一、iptables命令格式(较为复杂)
iptables [-t table] command [chain] [rules] [-j target]
(1)table ------- 指定表名(raw表、mangle表、nat表、filter表)
(2)command ------- 对链的操作命令(-A:追加规则(最下面进行追加规则)、-I:插入(一般在相应的哪条规则前后插入))
(3)chain ------- 链名(prerouting链、forward链、input链、output链、postrouting链)
(4)rules ------- 规则
(5)target ------- 动作如何进行
1、表选项(table)
表选项用于指定命令应用于哪个iptables内置表,iptables内置包括:filter表、nat表、mangle表和raw表
使用的参数为: -t + 表名,如果不使用-t参数,那么默认是使用filter表
2、命令选项(command)
命令
|
说明
|
-P或--policy+ <链名>
|
定义默认策略
|
-L或--list + <链名>
|
查看iptables规则列表
|
-A或--append+ <链名>
|
在规则列表的最后增加1条规则
|
-I或--insert+ <链名>
|
在指定的位置插入1条规则
|
-D或--delete+ <链名> + number
|
从规则列表中删除1条规则
|
-R或--replace + <链名> + number
|
替换规则列表中的某条规则
|
-F或--flush + <链名>
-X或--delete-chain + <用户自定义的链名>
|
删除表中所有规则(注意:无法清空默认规则)
删除用户自定义的链(前提:这些用户自定义的链上必须没有任何规则,所以删除用户自定义链时,必须先删除该用户定义的链上的所有规则),如果不跟用户自定义的链名,那么将删除所有用户自定义的链) 以下几个例子
(1)iptables -t filter -F,清除filter表中的所有规则(包括系统内置的链上的所有规则,以及用户自定义的链上的所有规则)
(2)iptables -t filter -F INPUT,清除filter表中的INPUT链上的所有规则
(3)iptables -t filter -X,删除filter表中所有用户自定义链(系统内置的链:INPUT、OUTPUT、FOWRARD..无法清除) (4)iptables -t filter -X mydefine,删除filter表中自定义的链mydefine
|
-Z或--zero+ <链名>
-N或 --new-chain + <用户自定义的链名>
|
将表中数据包计数器和流量计数器归零
新建一个用户自定义的链,且链名必须跟内置那些链名不同 例如:iptables -t filter -N "CentOS-TCP" ,在filter这个表中新增一个名为"CentOS-TCP"的链,该链用于处理TCP数据包的;以后我们把相应的规则写到CentOS-TCP链里 例如:iptables -t filter -N "CentOS-UDP" ,在filter这个表中新增一个名为"CentOS-UDP"的链,该链用于处理UDP数据包的;以后我们把相应的规则写到CentOS- UDP链里
最后,运用时,我们可以把它们运用到内置那些表的INPUT链或者其它内置的链里,如
iptables -t filter -A INPUT -p tcp -j CentOS-TCP
iptables -t filter -A INPUT -p udp -j CentOS-UDP
|
3、匹配选项(rules)
匹配
|
说明
|
-i或--in-interface + <网络接口名>
|
指定数据包从哪个网络接口进入,如ppp0、eth0和eth1等 注意:该参数只能用于INPUT, FORWARD and PREROUTING这三个链
|
-o或--out-interface + <网络接口名>
|
指定数据包从哪块网络接口输出,如ppp0、eth0和eth1等 注意:该参数只能用于OUTPUT, POSTROUTING这两个链
|
-p或---prot + < 协议类型>
|
指定数据包匹配的协议,如TCP、UDP和ICMP等
|
-s或--source + <源地址或子网> -m state --state + 状态
-m mac --mac-source + MAC地址
-m limit --limit -m owner
|
指定数据包匹配的源地址 基于状态的匹配(状态可以是:NEW,ESTABLISHED,INVALID,RELATED中的一个或者它们的组合) 基于MAC地址的匹配(注意:该参数只能用于PREROUTING, FORWARD or INPUT这三个链) 基于封包数量的匹配 基于uid、gid的匹配(注意:该参数只对OUTPUT链有效)
|
--sport + <源端口号>
|
指定数据包匹配的源端口号,可以使用 "起始端口号:结束端口号" 的格式指定一个范围的端口
|
-d或--destination + <目标地址或子网>
|
指定数据包匹配的目标地址
|
--dport + 目标端口号
|
指定数据包匹配的目标端口号,可以使用 "起始端口号:结束端口号" 的格式指定一个范围的端口
|
4、动作选项(-j target)
动作
|
说明
|
ACCEPT
|
接受数据包
|
DROP
|
丢弃数据包
|
REDIRECT
|
与DROP基本一样,区别在于它除了阻塞包之外, 还向发送者返回错误信息
|
SNAT
|
源地址转换,即改变数据包的源地址 例如:将局域网的IP(10.0.0.1/24) ==> 广域网的IP(222.101.98.54/24),且在NAT表的POSTROUTING链上进行该动作
|
DNAT
|
目标地址转换,即改变数据包的目的地址 例如:将的广域网IP(222.101.98.54/24) ==> 局域网的IP(10.0.0.1/24),且在NAT表的PREROUTING链上进行该动作
|
MASQUERADE + IP
|
伪装,即是常说的NAT技术,MASQUERADE只能用于ADSL等拨号上网的IP伪装,也就是主机的IP是由ISP分配动态的;如果主机的IP地址是静态固定的,就要使用SNAT
|
LOG
|
日志功能,将符合规则的数据包的相关信息记录在日志中,以便管理员的分析和排错
|
二、iptables的语法
1.定义默认策略
1)作用:当数据包不符合链中任一条规则时,iptables将根据该链预先定义的默认策略来处理数据包
2)默认策略的定义格式: iptables [-t 表名] <-P> <链名> <动作>
参数说明如下:
(1)[-t 表名]
指默认策略将应用于哪个表,可以使用filter、nat和mangle,如果没有指定使用哪个表,iptables就默认使用filter表
(2)<-P>
定义默认策略
(3)<链名>
指默认策略将应用于哪个链,可以使用INPUT、OUTPUT、FORWARD、PREROUTING、OUTPUT和POSTROUTING
(4)<动作>
处理数据包的动作,可以使用ACCEPT(接受数据包)和DROP(丢弃数据包)
2.查看iptables规则
查看iptables规则的命令格式为:iptables [-t 表名] <-L> [链名]
参数说明如下:
(1)[-t 表名]
指查看哪个表的规则列表,表名用可以使用filter、nat和mangle,如果没有指定使用哪个表,iptables就默认查看filter表的规则列表
(2)<-L>
查看指定表和指定链的规则列表
(3)[链名]
指查看指定表中哪个链的规则列表,可以使用INPUT、OUTPUT、FORWARD、PREROUTING、OUTPUT和POSTROUTING,如果不指明哪个链,则将查看某个表中所有链的规则列表
3.增加、插入、删除、替换iptables规则
相关规则定义的格式为:
iptables [-t表名] <-A | I | D | R> 链名 [规则编号] [-i | o 网卡名称] [-p 协议类型] [-s 源IP地址 | 源子网] [--sport 源端口号] [-d目标IP地址 | 目标子网] [--dport目标端口号] <-j动作>
例如:
iptables -t filter -I INPUT 3 -p tcp --dport 80 -j ACCEPT(#在INPUT链第3条规则之前插入)
iptables -t filter -I INPUT -p tcp --dport 80 -j ACCEPT (#在INPUT链规则的第1条规则之前插入)
iptables -t filter -R INPUT 3 -p tcp --dport 22 -j ACCEPT
参数说明如下:
(1)[-t 表名]
定义默认策略将应用于哪个表,可以使用filter、nat和mangle,如果没有指定使用哪个表,iptables就默认使用filter表
(2)-A
新增加一条规则,该规则将会增加到规则列表的最后一行,该参数不能使用规则编号
(3)-I
插入一条规则,原本该位置上的规则将会往后顺序移动,如果没有指定规则编号,则在第一条规则前插入
(4)-D
从规则列表中删除一条规则,可以输入完整规则,或直接指定规则编号加以删除
(5)-R
替换某条规则,规则被替换并不会改变顺序,必须要指定替换的规则编号
(6)<链名>
指定查看指定表中哪个链的规则列表,可以使用INPUT、OUTPUT、FORWARD、PREROUTING、OUTPUT和POSTROUTING
(7)[规则编号]
规则编号用于插入、删除和替换规则时用,编号是按照规则列表的顺序排列,规则列表中第一条规则的编号为1
(8)[-i | o 网卡名称]
i是指定数据包从哪块网卡进入,o是指定数据包从哪块网卡输出。网卡名称可以使用ppp0、eth0和eth1等
(9)[-p 协议类型]
可以指定规则应用的协议,包含TCP、UDP和ICMP等
(10)[-s 源IP地址 | 源子网]
源主机的IP地址或子网地址
(11)[--sport 源端口号]
数据包的IP的源端口号
(12)[-d目标IP地址 | 目标子网]
目标主机的IP地址或子网地址
(13)[--dport目标端口号]
数据包的IP的目标端口号
(14)<-j动作>
处理数据包的动作,各个动作的详细说明可以参考前面的说明
4、清除规则和计数器
在新建规则时,往往需要清除原有的、旧的规则,以免它们影响新设定的规则。如果规则比较多,一条条删除就会十分麻烦,这时可以使用iptables提供的清除规则参数达到快速删除所有的规则的目的。
定义参数的格式为:iptables [-t 表名] <-F | Z>
参数说明如下:
(1)[-t 表名]
指定默认策略将应用于哪个表,可以使用filter、nat和mangle,如果没有指定使用哪个表,iptables就默认使用filter表
(2)-F
删除指定表中所有规则
(3)-Z
将指定表中的数据包计数器和流量计数器归零
三、NAT
1、什么是NAT
NAT英文全称是Network Address Translation,称是网络地址转换,它是一个IETF标准,允许一个机构以一个地址出现在Internet上。NAT将每个局域网节点的地址转换 成一个IP地址,反之亦然。它也可以应用到防火墙技术里,把个别IP地址隐藏起来不被外界发现,使外界无法直接访问内部网络设备,同时,它还帮助网络可以 超越地址的限制,合理地安排网络中的公有Internet 地址和私有IP地址的使用
2、NAT的类型
1) 静态NAT(Static NAT,SNAT)(局域网的IP==>广域网的IP)
静态NAT设置起来最为简单和最容易实现的一种,内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址
2)动态地址NAT(Pooled NAT,DNAT)(广域网的IP==>局域网的IP)
(1)动态地址NAT是在外部网络中定义了一系列的合法地址,采用动态分配的方法映射到内部网络
(2)动态地址NAT只是转换IP地址,它为每一个内部的IP地址分配一个临时的外部IP地址,主要应用于拨号,对于频繁的远程联接也可以采用动态NAT
3)网络地址端口转换NAPT(Port-Level NAT)
NAPT是把内部地址映射到外部网络的一个IP地址的不同端口上
最熟悉的一种转换方式。NAPT普遍应用于接入设备中,它可以将中小型的网络隐藏在一个合法的IP地址后面。NAPT与动态地址NAT不同,它将内部连接映射到外部网络中的一个单独的IP地址上,同时在该地址上加上一个由NAT设备选定的TCP端口号
三、规则走向
规则的应用顺序:从上到下的,最后才是默认规则
四、INPUT与OUTPUT区别
分享到:
相关推荐
CentOS6 64位(ipv4 only,如需ipv6请私信我)iptables防火墙安装rpm文件,安装方法: rpm -ivh iptables-1.4.7-19.el6.x86_64.rpm or yum localinstall -y iptables-1.4.7-19.el6.x86_64.rpm 启动: service ...
iptables-services-1.4.21-28.el7.x86_64.rpm 下载安装
centos7离线安装iptables,iptables-1.4.21-34.el7.x86_64.rpm和iptables-services-1.4.21-34.el7.x86_64.rpm
iptables-services-1.4.21-34.el7.x86_64.rpm
iptables-1.4.21-35.el7.i686.rpm和iptables-services-1.4.21-35.e
3. **检查当前iptables状态**: - 执行命令:`rpm -qa | grep iptables` - 如果已经安装过iptables,则会列出已安装的相关软件包。通常应有两个软件包:一个是iptables服务(`iptables-1.4.21-35.el7.x86_64`),另...
本文将详细介绍iptables的基本语法及其在不同场景下的应用。 首先,iptables有多个表,包括filter、nat、mangle和raw,每个表都有自己的链,如INPUT、OUTPUT、FORWARD等。在filter表中,主要处理的是包过滤规则,这...
centos7 iptables-services-1.4.21-17.el7.x86_64.rpm 安装包 下载
适用于Linux系统的防火墙
iptables 是 Linux 上常用的防火墙软件,本教程将介绍 iptables 的安装、清除 iptables 规章、iptables 只开放指定端口、iptables 屏蔽指定 IP、IP 段及解封、删除已添加的 iptables 规章等 iptables 的基本应用。...
操作系统安全:iptables语法.pptx
centOS7适用,iptables-1.4.21-35.el7.x86_64.rpm
Linux 上 iptables 防火墙的应用教程 Linux 上的 iptables 防火墙是一种常用的防火墙软件,能够控制访问 Linux 系统的流量。iptables 防火墙的基本应用包括安装、清除规则、开放指定端口、屏蔽指定 IP、删除已添加...
WARNING: bridge-nf-call-iptables is disabled WARNING: bridge-nf-call-ip6tables is disabled 2)解决方法: 修改系统文件是的机器bridge模式开启 设置机器开机启动的时候执行下面两条命令 编辑vim /etc/rc.d/rc...
3. 删除某 iptables 规则 如果需要删除某个规则,可以使用以下命令: `iptables -D INPUT 12` 这条命令将删除第 12 行的规则。 4. 清除现有 iptables 规则 如果需要清除所有规则,可以使用以下命令: `...
docker-iptables-save.sh Bash脚本,利用iptables-persistent(iptables-save和iptables-restore)制作NAT表和FILTER表的备份,并将它们放置在/ etc / iptables中,带有基本时间戳记 docker-iptables-restore.sh ...
离线安装包,亲测可用
这是一个PPT,主要讲解iptables的语法,怎样用iptables去配置防火墙
第十八章:iptables防火墙应用一、iptables防火墙基础;二、iptables规则编写;三、实战演练;一、iptables防火墙基础;1.概述:保护内
centOS7适用,iptables-services-1.4.21-35.el7.x86_64.rpm