iptables簡單教程

iptables簡單教程   【概述】 netfilter/iptables是linux系統自帶的免費防火牆，能夠實現防火牆、NAT（網絡地址翻譯）和數據包分割功能 netfilter工作在內核層，iptables工作在用戶層，可以方便用戶定義規則集的表結構。   【iptables選項介紹】    netfilter的用戶控制命令是iptables，通過iptables建立適當的規則添加到內核中實現信息數據包的過濾。    iptables的一般語法如下：    iptalbes [-t table] command [match] [target]    一條iptables規則包含4個基本元素，   1）表（table）     [-t table] 選項允許使用標准表之外的任何表。有三種可以使用的表選項：filter、nat和mangle。     2）命令（command）     command部分是iptables命令的最重要部分，它告訴iptables命令要做什麼，例如，插入規則、將規則添加到     鏈的末尾或刪除規則。主要有如表1所示的命令。               表1 iptables常用命令     -A或--append        該命令將一條規則附加到鏈的末尾     -D或--delete        通過用-D指定要匹配的規則或者指定規則在鏈中的位置編號，該命令從鏈中刪除該規則     -P或--policy        該命令設置鏈的默認目標，即策略。所有與鏈中任何規則都不匹配的信息包都將被強制使                         用此鏈的策略     -N或--new-chain     用命令中所指定的名稱創建一個新鏈     -F或--flush         如果指定鏈名，該命令刪除鏈中的所有規則，如果未指定鏈名，該命令刪除所有鏈中的所                          有規則。此參數用於快速清除     -L或--list          列出指定鏈中的所有規則     -R或--replace       替換指定鏈中一條匹配的規則     -X或--delete-chain  刪除指定用戶的的定義鏈，若沒有指定鏈，則刪除所有的用戶鏈     -C或--check         檢查數據包是否與指定鏈的規則相匹配     -Z或--zero          將指定鏈中所有規則的byte計數器清零       3）匹配（match）     iptables命令的可選match部分指定信息包與規則匹配所應具有的特征（如源和目的地地址、協議等）。匹配分為     兩大類：通用匹配和特定於協議的匹配。這裡，將研究可用於采用任何協議的信息包的通用匹配。下面是一些重     要的且常用的通用匹配及其說明，如表2所示。       表2 通用匹配說明         通用匹配                說    明     -p或--protocol       該通用協議匹配用於檢查某些特定協議。協議示例有TCP、UDP、ICMP、用逗號分隔的任何這三                                種協議的組合列表以及ALL（用於所有協議）ALL是默認匹配。可以使用!符號表示不與該項匹配     -s 或 --source       該源匹配用於根據信息包的源IP地址來與它們匹配。該匹配還允許對某一范圍內的IP地址進行匹                                配，可以使用!符號，表示不與該項匹配。默認源匹配與所有IP地址匹配     -d 或 --destination  該目的地匹配用於根據信息包的目的地IP地址來與它們匹配。該匹配還允許對某一范圍內IP                                  地址進行匹配，可以使用!符號表示不與該項匹配     --sport                  指定匹配規則的源端口或端口范圍     --dport                  指定匹配規則的目的端口或端口范圍     -i                         匹配單獨的網絡接口或某種類型的接口設置過濾規則     4）目標（target）     前面已經講過，目標是由規則指定的操作，對與那些規則匹配的信息包執行這些操作。除了允許用戶定義的目標之     外，還有許多可用的目標選項。下面是常用的一些目標及其示例和說明，如表3所示。       表3 目標項說明       目 標 項       說    明     ACCEPT       當信息包與具有ACCEPT目標的規則完全匹配時，會被接受（允許它前往目的地）     DROP         當信息包與具有DROP目標的規則完全匹配時，會阻塞該信息包，並且不對它做進一步處理。該目標被                  指定為-j DROP     REJECT       該目標的工作方式與DROP目標相同，但它比DROP好。和DROP不同，REJECT不會在服務器和客戶機上                  留下死套接字。另外，REJECT將錯誤消息發回給信息包的發送方。該目標被指定為-j REJECT     RETURN       在規則中設置的RETURN目標讓與該規則匹配的信息包停止遍歷包含該規則的鏈。如果鏈是如INPUT之                  類的主鏈，則使用該鏈的默認策略處理信息包。它被指定為-jump RETURN     LOG          表示將包的有關信息記錄入日志     TOS          表示改寫數據包的TOS值   【iptables使用實例】   實際使用規則如下：   只允許某個ip訪問某個端口   #iptables -A INPUT -p tcp -s 61.145.251.36 --dport 16322 -j ACCEPT   -A      在INPUT鏈中增加，   -p      表示協議   -s      表示源地址   --dport 表示目的端口   -j      目標操作   其他的ip都拒絕   #iptables -A INPUT -p tcp  --dport 16322 -j REJECT   刪除一條規則（刪除INPUT鏈中第一條規則，具體可以man iptables）   #iptalbes -D INPUT 1   插入一條規則（插入到INPUT鏈中第二條規則）   #iptables -I INPUT 2 -p tcp -s 61.145.251.63 --dport 16322 -j ACCEPT   限制某個網口的訪問（eth0 的端口訪問插入一條規則）   #iptables -I INPUT 3 -p tcp -s 61.145.251.66 -i eth0 --dport 16322 -j ACCEPT   #iptables -I INPUT 4 -p udp -s 61.145.251.66 -i eth0 --dport 16322 -j ACCEPT   限制某個網段的訪問   #iptables -I INPUT 5 -p tcp -s 192.168.0.0/16 -i eth1  --dport 3306 -j REJECT   對於iptables的一些其他選項可以查看使用手冊：man iptables     和iptables並行的還有iptables-save和iptables-restore命令，分別用來保存和恢復規則   保存規則到iptables-save.txt   #iptables-save > iptables-save.txt   從保存文件中恢復   #iptables-restore < iptables-save.txt   對於已經含有規則的表格，可以先iptables-save，然後做修改，最後再iptables-restore。