,,,,,,,,,,,,,,,,,,,,,,,,,,,,,以前,
<> <代码> Linux下IPtables命令图解 
Linux下IPtables命令剖析
1。命令:
——顺序添加,添加一条新规则
我插入,插入一条新规则我后面加一数字表示插入到哪行
- r修改,删除一条新规则- d后面加一数字表示删除哪行
- d删除,删除一条新规则- d后面加一数字表示删除哪行
- n,新建一个链
- x,删除一个自定义链,删除之前要保证次链是空的,而且没有被引用
- l查看
@1。iptables - l - n以数字的方式显示
@2。iptables - l - v显示详细信息
@3。iptables - l - x显示精确信息
- e,重命名链
- f清空链中的所有规则
- z,清除链中使用的规则
- p设置默认规则
2。匹配条件:
隐含匹配:
- p, tcp udp icmp
——运动指定源端口
——dport指定目标端
- s源地址
- d目的地址
我数据包进入的网卡
- o数据包出口的网卡
扩展匹配:
- m状态,状态,匹配状态的
- m mutiport——源端口,端口匹配,指定一组端口
- m限制,限制3/分钟,每三分种一次
- m限制——limit-burst, 5,只匹配5个数据包
- m字符串,字符串,藻类bm |公里——string" xxxx",匹配字符串
-mtime timestart 8:00——timestop 12:00,表示从哪个时间到哪个时间段
-mtime——天,,表示那天
- m mac——mac-source xx: xx: xx: xx: xx: xx匹配源mac地址
- m layer7——l7proto qq,表示匹配腾讯qq的当然也支持很多协议,这个默认是没有的,需要我们给内核打补丁并重新编译内核及iptables才可以使用- m layer7这个显示扩展匹配
3。动作:
- j
下降直接丢掉
接受允许通过
拒绝丢掉,但是回复信息
日志——log-prefix"说明信息,自己随便定义”;,记录日志
SNAT,,,源地址转换
DNAT,,,目标地址转换
重定向,重定向
MASQUERAED 地址伪装
保存iptables规则
service iptables save
重启服务
service iptables stop
service iptables start
Linux下IPtables企业案例解析
含义：
:INPUT ACCEPT [0:0]
该规则表示INPUT表默认策略是ACCEP （[ 0:0 ]里记录的就是通过该规则的数据包和字节总数。）
:FORWARD ACCEPT [0:0]
该规则表示FORWARD表默认策略是ACCEPT
:OUTPUT ACCEPT [0:0]
该规则表示OUTPUT表默认策略是ACCEPT
NEW 用户发起一个全新的请求
ESTABLISHED 对一个全新的请求进行回应
RELATED 两个完整连接之间的相互关系，一个完整的连接，需要依赖于另一个完整的连接。
INVALID 无法识别的状态。
-A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
意思是允许进入的数据包只能是刚刚我发出去的数据包的回应
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
意思就允许本地环回接口在INPUT表的所有数据通信，-i 参数是指定接口，接口是lo，lo就是Loopback（本地环回接口）
-A INPUT -j REJECT –reject-with icmp-host-prohibited
-A FORWARD -j REJECT –reject-with icmp-host-prohibited
这两条的意思是在INPUT表和FORWARD表中拒绝所有其他不符合上述任何一条规则的数据包。并且发送一条host prohibited的消息给被拒绝的主机。
下面来介绍一下，我添加的每个参数是什么意思，跟我没讲得允许22端口的一样
-A INPUT -m state –state NEW -m tcp -p tcp –dport 22 -j ACCEPT
-A 最后添加一条规则
-j 后面接动作，主要的动作有接受(ACCEPT)、丢弃(DROP)、拒绝(REJECT)及记录(LOG)
–dport 限制目标的端口号码。
-p 协定：设定此规则适用于哪种封包格式 主要的封包格式有： tcp, udp, icmp 及 all 。
-m state –state 模糊匹配一个状态，
IPtables企业案例规则实战
WEB服务器,开启80端口；
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
邮件服务器,开启25,110端口；
iptables -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
FTP服务器,开启21端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
DNS服务器,开启53端口
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
允许icmp包通过,也就是允许ping,
iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT设置成DROP的话)
iptables -A INPUT -p icmp -j ACCEPT ,(输入设置成下降的话)
将本机的8080端口转发至其他主机,主机IP: 192.168.1.162,目标主机IP和端口:192.168.1.163:80,规则如下;
