iptables管理选项使用

时间:2022-04-11 17:34:59

1、配置文件:

[root@xuegod63 ~]# ls/etc/sysconfig/iptables

2、启动:

 [root@xuegod63~]# /etc/init.d/iptables start

iptables:应用防火墙规则:   

[root@xuegod63 ~]# chkconfig iptables on   开机自动启动。

[root@xuegod63 ~]# iptables �CnL   查看防火墙规则。

3、使用规则:

iptables  -t  要操作的表

操作命令:

-A   <链名>   追加一条规则(放到最后)

例:[root@xuegod63 ~]# iptables-t filter -A INPUT -j DROP  禁止所有进入

-D   <链名>   <规则号码|具体内容规则删除一条规则。

例:

[root@xuegod63~]# iptables -nL

Chain INPUT (policy ACCEPT)

target    prot opt source              destination        

ACCEPT     all --  192.168.1.72         0.0.0.0/0          

DROP       all --  0.0.0.0/0            0.0.0.0/0          

 

Chain FORWARD (policy ACCEPT)

target    prot opt source              destination        

 

Chain OUTPUT (policy ACCEPT)

target    prot opt source              destination   

[root@xuegod63~]# iptables -D INPUT 2 按号码删除

[root@xuegod63~]# iptables -nL

Chain INPUT (policy ACCEPT)

target    prot opt source              destination        

ACCEPT     all --  192.168.1.72         0.0.0.0/0          

 

Chain FORWARD (policy ACCEPT)

target    prot opt source              destination        

 

Chain OUTPUT (policy ACCEPT)

target    prot opt source               destination  

 

-P<链名> <动作>policy 设置某个链的默认规则

[root@xuegod63 ~]#iptables -P INPUT DROP

-F 删除规则

例:

[root@xuegod63 ~]#iptables -F INPUT

[root@xuegod63 ~]#iptables -t nat -F

[root@xuegod63 ~]#iptables -t nat -F PREROUTING

4、匹配条件:

流入、流出接口-i-o

来源、目的地址(-s-d

协议类型     -p

来源、目的端口(--sport--dport

-i eth0  

    匹配是否从网络接口 eth0进来

-s 192.168.0.1     匹配来自 192.168.0.1 的数据包

-s192.168.1.0/24  匹配来自 192.168.1.0/24网络的数据包

-d 202.106.0.20    匹配去往 202.106.0.20 的数据包

-d202.106.0.0/16  匹配去往 202.106.0.0/16网络的数据包

 

-p<匹配协议类型>

    可以是 TCPUDPICMP等,也可为空

例如:

    -p tcp

    -p udp

例如:禁用DNS

[root@xuegod63 ~]#iptables -A INPUT -p udp --dport 53 -j DROP

限制该网段访问服务器:

[root@xuegod63 ~]#iptables -A INPUT -s 10.1.0.0/24 -d 172.17.0.0/16 -j DROP

限制该地址访问百度80端口

[root@xuegod63 ~]#iptables -A INPUT -s 192.168.0.1 -d www.baidu.com -p tcp --dport 80 -j ACCEPT

 

动作(处理方式)

 

ACCEPT  接收

DROP     丢弃    不给对端任何回应

REJECT    拒绝    拒绝后,给对端一个回应

SNAT     源地址转换

DNAT    目的地址转换

MASQUERADE  (假面舞会) 伪装一个公网IP地址

例:

将内网192.168.0.0/24 的原地址修改为 公网IP地址:1.1.1.1

[root@xuegod63~]# iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to 1.1.1.1

从eth0接口进入访问80端口的数据包,转到192.168.0.1

[root@xuegod63 ~]#iptables -t nat -A PREROUTING -i eth0 -p tcp --dpor 80 -j DNAT --to 192.168.0.1

按包状态匹配   (state

-mstate --state 状态

状态:NEW、RELATED、ESTABLISHED、INVALID

      NEW:有别于 tcp syn

      ESTABLISHED:连接态

      RELATED:衍生态,与 conntrack关联(FTP

      INVALID:不能被识别属于哪个连接或没有任何状态

实战1:使用iptables防火墙保护公司web服务器。

具体配置如下:

web服务器:xuegod63

客户端:xuegod64

配置xuegod63防火墙

[root@xuegod63 ~]#iptables -A INPUT -i lo -j ACCEPT

[root@xuegod63 ~]#iptables -A INPUT -p tcp -m multiport --dports 22,80 -j ACCEPT

或者

[root@xuegod63 ~]#iptables -A INPUT -p tcp --dport 22 -j ACCEPT

[root@xuegod63 ~]#iptables -A INPUT -p tcp --dport 80 -j ACCEPT

[root@xuegod63 ~]#iptables -P INPUT DROP

[root@xuegod63 ~]#service httpd start

[root@xuegod63 ~]#yum -y install vsftpd

[root@xuegod63 ~]#service vsftpd start

测试机ftp://192.168.1.63/无法访问

      http://192.168.1.63/可以访问


本文出自 “技术拯救者” 博客,请务必保留此出处http://rescue.blog.51cto.com/3190306/1962435