Linux 之 iptables

功能组成

常用的3种表：

Fliter： 管理数据的进出，用于信息包过滤，内置了INPUT,OUTPUT和FORWARD链。

NAT ： 地址转换。 包含：PreOuting, PostRouting, Output 链

Mangle：改变不同包及包头的内容

---

iptables设置语法如下：

iptables [-t tables] [-AI 链] [-io 网络接口] [-p 协议] [-s 来源IP/网络] [-d 目标IP/网络] -j [ACCEPT|DROP|REJECT|REDIRECT]

-A 新增加一条规则，放到已有规则的最后面

-I 插入一条规则，如果没有制定插入规则的顺序，则新插入的变成第一条规则

-i 指定数据包进入的那个网络接口。linux下常见的有eth0、eth1、lo等等。此参数一般与INPUT链配合使用

-o 指定数据包传出的那个网络接口。经常与OUTPUT链配合使用

-p 指定此规则适用的协议，常用的协议有tcp、udp、icmp以及all

-s 指定来源IP或者网络，也就是限定数据包来源的IP或者网络，可以单独指定某个IP，也可以指定某段网络

-d 指定目标IP或者网络，跟参数“-s”类似

-j 此参数后面指定要执行的动作，主要的动作有接受(ACCEPT)、抛弃(DROP)及记录(LOG)

ACCEPT 接受该数据包

DROP 直接丢弃该数据包，不给客户端任何回应。

-m 指定iptables使用的扩展模块，常用的有tcp模块等

--sport 端口范围 限制来源的端口号码，端口号码可以是连续的，例如 1024:65535

--dport 端口范围 限制目标的端口号码

---

列出Filter 表的规则 (默认是filter规则)，下面两个命令等效

iptables -L -n

iptables -t filter -L -n

列出NAT表的规则

iptables -t nat -L -n

清楚防火墙的所有规则，不能清除预设的默认规则

iptables -F

iptables -X

iptables -Z

iptables 的执行流程：先读自定义的规则，最后读预设规则，如下图流程

相关命令解释

下面是预设规则

iptables -P INPUT DROP

iptables -P OUTPUT ACCEPT

iptables -P FORWARD ACCEPT

##########################################################

例子：

只允许本机SSH (端口：22)到服务器

iptables -A INPUT -s 192.168.199.118 -p tcp -m tcp --dport 22 -j ACCEPT

iptables -P INPUT DROP

iptables -L -n

上述效果也可以通过修改两个文件实现

vim /etc/hosts.allow

vim /etc/hosts.deny

---

开放 web 80 端口给所有客户端

iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

允许IP为192.168.199.180的机器有完全访问权限

iptables -A INPUT -s 192.168.199.180 -j ACCEPT

允许某个接口，例如这里的回环地址lo。

iptables -A INPUT -i lo -j ACCEPT

允许机器从网卡enp0s3被PING

iptables -A INPUT -i enp0s3 -p icmp -j ACCEPT

说明：支持网段。例如 -s 192.168.1.0/24

---

举例：

1 允许局域网内192.168.60.0/24的所有主机访问我们服务器，除了192.168.60.3这台主机：

[root@localhost ~]#iptables -A INPUT -i eth1 -s 192.168.60.3 -j DROP

[root@localhost ~]#iptables -A INPUT -i eth1 -s 192.168.60.0/24 -j ACCEPT

2 将来自网络接口lo的数据包，全部接受：

[root@localhost ~]#iptables -A INPUT -i lo -j ACCEPT

3 允许所有客户端访问服务器的443端口

[root@localhost ~]#iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT

4 允许来自222.91.99.0/28的1024:65535端口范围的主机可以通过22端口连接linux服务器

[root@localhost ~]#iptables -A INPUT -i eth0 -p tcp -s 222.91.99.0/28 --sport 1024:65534 --dport 22 -j ACCEPT

---

案例：服务器A 现在不能访问外网，服务器B可以访问外网，现在想让服务器A访问外网

在服务器A上加一条路由指向服务器B

route add default gw B_IP

route -n # 查看路由信息

在服务器B上

iptables -t nat -A POSTROUTING -s A_IP -j SNAT --to-source 外网_IP

最后在服务器A上进行外网访问验证

---

针对数据状态模块的过滤规则 （网站的访问）

只要是已建立的连接或者相关数据包就予以通过，不能识别或者没有任何状态的数据包全部丢弃，设置如下规则：

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -m state --state INVALID -j DROP