網路基礎知識----------iptables，----------iptables

網路基礎知識----------iptables，----------iptables
iptables命令是linux上常用的防火牆軟禁啊，是netfilter項目的一部分。可以直接配置，也可以通過圖形介面配置文法

iptables (選項） （參數）

選項

-t<表>：指定要操縱的表；-A：向規則鏈中添加條目；-D：從規則鏈中刪除條目；-i：向規則鏈中插入條目；-R：替換規則鏈中的條目；-L：顯示規則鏈中已有的條目；-F：清楚規則鏈中已有的條目；-Z：清空規則鏈中的資料包計算機和位元組計數器；-N：建立新的使用者自訂規則鏈；-P：定義規則鏈中的預設目標；-h：顯示協助資訊；-p：指定要匹配的資料包協議類型；-s：指定要匹配的資料包源ip地址；-j<目標>：指定要跳轉的目標；-i<網路介面>：指定資料包進入原生網路介面；-o<網路介面>：指定資料包要離開本機所使用的網路介面。

iptables命令選項輸入順序：

iptables -t 表名 <-A/I/D/R> 規則鏈名 [規則號] <-i/o 網卡名> -p 協議名 <-s 源IP/源子網> --sport 源連接埠 <-d 目標IP/目標子網> --dport 目標連接埠 -j 動作

表名包括：

• raw：進階功能，如：網址過濾。
• mangle：資料包修改（QOS），用於實現服務品質。
• net：地址轉換，用於網關路由器。
• filter：包過濾，用於防火牆規則。

規則鏈名包括：

• INPUT鏈：處理輸入資料包。
• OUTPUT鏈：處理輸出資料包。
• PORWARD鏈：處理轉寄資料包。
• PREROUTING鏈：用於目標地址轉換（DNAT）。
• POSTOUTING鏈：用於源地址轉換（SNAT）。

動作包括：

• accept：接收資料包。
• DROP：丟棄資料包。
• REDIRECT：重新導向、映射、透明代理。
• SNAT：源地址轉換。
• DNAT：目標地址轉換。
• MASQUERADE：IP偽裝（NAT），用於ADSL。
• LOG：日誌記錄。

執行個體

清除已有iptables規則

iptables -Fiptables -Xiptables -Z

 

開放指定的連接埠

iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT               #允許本地迴環介面(即運行本機訪問本機)iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT    #允許已建立的或相關連的通行iptables -A OUTPUT -j ACCEPT         #允許所有本機向外的訪問iptables -A INPUT -p tcp --dport 22 -j ACCEPT    #允許訪問22連接埠iptables -A INPUT -p tcp --dport 80 -j ACCEPT    #允許訪問80連接埠iptables -A INPUT -p tcp --dport 21 -j ACCEPT    #允許ftp服務的21連接埠iptables -A INPUT -p tcp --dport 20 -j ACCEPT    #允許FTP服務的20連接埠iptables -A INPUT -j reject       #禁止其他未允許的規則訪問iptables -A FORWARD -j REJECT     #禁止其他未允許的規則訪問

 

屏蔽IP

iptables -I INPUT -s 123.45.6.7 -j DROP       #屏蔽單個IP的命令iptables -I INPUT -s 123.0.0.0/8 -j DROP      #封整個段即從123.0.0.1到123.255.255.254的命令iptables -I INPUT -s 124.45.0.0/16 -j DROP    #封IP段即從123.45.0.1到123.45.255.254的命令iptables -I INPUT -s 123.45.6.0/24 -j DROP    #封IP段即從123.45.6.1到123.45.6.254的命令是

 

查看已添加的iptables規則

iptables -L -n -vChain INPUT (policy DROP 48106 packets, 2690K bytes) pkts bytes target     prot opt in     out     source               destination          5075  589K ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0            191K   90M ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:221499K  133M ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:804364K 6351M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 6256  327K ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) pkts bytes target     prot opt in     out     source               destination         Chain OUTPUT (policy ACCEPT 3382K packets, 1819M bytes) pkts bytes target     prot opt in     out     source               destination          5075  589K ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0  

 

刪除已添加的iptables規則

將所有iptables以序號標記顯示，執行：

iptables -L -n --line-numbers

比如要刪除INPUT裡序號為8的規則，執行：

iptables -D INPUT 8