003_iptables使用示例

一、查看当前所有防火墙规则

target 规则的动作
prot 规则指定的上层协议名称
all 所有协议
opt 规则的一些选项
source 数据包的源IP地址或子网
destination 数据包的目的IP地址或子网
anywhere 所有的地址

iptables -vnL
iptables -L INPUT -nv
iptables -L INPUT -n --line-numbers
iptables -L INPUT -n --line-numbers | less

---

二、删除规则

iptables -D INPUT 4

将IP地址172.16.2.97从规则中删除

iptables -D INPUT -s 172.16.2.97 -j DROP

---

三、拒绝所有IP访问

拒绝入栈 使用这个命令前必须先把自己的IP添加到允许里面

iptables -P INPUT -j DROP

拒绝出栈

 iptables -P OUTPUT -J DROP

---

四、屏蔽入栈IP地址访问

iptables -A INPUT -s 1.2.3.4 -j DROP
iptables -A INPUT -s 192.168.1.0/24 -j DROP

---

五、屏蔽入栈端口请求

屏蔽80端口上的请求

iptables -A INPUT -p tcp --dport 80 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP

屏蔽某个IP对80端口访问

iptables -A INPUT -p tcp -s 1.1.1.1 --dport 80 -j DROP
iptables -A INPUT -i eth0 -p tcp -s 192.168.0.0/24 --dport 80 -j DROP 

---

六、屏蔽出栈IP

iptables -A OUTPUT -d 172.16.2.30 -j DROP

---

七、允许一系列IP地址访问

iptables -A INPUT -s 192.168.1.2 -j ACCEPT
iptables -A OUTPUT -s 192.168.1.2 -j ACCEPT
iptables -A FORWARD -s 192.168.1.2 -j ACCEPT

允许所有本机向外的访问

iptables -A OUTPUT -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -m iprange --src-range 192.168.1.2-192.168.1.100 -j ACCEPT
iptables -t nat -A POSTROUTING -j SNAT --to-source 192.168.1.20-192.168.1.25

允许7000-7010范围的tcp端口访问

iptables -A INPUT -m state --state NEW -m tcp --dport 7000:7010 -j ACCEPT

---

八、屏蔽或开启常用的TCP/UDP端口

打开ssh端口

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -m state --state NEW -p tcp  --dport 22 -j ACCEPT

打开123端口，允许局域网进行NTP时间同步

iptables -A INPUT -s 192.168.1.0/24 -m state --state NEW -p udp --dport 123 -j ACCEPT

---

九、限制客户端IP的并发连接数

允许每个客户端只能并发3个ssh连接

iptables -A INPUT -p tcp  --syn --dport 22 -m connlimit --connlimit-above 3 -j ACCEPT

设置http并发连接数为20个

iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 20 --connlimit-mask 24 -j ACCEPT

–connlimit-above 3 连接数超过3个自动匹配
–connlimit-mask 24 子网掩码匹配

---

十、测试防火墙

查看端口是否开放

netstat -tulpn

---

十一、使用crit日志级别

iptables -A INPUT -s 1.2.3.4 -p tcp --dport 80 -j LOG --log-leve crit

---

十二、屏蔽ping请求

iptables -A INPUT -p icmp --icmp-type 8 -j DROP
iptables -A INPUT -P icmp --icmp-type 0 -j DROP

按照特定的网段和主机限制ping请求

iptables -A INPUT -s 192.168.1.0/24 -p icmp --icmp-type 8 -j ACCEPT

只接受受限制的ping请求，默认INOUT策略为丢弃数据包

iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT

所有的服务器都对ping做出应答

iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT

---

十三、根据MAC地址允许或组织数据包的传入

iptables -A INPUT -m mac --mac-source 00:0F:12:24:56:78 -j DROP