iptables 基本命令使用舉例

一、鏈的基本操作

1、清除所有的規則。

1）清除預設表filter中所有規則鏈中的規則。 # iptables -F 2）清除預設表filter中使用者自定鏈中的規則。 #iptables -X #iptables -Z 2、設定鏈的預設策略。一般有兩種方法。 1）首先允許所有的包，然後再禁止有危險的包通過放火牆。 #iptables -P INPUT ACCEPT #iptables -P OUTPUT ACCEPT #iptables -P FORWARD ACCEPT 2）首先禁止所有的包，然後根據需要的服務允許特定的包通過防火牆。 #iptables -P INPUT DROP #iptables -P OUTPUT DROP #iptables -P FORWARD DROP 3、列出表/鏈中的所有規則。預設只列出filter表。 #iptables -L 4、向鏈中新增規則。下面的語句用於開放網路介面： #iptables -A INPUT -i lo -j ACCEPT #iptables -A OUTPUT -o lo -j ACCEPT #iptables -A INPUT -i eth0 -j ACEPT #iptables -A OUTPUT -o eth1 -j ACCEPT #iptables -A FORWARD -i eth1 -j ACCEPT #iptables -A FORWARD -0 eth1 -j ACCEPT 注意:由於本地程序不會經過FORWARD鏈，因此迴環介面lo只在INPUT和OUTPUT兩個鏈上作用。 5、使用者自定義鏈。 #iptables -N custom #iptables -A custom -s 0/0 -d 0/0 -p icmp -j DROP #iptables -A INPUT -s 0/0 -d 0/0 -j DROP

二、設定基本的規則匹配

1、指定協議匹配。 1）匹配指定協議。 #iptables -A INPUT -p tcp 2）匹配指定協議之外的所有協議。 #iptables -A INPUT -p !tcp 2、指定地址匹配。 1）指定匹配的主機。 #iptables -A INPUT -s 192.168.0.18 2）指定匹配的網路。 #iptables -A INPUT -s 192.168.2.0/24 3）匹配指定主機之外的地址。 #iptables -A FORWARD -s !192.168.0.19 4）匹配指定網路之外的網路。 #iptables -A FORWARD -s ! 192.168.3.0/24 3、指定網路介面匹配。 1）指定單一的網路介面匹配。 #iptables -A INPUT -i eth0 #iptables -A FORWARD -o eth0 2）指定同類型的網路介面匹配。 #iptables -A FORWARD -o ppp+ 4、指定埠匹配。 1）指定單一埠匹配。 #iptables -A INPUT -p tcp --sport www #iptables -A INPUT -p udp –dport 53 2）匹配指定埠之外的埠。 #iptables -A INPUT -p tcp –dport !22 3）匹配埠範圍。 #iptables -A INPUT -p tcp –sport 22:80 4）匹配ICMP埠和ICMP型別。 #iptables -A INOUT -p icmp –icimp-type 8 5）指定ip碎片。 每 個網路介面都有一個MTU（最大傳輸單元），這個引數定義了可以通過的資料包的最大尺寸。如果一個數據包大於這個引數值時，系統會將其劃分成更小的資料包 （稱為ip碎片）來傳輸，而接受方則對這些ip碎片再進行重組以還原整個包。這樣會導致一個問題：當系統將大資料包劃分成ip碎片傳輸時，第一個碎片含有 完整的包頭資訊（IP+TCP、UDP和ICMP），但是後續的碎片只有包頭的部分資訊（如源地址、目的地址）。因此，檢查後面的ip碎片的頭部（象有 TCP、UDP和ICMP一樣）是不可能的。假如有這樣的一條規則： #iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.2.100 –dport 80 -j ACCEPT 並且這時的FORWARD的policy為DROP時，系統只會讓第一個ip碎片通過，而餘下的碎片因為包頭資訊不完整而無法通過。可以通過—fragment/-f 選項來指定第二個及以後的ip碎片解決上述問題。 #iptables -A FORWARD -f -s 192.168.1.0/24 -d 192.168.2.100 -j ACCEPT 注意現在有許多進行ip碎片攻擊的例項，如DoS攻擊，因此允許ip碎片通過是有安全隱患的，對於這一點可以採用iptables的匹配擴充套件來進行限制。

三、設定擴充套件的規則匹配（舉例已忽略目標動作）

1、多埠匹配。 1）匹配多個源埠。 #iptables -A INPUT -p tcp -m multiport –sport 22,53,80,110 2）匹配多個目的埠。 #iptables -A INPUT -p tcp -m multiport –dpoort 22,53,80 3）匹配多埠(無論是源埠還是目的埠） #iptables -A INPUT -p tcp -m multiport –port 22,53,80,110 2、指定TCP匹配擴充套件 使用 –tcp-flags 選項可以根據tcp包的標誌位進行過濾。 #iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN #iptables -A FROWARD -p tcp –tcp-flags ALL SYN,ACK 上例項中第一個表示SYN、ACK、FIN的標誌都檢查，但是隻有SYN匹配。第二個表示ALL（SYN，ACK，FIN，RST，URG，PSH）的標誌都檢查，但是隻有設定了SYN和ACK的匹配。 #iptables -A FORWARD -p tcp --syn 選項—syn相當於”--tcp-flags SYN,RST,ACK SYN”的簡寫。 3、limit速率匹配擴充套件。 1）指定單位時間內允許通過的資料包個數，單位時間可以是/second、/minute、/hour、/day或使用第一個子母。 #iptables -A INPUT -m limit --limit 300/hour 2 )指定觸發事件的閥值。 #iptables -A INPUT -m limit –limit-burst 10 用來比對一次同時湧入的封包是否超過10個，超過此上限的包將直接丟棄。 3）同時指定速率限制和觸發閥值。 #iptables -A INPUT -p icmp -m limit –-limit 3/m –limit-burst 3 表示每分鐘允許的最大包數量為限制速率（本例為3）加上當前的觸發閥值burst數。任何情況下，都可保證3個數據包通過，觸發閥值burst相當於允許額外的包數量。 4）基於狀態的匹配擴充套件（連線跟蹤） 每個網路連線包括以下資訊：源地址、目標地址、源埠、目的埠，稱為套接字對（socket pairs）；協議型別、連線狀態（TCP協議） 和超時時間等。防火牆把這些資訊稱為狀態（stateful）。狀態包過濾防火牆能在記憶體中維護一個跟蹤狀態的表，比簡單包過濾防火牆具有更大的安全性，命令格式如下： iptables -m state –-state [!]state [,state,state,state] 其中，state表是一個逗號分割的列表，用來指定連線狀態，4種： >NEW: 該包想要開始一個新的連線（重新連線或連線重定向） >RELATED:該包是屬於某個已經建立的連線所建立的新連線。舉例： FTP的資料傳輸連線和控制連線之間就是RELATED關係。 >ESTABLISHED：該包屬於某個已經建立的連線。 >INVALID:該包不匹配於任何連線，通常這些包被DROP。 例如： （1）在INPUT鏈新增一條規則，匹配已經建立的連線或由已經建立的連線所建立的新連線。即匹配所有的TCP迴應包。 #iptables -A INPUT -m state –state RELATED,ESTABLISHED （2）在INPUT鏈鏈新增一條規則，匹配所有從非eth0介面來的連線請求包。 #iptables -A INPUT -m state -–state NEW -i !eth0 又如，對於ftp連線可以使用下面的連線跟蹤： （1）被動（Passive）ftp連線模式。 #iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state –-state ESTABLISHED -j ACCEPT #iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m state -–state ESTABLISHED,RELATED -j ACCEPT （2）主動（Active）ftp連線模式 #iptables -A INNPUT -p tcp --sport 20 -m state –-state ESTABLISHED,RELATED -j ACCEPT #iptables -A OUTPUT -p tcp –OUTPUT -p tcp –dport 20 -m state --state ESTABLISHED -j ACCEPT