iptables 常见.docVIP

iptables 常见用法指令 iptables [-t table] command [match] [-j target/jump]-t 参数用来指定规则表，内建的规则表有三个，分别是：nat、mangle 和 filter，当未指定规则表时，则一律视为是 filter。各个规则表的功能如下： nat 此规则表拥有 Prerouting 和 postrouting 两个规则链，主要功能为进行一对一、一对多、多对多等网址转译工作（SNAT、DNAT），由于转译工作的特性，需进行目的地网址转译的封包，就不需要进行来源网址转译，反之亦然，因此为了提升改写封包的效率，在防火墙运作时，每个封包只会经过这个规则表一次。如果我们把封包过滤的规则定义在这个数据表里，将会造成无法对同一封包进行多次比对，因此这个规则表除了作网址转译外，请不要做其它用途。 mangle 此规则表拥有 Prerouting、FORWARD 和 postrouting 三个规则链。除了进行网址转译工作会改写封包外，在某些特殊应用可能也必须去改写封包（TTL、TOS）或者是设定 MARK（将封包作记号，以便进行后续的过滤），这时就必须将这些工作定义在 mangle 规则表中，由于使用率不高，我们不打算在这里讨论 mangle 的用法。 filter 这个规则表是预设规则表，拥有 INPUT、FORWARD 和 OUTPUT 三个规则链，这个规则表顾名思义是用来进行封包过滤的处理动作（例如：DROP、 LOG、 ACCEPT 或 REJECT），我们会将基本规则都建立在此规则表中。常用命令列表：命令 -A, --append范例 iptables -A INPUT ...说明 新增规则到某个规则链中，该规则将会成为规则链中的最后一条规则。命令 -D, --delete范例 iptables -D INPUT --dport 80 -j DROPiptables -D INPUT 1 说明 从某个规则链中删除一条规则，可以输入完整规则，或直接指定规则编号加以删除。命令 -R, --replace范例 iptables -R INPUT 1 -s -j DROP说明 取代现行规则，规则被取代后并不会改变顺序。命令 -I, --insert范例 iptables -I INPUT 1 --dport 80 -j ACCEPT说明 插入一条规则，原本该位置上的规则将会往后移动一个顺位。命令 -L, --list范例 iptables -L INPUT说明 列出某规则链中的所有规则。命令 -F, --flush范例 iptables -F INPUT说明 删除某规则链中的所有规则。 命令 -Z, --zero范例 iptables -Z INPUT说明 将封包计数器归零。封包计数器是用来计算同一封包出现次数，是过滤阻断式攻击不可或缺的工具。命令 -N, --new-chain范例 iptables -N allowed说明 定义新的规则链。命令 -X, --delete-chain范例 iptables -X allowed说明 删除某个规则链。命令 -P, --policy范例 iptables -P INPUT DROP说明 定义过滤政策。 也就是未符合过滤条件之封包，预设的处理方式。命令 -E, --rename-chain范例 iptables -E allowed disallowed说明 修改某自订规则链的名称。常用封包比对参数：参数 -p, --protocol范例 iptables -A INPUT -p tcp说明 比对通讯协议类型是否相符，可以使用 ! 运算子进行反向比对，例如：-p ! tcp ，意思是指除 tcp 以外的其它类型，包含 udp、icmp ...等。如果要比对所有类型，则可以使用 all 关键词，例如：-p all。参数 -s, --src, --source范例 iptables -A INPUT -s 说明 用来比对封包的来源 IP，可以比对单机或网络，比对网络时请用数字来表示屏蔽，例如：-s /24，比对 IP 时也可以使用 ! 运算子进行反向比对，例如：-s ! /24。参数 -d, --dst, --destination范例 iptables -A INPUT -d 说明 用来比对封包的目的地 IP，设定方式同上。参数 -i, --in-interface范例 iptables -A INPUT -i eth0说明 用来比对封包是从哪个网卡进入，可以使用通配字符 + 来做大范围比对，例如：-i e