关键词:
iptables 命令基本语法iptables [-t table] command [链名] [条件匹配] [-j 目标动作]
以下是对 iptables 命令的拆分讲解:
-t table
用来指明使用的表,有三种选项: filter
,nat
,mangle
。若未指定,则默认使用filter表。
command参数
指定iptables 对我们提交的规则要做什么样的操作,以下是command常用参数:
-A
Append,追加一条规则(放到最后)
举例:
iptables -A INPUT -j DROP #拒绝所有人访问服务器(作为最后一条规则)
// 若未 -t 指定表,默认使用filter表
-
-I
Insert,在指定的位置插入规则
举例:
iptables -I INPUT 2 -s 10.10.10.1 -j ACCEPT #允许10.10.10.1主机访问本机
// 在 filter 表的 INPUT 链插入成第2条规则
-
-L
List,查看规则列表
具体参数:
n:只显示 IP 地址和端口号码,不显示域名和服务名称
v:显示详细信息,包括每条规则的匹配包数量和匹配字节数
x:在 v 的基础上,禁止自动单位换算(K、M)
--line-number:可以查看到规则号
举例:
-
-D
Delete,从规则列表中删除规则
举例:
iptables -D INPUT 2
// 删除 filter 表 INPUT 链中的第 2 条规则
-P
Policy,设置某个链的默认规则
举例:
iptables -P INPUT DROP
// 设置 filter 表 INPUT 链的默认规则是 DROP
当数据包没有被任何规则匹配时,则按默认规则处理。
-F
Flush,清空规则
举例:
iptables -F INPUT #清空filter 表中INPUT链上的规则
iptables -F #清空filter 表中所有链上的规则
iptables -t nat -F PREROUTING ##清空NAT表中PREROUTING链上的规则
iptables -t nat -F #清空NAT表中所有链上的规则
注意:-F 是清空链中规则,但并不影响 -P 设置的默认规则。 因此在生产环境中,若指定默认规则为DROP,一旦执行
iptables -F
,很容易导致自己也无法连接服务器(-F 会把配置的明细ACCEPT规则删除,只留下默认规则拒接所有)。
-Z
zero,将指定链的所有计数器归零。(如未指定,则认为是所有链)
举例:
iptables -Z INPUT
//清除filter表INPUT链上的计数器
条件匹配参数
按网络接口匹配:
-i
匹配数据进入的网络接口,此参数主要应用nat表,例如目标地址转换。
-o
匹配数据流出的网络接口
例如:
-i eth0
// 匹配从网络接口eth0进来的数据包
-o eth1
// 匹配从eth1流出的数据包
按源及目的地址匹配
-s
匹配源地址,可以是IP、网段、域名,也可空(代表任何地址)
-d
匹配目标地址
举例:
-s 参数举例:
iptables -A INPUT -s 10.10.10.10 -j DROP
// 拒绝10.10.10.10主机访问本机
-d 参数举例:
iptables -A OUTPUT -d www.baidu.com -j DROP
// 禁止本机访问百度
按协议类型匹配
-p
匹配协议类型,可以是TCP、UDP、ICMP等
举例:
iptables -A INPUT -s 10.10.10.10 -p icmp -j DROP
// 禁止10.10.10.10主机ping通本机
按源及目的端口匹配
--sport
匹配源端口;可以是单个端口,也可以是端口范围
--dport
匹配目的端口
例如:
-- sport 23
//匹配源端口是23的数据包
-- sport 2000:3000
//匹配源端口是 2000-3000 的数据包
-- sport :2000
//匹配2000以下的数据包(包含2000)
- --sport 1000:
//匹配1000以上的数据包(包含1000)
注意:--sport 和 --dport 必须配合 -p 参数使用,例如:
iptables -A INPUT -p tcp –dport 80 -j ACCEPT
//允许外部数据访问我的本地服务器80端口
详细解释:
1、这是一条从外部进入内部本地服务器的数据
2、数据包的目的(dport)地址是22,就是要访问我本地的22端口
3、允许以上的数据行为通过
目的动作
-j ACCEPT
允许数据包通过本链而不拦截它
例如:
iptables -A INPUT -j ACCEPT
// 允许所有访问本机的数据包通过
-j DROP
丢弃数据包;阻止数据包通过本链
例如:
iptables -A FORWARD -s 10.10.10.10 -j DROP
// 阻止来自10.10.10.10 的数据包通过本机
-j SNAT
源地址转换,支持转换为单IP,也支持转换到IP地址池
例如:
转换到单IP举例:
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to 18.18.18.18
// 将内网 192.168.1.0/24 转换为公网18.18.18.18地址;SNAT,用于访问互联网
转换到一组地址池:
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to 18.18.18.18-18.18.18.28
//同上,只不过是转换到一组IP地址池
-j DNAT
目的地址转换,支持转换为单IP,也支持转换到IP地址池
例如:
转换到单IP举例:
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.1.1
//把从eth0口进来访问TCP/80端口的数据包目的地址改成192.168.1.1
转换到一组地址池:
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.1.1-192.168.1.10
-j MASQUERADE
动态SNAT转换(适用于动态 IP 场景 )
例如:
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE
// 将源地址是 192.168.1.0/24 的数据包进行地址伪装,转换成 eth0 上的 IP 地址
iptables 常用附加模块:
? 按包状态匹配 (state)
-m state --state 状态
举例:
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
// 将目前已运行的服务端口全部放行!无风险,良心推荐使用
? 按来源 MAC 匹配(mac)
-m mac --mac-source MAC
举例:
iptables -A INPUT -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP
// 拒绝来自某 MAC 地址的数据包进入本机
? 按包速率匹配 (limit)
-m limit --limit 匹配速率
举例:
iptables -A FORWARD -d 192.168.1.1 -m limit --limit 50/s -j ACCEPT
iptables -A FORWARD -d 192.168.1.1 -j DROP
limit 英语上看是限制的意思,但实际上只是按一定速率去匹配而已,50/s 表示 1 秒中转发 50 个数据包,要想限制的话后面要再跟一条DROP规则
? 多端口匹配 (multiport)
-m multiport <--sports|--dports|--ports> 端口 1[,端口 2,..,端口 n]
举例:
iptables -A INPUT -p tcp -m multiport --dports 22,53,80,443 -j ACCEPT
// 允许访问本机TCP/22,53,80,443端口
注意:该参数必须与 -p 参数一起使用
iptables 规则备份和恢复
我们执行 iptables 命令时,规则只是保存在内存中,并没有保存到某一个文件中。因此系统重启之后,之前设定的规则就没有了,所以规则设定完毕,检查无误后要及时保存规则,使用命令:
[root@LB-01 ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
会看到提示,防火墙规则保存在/etc/sysconfig/iptables
文件内,这个文件就是iptables的配置文件。所以如果要备份防火墙规则,复制该配置文件即可。例如:
cp /etc/sysconfig/iptables /opt/myipt.rule
如果需要恢复这些规则,使用以下命令:
iptables-restore < /opt/myipt.rule
service iptables save
结语
公众号『开源Linux
』,专注分享Linux/Unix相关内容,包括Linux运维、Linux系统开发、网络编程、以及虚拟化和云计算等技术干货。后台回复『学习
』,送你一套学习Linux的系列书籍,期待与你相遇。
iptables系列教程|iptables入门篇(代码片段)
前言在早期的Linux系统中,默认使用的是iptables配置防火墙。尽管新型的firewalld防火墙已经被投入使用多年,但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。考虑到iptables在当前生产环境中还具有顽强的生命力... 查看详情
iptables语法
iptables语法iptables-F清空规则如果想把当前规则保存到文件里面需要serviceiptablessave保存规则清空后需要保存一下,才是真的清空规则保存的路径是/etc/sysconfig/iptables如果不保存的话重启iptables后会重新还原回来[[email protected]~]#se... 查看详情
iptables语法
规则保存路径/etc/sysconfig/iptables#iptables-F//清空规则#serviceiptablessave//保存规则#iptables-tfilter-nvL//-t指定表,默认是filter表#iptables-Z//可以把计算器清零#iptables-AINPUT-s192.168.188.1-ptcp--sport1234-d192.168.188.128--dp 查看详情
iptables语法iptablesfilter表小案例
1、iptables语法查看规则,输入命令iptables-nvL,回车,见下图,现在重启下,再查看,见下图,可以看到,规则没有改变。那么规则在哪里保存的呢?见下图,清空规则,使用命令iptables-F,见下图,清空规则之后,使用命令iptables... 查看详情
iptables指令语法
iptables指令语法:iptables[-ttable]command[match][-jtarget/jump] -t参数用来指定规则表,内建的规则表有三个,分别是:nat、mangle和filter,当未指定规则表时,则一律视为是filter。个规则表的功能如下: &... 查看详情
iptables系列教程|iptables入门篇(代码片段)
前言在早期的Linux系统中,默认使用的是iptables配置防火墙。尽管新型的firewalld防火墙已经被投入使用多年,但是大量的企业在生产环境中依然出于各种原因而继续使用iptables。考虑到iptables在当前生产环境中还具有顽强的生命力... 查看详情
iptables教程
1. iptables防火墙简介Iptables也叫netfilter是Linux下自带的一款免费且优秀的基于包过滤的防火墙工具,它的功能十分强大,使用非常灵活,可以对流入、流出、流经服务器的数据包进行精细的控制。iptables是Linux2.4及2.6内核中集成... 查看详情
iptables系列之基础原理
...核中的过滤框架,规则生效的位置框架 iptables:附加在netfilter上,生成防火墙规则,真正实现数据报文过滤,NAT,mangle等规则生成的工具防火墙:工作在主机或者网络的边缘,对于进出的报文进行检查监控,并... 查看详情
iptables规则表
1.iptables规则表 Filter(针对过滤系统):INPUT、FORWARD、OUTPUT NAT(针对地址转换系统):PREROUTING、POSTROUTING、INPUT、OUTPUT Mangle(针对策略路由和特殊应用):OUTPUT、POSTROUTING2.安装包 iptables-1.2.7a-23.配置防火墙 1)命令语法 ... 查看详情
iptables基本应用(代码片段)
iptables概述iptables是一个规则管理工具,它能实现规则的: 添加、修改、删除、显示等相关功能;当然也能完成默认规则的定义等等。 另外iptables还有一个好处在于在实现规则添加时它能自动完成规则的... 查看详情
iptables常用语法与案例
常用命令语法:[[email protected]~]#iptables[-ttables][-L][-nv]选项与参数:-t:后面接table,例如nat或filter,若省略此项目,则使用默认的filter-L:列出目前的table的规则-n:不进行IP与HOSTNAME的反查,显示讯息的速度会快很多!-v:列出... 查看详情
centos7开机自动加载iptables规则
...]#systemctlstopfirewalld&&systemctldisablefirewalld 2、安装iptables相关软件包;~]#yuminstalliptablesiptables-services 3、启动iptables服务并设置该服务开机自启; 注意:此处的iptables服务仅仅是用来保存或者开机自动加载iptables规则... 查看详情
iptables系列教程|iptables实战篇(代码片段)
iptables实战篇实战1服务器禁止pingiptables-AINPUT-picmp--icmp-type8-s0/0-jDROP//禁止任何人ping通本机除了上面禁止PING的方法,我们还可以通过修改内核配置实现,如下:echonet.ipv4.icmp_echo_ignore_all=1>>/etc/sysctl.confsysctl-p//如果允许PING,则... 查看详情
关于iptables命令
iptables指令语法:iptables[-ttable]command[match][-jtarget/jump]-t 参数用来指定规则表,内建的规则表有三个,分别是:nat、mangle和filter,当未指定规则表时,则一律视为是filter。个规则表的功能如下:nat此规则表拥有Prerouting和postrouti... 查看详情
iptables规则的删除-怎么删除一条已有的iptables规则(代码片段)
语法是:iptables-Dchainrulenum[options]其中:chain是链的意思,就是INPUTFORWARD之类的定语rulenum是该条规则的编号。从1开始。可以使用iptables-LINPUT–line-numbers列出指定的链的规则的编号来。所以,例如上面要删除一个INPUT链的规则的话... 查看详情
iptables命令的使用
iptables命令的使用1、语法 iptables(选项)(参数)2、选项 -t<表>:指定要操纵的表; -A:向规则链中添加条目; -D:从规则链中删除条目; -I:向规则链中插入条目; -R:替换规则链中的条目; -L:显示规则链中已有的条目; -F... 查看详情
iptables的原理和基本用法(代码片段)
iptables-----可以将规则组成一个列表,实现绝对详细的访问控制功能。一、iptables基础Iptables中的规则表:规则表的先后顺序:raw→mangle→nat→filte规则链的先后顺序:入站顺序:PREROUTING→INPUT出站顺序:OUTPUT→POSTROUTING转发顺序:PREROUTING... 查看详情
iptables命令
iptables命令是Linux上常用的防火墙软件,是netfilter项目的一部分。可以直接配置,也可以通过许多前端和图形界面配置。 语法iptables (选项)(参数)选项-t<表>:指定要操纵的表; -A:向规则链中添加条目; -D:从... 查看详情