Iptables(2) - iptables命令的基本用法

阿新 • • 發佈：2018-07-16

端口號 lis command rep source pac 管理其中 -m

一、iptables命令

iptables是一個規則管理工具. 具有添加、修改、刪除和顯示等功能.

規則和鏈都有計數器:

pkts: 由規則或鏈所匹配到的報文的個數
bytes: 由規則或鏈匹配到的所有報文大小之和

1.1 用法

用法:

$ iptables [-t table] SUBCOMMAND CHAIN CERTERIA -j TARGET

-t table:
- filter
- nat
- mangle
- raw
SUBCOMMAND:
- 鏈管理:
  - -F: flush, 清空規則鏈, 省略鏈, 表示清空指定表上的所有鏈.
  - -N: new, 創建新的自定義規則鏈.
  - -X: drop, 刪除用戶自定義的規則鏈(空鏈).
  - -Z: zero, 清零規則計數器.
  - -P: Policy, 為指定鏈設置默認策略, 對filter表中的鏈而言, 默認策略通常有ACCEPT, DROP, REJECT.
  - -E: rEname, 重命名自定義鏈, 引用計數不為0的自定義鏈, 無法改名, 也無法刪除.
- 規則管理:
  - -A: append, 將新規則追加於指定鏈的尾部.
  - -I: insert, 將新規則插入指定鏈的指定位置.
  - -D: delete, 刪除指定鏈上的指定規則; 有兩種指定方式, 指定匹配條件和指定規則編號.
  - -R: replace, 替換指定鏈上的指定規則.
  - -C: check, 檢查指定鏈上的指定規則.
- 查看:
  - -L: list, 列出指定鏈上的所有規則.
  - -n: numberic, 以數字格式顯示地址和端口號.
  - -v: verbose, 顯示詳細信息; -vv, -vvv.
  - --line-numbers: 顯示規則編號.
  - -x: exactly, 顯示計數器計數結果的精確值.
目標:
- -j TARGET: jump至指定的TARGET.
  - ACCEPT: 接受
  - DROP: 丟棄
  - REJECT: 拒絕
  - RETURN: 返回調用鏈
  - REDIRECT: 端口重定向
  - LOG: 記錄日誌
  - MARK: 做防火墻標記
  - DNAT: 目標地址轉換
  - SNAT: 源地址轉換
  - MASQUERADE: 地址偽裝
  - ...: 更多請查看man文檔.
匹配條件:
- 基本匹配:
  - [!] -s, --src, --source IP|NetAddr: 檢查報文中源IP地址是否符合此處指定的範圍, 前面加“!”為非.
  - [!] -d, --dst, --destination IP|NetAddr: 檢查報文中源IP地址是否符合此處指定的地址範圍.
  - [!] -p, --protocol {tcp|udp|icmp}: 檢查報文中的協議, 即ip首部中的protocol所標識的協議.
  - [!] -i, --in-interface IFACE: 數據報文的流入接口, 僅能用於PREROUTING, INPUT以及FORWARD鏈上.
  - [!] -o, --out-interface IFACE: 數據報文的流出接口, 僅能用於FORWARD, OUTPUT以及FORWARD鏈上.
- 擴展匹配: -m macth_name --spec_options; 例如-m tcp --dport 22
  - 隱式擴展: 對-p protocol指明的協議進行擴展, 可省略-m選項
  - -p tcp:
    - --dport PORT[-PORT]: 目標端口, 可以是單個端口或多個連續的端口.
    - --sport PORT[-PORT]: 源端口.
    - --tcp-flags LIST1 LIST2: 檢查LIST1所指明的所有標誌位, 且這其中, LIST2所表示出的所有標記為必須為1, 而余下的必須為0, 沒有在LIST1中指明的不做檢查. 標誌位, SYN, ACK, FIN, RST, PSH, URG; 示例, --tcp-flags SYN,ACK,FIN,RST SYN, 匹配tcp三次握手的第一次.
    - --syn: 檢查是否為新建tcp連接請求的第一次請求.
  - -p udp:
    - --dport
    - --sport
  - -p icmp:
    - --icmp-type: 可用數字表示其類型, 0(echo-reply)和8(echo-request)
  - 顯示擴展: 必須使用-m選項指定使用的擴展, 請查看iptables顯示擴展

二、示例

2.1 在filter表中創建一個新的鏈, 名字叫做IN_putlic

$ iptables -t filter -N IN_public
$ iptables -t filter -L -n
...
Chain IN_public (0 references)
target     prot opt source               destination

2.2 修改IN_putlic鏈為OUT_putlic

$ iptables -t filter -E IN_putlic OUT_pulic 
$ iptables -t filter -L -n
...
Chain OUT_pulic (0 references)
target     prot opt source               destination

2.3 修改filter表上的FORWARD鏈的規則為DROP

$ iptables -t filter -P FORWARD DROP
$ iptables -t filter -L -n
...
Chain FORWARD (policy DROP)
target     prot opt source               destination         
...

2.4 打開firewalld服務, 刪除FORWARD鏈上的第九條規則

$ iptables -t filter -L -n --line-numbers
Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
2    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
3    FORWARD_direct  all  --  0.0.0.0/0            0.0.0.0/0           
4    FORWARD_IN_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
5    FORWARD_IN_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
6    FORWARD_OUT_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
7    FORWARD_OUT_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
8    DROP       all  --  0.0.0.0/0            0.0.0.0/0            ctstate INVALID
9    REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

$ iptables -t filter -D FORWARD 9 
$ iptables -t filter -L -n --line-numbers
...
Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
2    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
3    FORWARD_direct  all  --  0.0.0.0/0            0.0.0.0/0           
4    FORWARD_IN_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
5    FORWARD_IN_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
6    FORWARD_OUT_ZONES_SOURCE  all  --  0.0.0.0/0            0.0.0.0/0           
7    FORWARD_OUT_ZONES  all  --  0.0.0.0/0            0.0.0.0/0           
8    DROP       all  --  0.0.0.0/0            0.0.0.0/0            ctstate INVALID

2.5 對訪問本機TCP協議的報文通通放行

$ iptables -t filter -A INPUT -s 0.0.0.0/0 -d 192.168.123.101 -p tcp -j ACCEPT
$ iptables -t filter -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            192.168.123.101

2.6 允許本機的所有TCP報文通通發出去

iptables -t filter -A OUTPUT -s 192.168.123.101 -d 0.0.0.0/0 -p tcp -j ACCEPT
$ iptables -t filter -L -n
...
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.123.101      0.0.0.0/0

2.7 將filter表上的所有鏈改為DROP

$ iptables -t filter -P INPUT DROP
$ iptables -t filter -P FORWARD DROP
$ iptables -t filter -P OUTPUT DROP

2.8 允許其他主機ping 192.168.123.101這臺主機

$ iptables -t filter -A INPUT -d 192.168.123.101 -p icmp -j ACCEPT
$ iptables -t filter -A OUTPUT -s 192.168.123.101 -d 0.0.0.0/0 -p icmp -j ACCEPT
$ iptables -L -n -v
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  779 83096 ACCEPT     tcp  --  *      *       0.0.0.0/0            192.168.123.101     
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            192.168.123.101     

...       

Chain OUTPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  458 64864 ACCEPT     tcp  --  *      *       192.168.123.101      0.0.0.0/0           
    0     0 ACCEPT     icmp --  *      *       192.168.123.101      0.0.0.0/0

2.9 刪除filter表上的INPUT和OUTPUT鏈上的第二條規則

$ iptables -t filter -L -n --line-numbers
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            192.168.123.101     
2    ACCEPT     icmp --  0.0.0.0/0            192.168.123.101     

...       

Chain OUTPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  192.168.123.101      0.0.0.0/0           
2    ACCEPT     icmp --  192.168.123.101      0.0.0.0/0  

$ iptables -t filter -D INPUT 2
$ iptables -t filter -D OUTPUT 2
$ iptables -t filter -L -n
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            192.168.123.101     

...      

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  192.168.123.101      0.0.0.0/0

2.10 允許報文從ens33接口中流入和流出

$ iptables -t filter -A INPUT -s 0.0.0.0/0 -d 192.168.123.101 -i ens33 -j ACCEPT
$ iptables -t filter -A OUTPUT -s 192.168.123.101 -d 0.0.0.0/0 -o ens33 -j ACCEPT
$ iptables -L -n -v
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 1256  133K ACCEPT     tcp  --  *      *       0.0.0.0/0            192.168.123.101     
    0     0 ACCEPT     all  --  ens33  *       0.0.0.0/0            192.168.123.101     

...         

Chain OUTPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  791  113K ACCEPT     tcp  --  *      *       192.168.123.101      0.0.0.0/0           
    0     0 ACCEPT     all  --  *      ens33   192.168.123.101      0.0.0.0/0

2.11 允許其他主機通過22號端口訪問192.168.123.101這臺主機

$ iptables -t filter -A INPUT -s 0.0.0.0/0 -d 192.168.123.101 -p tcp --dport 22 -j ACCEPT
$ iptables -t filter -A OUTPUT -s 192.168.123.100 -d 0.0.0.0/0 -p tcp --sport 22 -j ACCEPT
$ iptables -t filter -L -n -v
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
...    
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            192.168.123.101      tcp dpt:22

...       

Chain OUTPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
...          
    0     0 ACCEPT     tcp  --  *      *       192.168.123.100      0.0.0.0/0            tcp spt:22

2.12 刪除filter表上INPUT和鏈上的第二條規則

$ iptables -t filter -D INPUT 2
$ iptables -t filter -D OUTPUT 2

2.13 允許其他主機通過80端口訪問192.168.123.101這臺主機的httpd服務

$ iptables -t filter -A INPUT -s 0.0.0.0/0 -d 192.168.123.101 -p tcp --dport 80 -j ACCEPT
$ iptables -t filter -A OUTPUT -s 192.168.123.101 -d 0.0.0.0/0 -p tcp --sport 80 -j ACCEPT
$ iptables -L -n -v
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
...
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            192.168.123.101      tcp dpt:80

...       

Chain OUTPUT (policy DROP 2 packets, 152 bytes)
 pkts bytes target     prot opt in     out     source               destination         
...
    0     0 ACCEPT     tcp  --  *      *       192.168.123.101      0.0.0.0/0            tcp spt:80

2.13 允許192.168.123.101這臺主機ping其他主機, 不允許其他主機ping 192.168.123.101.

$ iptables -t filter -A OUTPUT -s 192.168.123.101 -d 0.0.0.0/0 -p icmp --icmp-type 9 -j ACCEPT
$ iptables -t filter -A INPUT -s 0.0.0.0/0 -d 192.168.123.101 -p icmp --icmp-type 0 -j ACCEPT
$ iptables -t filter -L -n -v
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
...
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            192.168.123.101      icmptype 0

...        

Chain OUTPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
...
    0     0 ACCEPT     icmp --  *      *       192.168.123.101      0.0.0.0/0            icmptype 9

Iptables(2) - iptables命令的基本用法

端口號 lis command rep source pac 管理其中 -m 一、iptables命令 iptables是一個規則管理工具. 具有添加、修改、刪除和顯示等功能. 規則和鏈都有計數器: pkts: 由規則或鏈所匹配到的報文的個數 bytes: 由規則或鏈匹

iptables的原理和基本用法

iptables 原理基本用法 iptables-----可以將規則組成一個列表，實現絕對詳細的訪問控制功能。一、iptables基礎Iptables中的規則表：規則表的先後順序:raw→mangle→nat→filte規則鏈的先後順序:入站順序:PREROUTING→INPUT出站順序:OUT

setfacl命令基本用法

txt apply user ech -bash text his 生效 trie setfacl命令可以用來細分linux下的文件權限。 chmod命令可以把文件權限分為u,g,o三個組，而setfacl可以對每一個文件或目錄設置更精確的文件權限。換句話說，setfac

find命令基本用法及練習

Linux學習 find是一款實時查找工具，通過遍歷指定路徑完成文件查找工作特點：查找速度慢精確查找實時查找可能只是搜索用戶具備讀取和執行權限的目錄語法 find [option] [查找

python的安裝包pip命令基本用法

我們開發python程式時，經常要用到第三方的包，可用如下方法安裝包, 以安裝matplotlib包為例說明一、預設版本直接安裝執行命令: pip install matplotlib 二、指定版本安裝包在用python2環境使用pip install 命令安裝工具包時，可能Pip找的

sed命令基本用法

sed是一個非互動式文字編輯器，它可對文字檔案和標準輸入進行編輯sed 適用於以下三種場合：編輯相對互動式文字編輯器而言太大的檔案編輯命令太複雜，在互動式文字編輯器中難以輸入的情況對文字掃描一遍，但是需要執行多個編輯函式的情況sed只對緩衝區中原始檔案的副本進行編輯，並不編輯原始的檔案，因此如果需要儲存改動的

全面解析rhel6-防火墻iptables -- 基本用法

tro 數字 drop 匹配同時分類 routing rop cmp 規則鏈解析鏈的用途：存放一條條防火墻規則鏈的分類依據：處理數據包的不同時機默認包括5種規則鏈 INPUT:處理入站數據包OUTPUT：處理出戰數據包FORWARD：處理轉發的數據包POSTROUTI

iptables基本用法和linux網絡相關

ttl 來源 sts network star odi 設備進行設置 ifconfig 命令 ifconfig在centos6中是默認安裝的，centos7版本默認是沒有這個命令的，需要使用yum來進行安裝： yum install net-tools使用ifdown和

Linux環境下iptables防火牆基本用法演示

一、簡單新增兩臺裝置，防火牆關閉，防火牆規則很乾淨，網路通暢。當啟用防火牆後，iptables -vnL顯示出所有規則，但我們不使用預設規則，清空規則，自己定義 1、iptable -t filter -A INPUT -s 192.168.239.70 -j DROP（末尾新增），設定

實現vsftp虛擬用戶和iptables基本用法

get 目的源地址 val host 基本 ssa c-s 查看 1.搭建vsftpd服務器 1.安裝vsftpd服務 [root@centos7 ~]#yum install -y vsftpd 2.啟動服務 [root@centos7 ~]#systemctl st

Linux-命令-基本(2)

rsh 鏈接 str 文件快捷 -a 保持屬性 linux 命令: cp 參數: -r (recursive) 遞歸拷貝，沒有 -r 參數時不能拷貝目錄 -p(preserve=mode,ownership,timestamps) 保持屬性 -d()若文件為鏈接文件（l

iptables防火墻的基本配置

iptables netfilter 包過濾防火墻 filter 楊書凡在Internet中，通過架設各種服務器為用戶提供各種網絡服務，怎樣保護這些服務器，過濾惡意的訪問、入侵呢？這裏主要介紹Linux系統中的防火墻——netfilter和iptables，包括防火墻的結構和匹配

iptables(2)：iptables raw表

get col china ble post clas uid raw href iptables raw 表 iptables raw表iptables(2)：iptables raw表

screen命令的基本用法

運行 bsp body div ctr 查看系統之前進行開啟（1）screen -S hed 開啟一個screen終端，其終端名叫hed。（2）在screen終端上，執行ctrl+a+d可以離開screen終端，但執行的程序仍然運行。也可以用screen -d h

(轉)Linux中顯示空閑內存空間的free命令的基本用法

內存統計 bsp 包括 -o body 說明 swa 大於 art 這篇文章主要介紹了Linux系統中free命令的基本用法,用free命令查看內存空余信息是Linux系統入門學習中的基礎知識,需要的朋友可以參考下 free 命令顯示系統使用和空閑的內存情況，包

netstat命令的十個基本用法

LinuxNetstat是什麽? Netstat 是一款命令行工具，可用於列出系統上所有的網絡套接字連接情況，包括 tcp, udp 以及 unix 套接字，另外它還能列出處於監聽狀態（即等待接入請求）的套接字。如果你想確認系統上的 Web 服務有沒有起來，你可以查看80端口有沒有打開。如何使用 netsta

Git基本用法2

新增 block one 其中 gin 參數 normal 密碼 nor 二、比較內容1.比較提交 - Git Diff現在我們對項目做些修改：$ cd gitproject # 向README文件添加一行 $ echo "new line" >> README

Iptables服務相關命令

命令 lis nbsp -- conf 相關 table top 開機 1.查看iptables狀態　　service iptables status 2.開啟/關閉iptables 　　service iptables start 　　service iptabl

git 的基本用法和常用命令

pst js文件 reset html 登陸 git倉庫配置 php onf Git常用命令請確保已經安裝裏git客戶端一般配置 git --version //查看git的版本信息 git config --global user.name //獲取當

iptables(2)

output module ads linux ipv 特殊 ssh 查找 sta MASQUERADE同樣是做源地址轉換，只不過防火墻會根據該策略自動查找可用的公網IP地址，適應變化的情況?若接口使用ppp+，表示匹配ppp0、ppp1……中任意可用的撥號連接?若需要演示

Iptables(2) - iptables命令的基本用法

1.1 用法

二、示例

2.1 在filter表中創建一個新的鏈, 名字叫做IN_putlic

2.2 修改IN_putlic鏈為OUT_putlic

2.3 修改filter表上的FORWARD鏈的規則為DROP

2.4 打開firewalld服務, 刪除FORWARD鏈上的第九條規則

2.5 對訪問本機TCP協議的報文通通放行

2.6 允許本機的所有TCP報文通通發出去

2.7 將filter表上的所有鏈改為DROP

2.8 允許其他主機ping 192.168.123.101這臺主機

2.9 刪除filter表上的INPUT和OUTPUT鏈上的第二條規則

2.10 允許報文從ens33接口中流入和流出

2.11 允許其他主機通過22號端口訪問192.168.123.101這臺主機

2.12 刪除filter表上INPUT和鏈上的第二條規則

2.13 允許其他主機通過80端口訪問192.168.123.101這臺主機的httpd服務

2.13 允許192.168.123.101這臺主機ping其他主機, 不允許其他主機ping 192.168.123.101.

相關推薦