关键词：
一、iptables：从这里开始
删除现有规则
iptables -F
(OR)
iptables --flush
设置默认链策略
iptables的filter表中有三种链：INPUT, FORWARD和OUTPUT。默认的链策略是ACCEPT，你可以将它们设置成DROP。
iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP
你需要明白，这样做会屏蔽所有输入、输出网卡的数据包，除非你明确指定哪些数据包可以通过网卡。
屏蔽指定的IP地址
以下规则将屏蔽BLOCK_THIS_IP所指定的IP地址访问本地主机：
BLOCK_THIS_IP="x.x.x.x" iptables -A INPUT -i eth0 -s "$BLOCK_THIS_IP" -j DROP (或者仅屏蔽来自该IP的TCP数据包） iptables -A INPUT -i eth0 -p tcp -s "$BLOCK_THIS_IP" -j DROP
允许来自外部的ping测试
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
允许从本机ping外部主机
iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT
允许环回(loopback)访问
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
二、iptables：协议与端口设定
允许所有SSH连接请求
本规则允许所有来自外部的SSH连接请求，也就是说，只允许进入eth0接口，并且目的端口为22的数据包
iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
允许从本地发起的SSH连接
本规则和上述规则有所不同，本规则意在允许本机发起SSH连接，上面的规则与此正好相反。
iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
仅允许来自指定网络的SSH连接请求
以下规则仅允许来自192.168.100.0/24的网络：
iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
上例中，你也可以使用-s 192.168.100.0/255.255.255.0作为网络地址。当然使用上面的CIDR地址更容易让人明白。
仅允许从本地发起到指定网络的SSH连接请求
以下规则仅允许从本地主机连接到192.168.100.0/24的网络：
iptables -A OUTPUT -o eth0 -p tcp -d 192.168.100.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
允许HTTP/HTTPS连接请求
# 1.允许HTTP连接：80端口 iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT # 2.允许HTTPS连接：443端口 iptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
允许从本地发起HTTPS连接
本规则可以允许用户从本地主机发起HTTPS连接，从而访问Internet。
iptables -A OUTPUT -o eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A INPUT -i eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
类似的，你可以设置允许HTTP协议（80端口）。
-m multiport：指定多个端口
通过指定-m multiport选项，可以在一条规则中同时允许SSH、HTTP、HTTPS连接：
iptables -A INPUT -i eth0 -p tcp -m multiport --dports 22,80,443 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp -m multiport --sports 22,80,443 -m state --state ESTABLISHED -j ACCEPT
允许出站DNS连接
iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT iptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT
允许NIS连接
如果你在使用NIS管理你的用户账户，你需要允许NIS连接。即使你已允许SSH连接，你仍需允许NIS相关的ypbind连接，否则用户将无法登陆。NIS端口是动态的，当ypbind启动的时候，它会自动分配端口。因此，首先我们需要获取端口号，本例中使用的端口是853和850：
rpcinfo -p | grep ypbind
然后，允许连接到111端口的请求数据包，以及ypbind使用到的端口：
iptables -A INPUT -p tcp --dport 111 -j ACCEPT iptables -A INPUT -p udp --dport 111 -j ACCEPT iptables -A INPUT -p tcp --dport 853 -j ACCEPT iptables -A INPUT -p udp --dport 853 -j ACCEPT iptables -A INPUT -p tcp --dport 850 -j ACCEPT iptables -A INPUT -p udp --dport 850 -j ACCEPT
以上做法在你重启系统后将失效，因为ypbind会重新指派端口。我们有两种解决方法：
1.为NIS使用静态IP地址
2.每次系统启动时调用脚本获得NIS相关端口，并根据上述iptables规则添加到filter表中去。
允许来自指定网络的rsync连接请求
你可能启用了rsync服务，但是又不想让rsync暴露在外，只希望能够从内部网络（192.168.101.0/24）访问即可：
iptables -A INPUT -i eth0 -p tcp -s 192.168.101.0/24 --dport 873 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 873 -m state --state ESTABLISHED -j ACCEPT
允许来自指定网络的MySQL连接请求
你可能启用了MySQL服务，但只希望DBA与相关开发人员能够从内部网络（192.168.100.0/24）直接登录数据库：
iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 3306 -m state --state ESTABLISHED -j ACCEPT
允许Sendmail, Postfix邮件服务
邮件服务都使用了25端口，我们只需要允许来自25端口的连接请求即可。
iptables -A INPUT -i eth0 -p tcp --dport 25 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT
允许IMAP与IMAPS
# IMAP：143 iptables -A INPUT -i eth0 -p tcp --dport 143 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 143 -m state --state ESTABLISHED -j ACCEPT # IMAPS：993 iptables -A INPUT -i eth0 -p tcp --dport 993 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 993 -m state --state ESTABLISHED -j ACCEPT
允许POP3与POP3S
# POP3：110 iptables -A INPUT -i eth0 -p tcp --dport 110 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPT # POP3S：995 iptables -A INPUT -i eth0 -p tcp --dport 995 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 995 -m state --state ESTABLISHED -j ACCEPT
防止DoS攻击
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT -m limit: 启用limit扩展 –limit 25/minute: 允许最多每分钟25个连接 –limit-burst 100: 当达到100个连接后，才启用上述25/minute限制
三、转发与NAT
允许路由
如果本地主机有两块网卡，一块连接内网(eth0)，一块连接外网(eth1)，那么可以使用下面的规则将eth0的数据路由到eht1：
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
DNAT与端口转发
以下规则将会把来自422端口的流量转发到22端口。这意味着来自422端口的SSH连接请求与来自22端口的请求等效。
# 1.启用DNAT转发 iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 --dport 422 -j DNAT --to-destination 192.168.102.37:22 # 2.允许连接到422端口的请求 iptables -A INPUT -i eth0 -p tcp --dport 422 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 422 -m state --state ESTABLISHED -j ACCEPT
假设现在外网网关是xxx.xxx.xxx.xxx，那么如果我们希望把HTTP请求转发到内部的某一台计算机，应该怎么做呢？
iptables -t nat -A PREROUTING -p tcp -i eth0 -d xxx.xxx.xxx.xxx --dport 8888 -j DNAT --to 192.168.0.2:80 iptables -A FORWARD -p tcp -i eth0 -d 192.168.0.2 --dport 80 -j ACCEPT
当该数据包到达xxx.xxx.xxx.xxx后，需要将该数据包转发给192.168.0.2的80端口，事实上NAT所做的是修改该数据包的目的地址和目的端口号。然后再将该数据包路由给对应的主机。
但是iptables会接受这样的需要路由的包么？这就由FORWARD链决定。我们通过第二条命令告诉iptables可以转发目的地址为192.168.0.2:80的数据包。再看一下上例中422端口转22端口，这是同一IP，因此不需要设置FORWARD链。
SNAT与MASQUERADE
如下命令表示把所有10.8.0.0网段的数据包SNAT成192.168.5.3的ip然后发出去：
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j snat --to-source 192.168.5.3
对于snat，不管是几个地址，必须明确的指定要snat的IP。假如我们的计算机使用ADSL拨号方式上网，那么外网IP是动态的，这时候我们可以考虑使用MASQUERADE
iptables -t nat -A POSTROUTING -s 10.8.0.0/255.255.255.0 -o eth0 -j MASQUERADE
负载平衡
可以利用iptables的-m nth扩展，及其参数（–counter 0 –every 3 –packet x），进行DNAT路由设置（-A PREROUTING -j DNAT –to-destination），从而将负载平均分配给3台服务器：
iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.101:443 iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 1 -j DNAT --to-destination 192.168.1.102:443 iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 2 -j DNAT --to-destination 192.168.1.103:443
自定义的链
记录丢弃的数据包
# 1.新建名为LOGGING的链 iptables -N LOGGING # 2.将所有来自INPUT链中的数据包跳转到LOGGING链中 iptables -A INPUT -j LOGGING # 3.指定自定义的日志前缀"IPTables Packet Dropped: " iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables Packet Dropped: " --log-level 7 # 4.丢弃这些数据包 iptables -A LOGGING -j DROP
linux使用iptables屏蔽ip段
netfilter/iptablesIP信息包过滤系统是一种功能强大的工具，可用于添加、编辑和除去规则，这些规则是在做信息包过滤决定时，防火墙所遵循和组成的规则。这些规则存储在专用的信息包过滤表中，而这些表集成在Linux内核中。在... 查看详情
linux系统安全之iptables防火墙(代码片段)
目录一.iptables防火墙基本介绍二.iptables的四表五链三.iptables的配置1.iptables的安装2.iptables防火墙的配置方法四.添加、查看、删除规则1.查看(fliter)表中的所有链 iptables-L2.使用数字形式(fliter)表所有链查看输出结果iptables-nL3.清空表... 查看详情
转载iptables禁用与解封ip(代码片段)
...规则进行添加操作。要封停一个IP，使用下面这条命令：iptables-IINPUT-s***.***.***.***-jDROP要解封一个IP，使用下面这条命令：iptables -DINPUT -s ***.***.***.*** -jDROP参 查看详情
iptables常用命令
一、命令查看某表中的规则：iptables--line-number-t表名-nL添加新的入站规则：iptables-AINPUT-sip地址-p协议--dport端口-j处理方式替换规则：iptables-RINPUT编号-sip地址-p协议--dport端口-j处理方式删除规则：iptables-DINPUT编号修改默认规则：ipta... 查看详情
android动态屏蔽ip地址(代码片段)
...的IP可以动态配置。一、如何屏蔽IP地址这里就要使用到iptables防火墙工具。iptables是Linux防火墙系统的重要组成部分，iptables的主要功能是实现对网络数据包进出设备及转发的控制。 查看详情
如何在linux下大量屏蔽恶意ip地址
...然后根据你的情况把下面的命令修改并保存vi/etc/sysconfig/iptables单个IP的命令是iptables-IINPUT-s59.151.119.180-jDROP封IP段的命令是iptables-IINPUT-s211.1.0.0/16-jDROP封整个段的命令是iptables-IINPUT-s211.0.0.0/8-jDROP封几个段的命令是iptables-IINPUT-s61.37.8... 查看详情
6.iptables常用规则(代码片段)
...ip段192.168.1.0/24端的80口开启ip段211.123.16.123/24端ip段的80口#iptables-IINPUT-ptcp--dport80-jDROP#iptables-IINPUT-s192.168.1.0/24-ptcp--dport80-jACCEPT#iptables-IINPUT-s211.123.16.123/24-ptcp--dport80-jACCEPT以上是临时设置。1.先备份iptables#cp/etc/sysconfig/iptables/var/tmp2.... 查看详情
linux运维之iptables的一些操作（参考大神的）
参考技术A1.安装iptables管理命令2.加载防火墙的内核模块3.查看已加载的模块4.启动防火墙首先停止firewalld开启iptables1.查看防火墙规则2.清除防火墙规则3.添加防火墙规则4.网络连接状态5.删除某个规则1.禁止某个端口访问2.规则解释... 查看详情
屏蔽端口iptables规则
屏蔽端口iptables规则我们仅需保留SSH，SQL，DNS，HTTP和HTTPS这些主要端口，其它的用iptables做下限制，这样就高枕无忧了。环回网络iptables-AOUTPUT-olo-jACCEPTiptables-AINPUT-ilo-jACCEPTDNSiptables-AOUTPUT-pudp–sport53-jACCEPTiptables-AINPUT-pudp–dport 查看详情
ansible安全之iptables设置(代码片段)
Ansible安全之【iptables设置】规则控制1.只开启ssh端口。2.限制管理人员登录的ip地址。停止并屏蔽firewalld服务systemctlstopfirewalldsystemctlmaskfirewalld安装iptables-services包yuminstall-yiptables-services清除所有规则#清除预设表filter中的所有规则... 查看详情
25个iptables常用示例(代码片段)
本文将给出25个iptables常用规则示例，这些例子为您提供了些基本的模板，您可以根据特定需求对其进行修改调整以达到期望。格式iptables[-t表名]选项[链名][条件][-j控制类型]参数-P设置默认策略:iptables-PINPUT(DROP|ACCEPT)-F清空规则链... 查看详情
iptables学习
iptables为我们预先定义了四张表raw、mangle、nat、filterfilter表负责过滤：允许那些ip访问、拒绝那些ip访问、允许那些端口。。。是最常用的表#查看表里面所有的规则iptables-tfilter-L-n -n不解析IP地址#查看某张表中的某条链iptables-t... 查看详情
iptables转发规则改变源地址无效？
...2.168.1.3#将192.168.1.1发送到5000端口的udp数据转发到192.168.1.3iptables-tnat-APREROUTING-pudp--dport5000-jDNAT--to-destination192.168.1.3:5000#将转发数据的源地址改为转发服务器IP，不需要让处理数据的服务知道，这个请求实际是谁发送的，只需要知... 查看详情
iptables简单使用
iptables网络防火墙一、简介防火墙：可以是硬件也可以是软件:规则（匹配标准，处理办法）netfilter:是一种框架，工作在内核中，通过iptables命令(用户空间)来规则交给netfilter（内核空间）。作用实现规则iptables:数据报文过滤，NAT... 查看详情
iptables详解：iptables匹配条件总结之二（常用扩展模块）
前文已经总结了iptables中的基本匹配条件，以及简单的扩展匹配条件，此处，我们来认识一些新的扩展模块。 iprange扩展模块之前我们已经总结过，在不使用任何扩展模块的情况下，使用-s选项或者-d选项即可匹配报文的... 查看详情
【性能】如何优化nat性能？
...修改（比如NAT）和过滤（比如防火墙）。在这个基础上，iptables、ip6tables、ebtables等工具，又提供了更易用的命令行接口，以便系统管理员配置和管理NAT、防火墙的规则。其中，iptables就是最常用的一种配置工具。要掌握iptables的... 查看详情
sspanel常用审计规则(代码片段)
规则禁用BT防止版权争议BitTorrentprotocol数据包明文匹配禁止百度高精度定位防止IP与客户端地理位置被记录(api|ps|sv|offnavi|newvector|ulog\.imap|newloc)(\.map|)\.(baidu|n\.shifen)\.com数据包明文匹配禁止360有毒服务屏蔽360(.+\.|^)(360|so)\.(cn|com)数... 查看详情
linux下使用iptables禁止指定ip地址的网络连接(代码片段)
在Linux下，使用iptables来维护IP规则表。要封停或者是解封IP，其实就是在IP规则表添加规则。要禁止指定IP地址的网络连接，可以使用以下两种方法来快速实现。1.禁止特定IP的连接要禁止一个IP，使用下面这条命令&... 查看详情