udp、icmp、all

-j, --jump target 常见的行为有ACCEPT、DROP和REJECT三种，但一般不用REJECT，会带来安全隐患

注意：INPUT和DROP这样的关键字需要大写

#禁止192.168.10.0网段从eth0网卡接入

iptables -A INPUT -p tcp -i eth0 -s 192.168.10.100 -j DROP

iptables -A INPUT -p tcp --dport 22 -i eth0 -s 192.168.10.100  -j ACCEPT

#禁止ip地址非192.168.10.10的所有类型数据接入：iptables -A INPUT ! -s 192.168.10.10 -j DROP

#禁止ip地址非192.168.10.10的ping请求：iptables -I INPUT -p icmp --icmp-type 8 -s 192.168.50.100 -j DROP

#扩展匹配：1.隐式扩展 2.显示扩展

    #隐式扩展   -p tcp

        --sport PORT 源端口

        --dport PORT 目标端口

    #显示扩展：使用额外的匹配规则

    -m EXTENSTION --SUB-OPT

    -p tcp --dport 22 与 -p tcp -m tcp --dport 22功能相同

    state：状态扩展，接口ip_contrack追踪会话状态

        NEW：新的连接请求， ESTABLISHED：已建立的连接请求， INVALID：非法连接， RELATED：相关联的连接

#匹配端口范围：iptables -I INPUT -p tcp --dport 22:80 -j DROP

#匹配多个端口：iptables -I INPUT -p tcp -m multiport --dport 22,80,3306 -j ACCEPT

#不允许源端口为80的数据流出：iptables -I OUTPUT -p tcp --sport 80 -j DROP

配置防火墙：两种模式-->电影院模式和逛公园模式

配置一个生产环境的防火墙

#1.清空所有规则

iptables -F

iptables -Z

iptables -X

#2.配置允许ssh协议的22端口进入

iptables -A INPUT -p tcp --dport 22 -s 192.168.50.100 -j ACCEPT

#3.配置允许lo接口数据的进出

iptables -A INPUT -i lo -j ACCEPT

iptables -A OUTPUT -o lo -j ACCEPT

#4.设置默认的进出规则，DROP掉INPUT链和FORWARD链，保留OUTPUT链

iptables --policy OUTPUT ACCEPT

iptables -P INPUT DROP

iptables -P FORWARD DROP

#5.开启信任的IP段

iptables -A INPUT -p all -s 192.168.10.0/24 -j ACCEPT

#6.开放http的80端口

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

#7.允许icmp类型协议通过

iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

#8.允许关联状态包进出

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#对于FTP而言，就需要 RELATED 才能实现 21 端口白名单，如不加此项需要额外开放端口，而那些额外开放端口是不受连接状态保护的。

#9.保存iptables配置到文件

service iptables save

iptables的NAT功能：将Linux服务器配置为上网网关和端口映射功能

    上网网关：就是将Linux服务器配置成路由器或者网关，实现其他服务器能通过这台服务器进行上网的功能，如果需要实在

该功能，就要借助iptables的nat表