Iptables是linux上特有的防火牆機制，其功能非常強大

netfilter5表5鏈介紹

• filter 這個表主要用於過濾包的，是系統預設的表。內建三個鏈INPUT、OUTPUT以及FORWARD。INPUT作用於進入本機的包；OUTPUT作用於本機送出的包；FORWARD作用於那些跟本機無關的包。

• nat 主要用處是網路地址轉換，也有三個鏈。PREROUTING 鏈的作用是在包剛剛到達防火牆時改變它的目的地址，如果需要的話。OUTPUT鏈改變本地產生的包的目的地址。POSTROUTING鏈在包就要離開防火牆之前改變其源地址。

• mangle 這個表主要是用於給資料包打標記，然後根據標記去操作哪些包。這個表幾乎不怎麼用。

還有兩個不常用的表：raw和security，在此不多講述。

iptables語法

iptables命令是Linux上常用的防火牆軟體，是netfilter專案的一部分。可以直接配置，也可以通過許多前端和圖形介面配置。

• 命令語法
  iptables [選項][引數]

• 命令選項
  -n：不針對IP反解析主機名
  -v：顯示更詳細的資訊
  -t：指定表（iptables命令預設作用於filter表）
  -L：顯示資訊
  -F：清空所有規則
  -A/D：=add/delete，新增/刪除一條規則
  -I：插入一條規則
  -p：指定協議，可以是tcp，udp或icmp
  –sport：跟-p一起使用，指定源埠
  –dport：跟-p一起使用，指定目標埠
  -s：指定源IP（可以是一個IP段）
  -d：指定目的IP（可以是一個IP段）
  -j：後面跟動作（ACCEPT表示允許包；DROP表示丟掉包；REJECT表示拒絕包）
  -i：指定網絡卡
  -Z：把包以及流量計數器清零
  -P：=pre，預設策略

實戰

• iptables命令選項輸入順序

iptables -t 表名 <-A/I/D/R> 規則鏈名 [規則號] <-i/o 網絡卡名> -p 協議名 <-s 源IP/源子網> --sport 源埠 <-d 目標IP/目標子網> --dport 目標埠 -j 動作

• 檢視規則

[[email protected] ~]# iptables -t nat -nvL

Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in
 
     out     source               destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
iptables規則配置檔案：/etc/sysconfig/iptables

說明：-t 後面跟表名，-nvL 即檢視該表的規則，其中-n表示不針對IP反解析主機名；-L表示列出的意思；而-v表示列出的資訊更加詳細。如果不加-t ，則列印filter表的相關資訊。

• 清空規則

[root@dl-001 ~]# iptables -F
[root@dl-001 ~]# iptables -Z   //把包以及流量計數器清零

說明： -F 是把當前規則清除，但這個只是臨時的，重啟系統或者重啟 iptalbes 服務後還會載入已經儲存的規則，所以需要使用 /etc/init.d/iptables save 儲存一下規則

• 增加一條規則

# iptables -A INPUT -s 10.72.11.12 -p tcp --sport 1234 -d 10.72.137.159 --dport 80 -j DROP

說明：這就是增加了一條規則，省略-t所以針對的是filter表。-A 表示增加一條規則，另外還有-I 表示插入一條規則，-D刪除一條規則；後面的INPUT即鏈名稱，還可以是OUTPUT或者FORWORD；-s 後跟源地址；-p 協議（tcp, udp, icmp）； –sport/–dport 後跟源埠/目標埠；-d 後跟目的IP（主要針對內網或者外網）；-j 後跟動作（DROP即把包丟掉，REJECT即包拒絕；ACCEPT即允許包）。

• 刪除一條規則方法1

[email protected] ~]# iptables -D INPUT -s 192.168.188.1 -p tcp --sport 1234 -d 192.168.188.128 --dport 80 -j DROP

說明： 要刪除一條規則時，必須和插入的規則一致，也就是說，兩條iptables命令除了-A/I和-D不一樣外，其他地方都一樣。

• 刪除一條規則方法2

有時候你的伺服器上iptables過多了，想刪除某一條規則時，又不容易掌握當時建立時的規則。其實有一種比較簡單的方法:

[[email protected] ~]# iptables -nvL --line-numbers   //檢視規則序號
Chain INPUT (policy ACCEPT 133 packets, 9740 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 ACCEPT     all  --  eth0   *       192.168.1.0/24       0.0.0.0/0

刪除某一條規則使用如下命令:

[root@localhost ~]# iptables -D INPUT 1

說明：-D 後跟鏈名，然後是規則num，這個num就是檢視iptables規則時第一列的值。再次檢視剛才的規則，已經沒有了:

[[email protected] ~]# iptables -nvL --line-numbers

說明：iptables還有一個選項經常用到，-P（大寫）選項，表示預設策略。用法如下:

[root@localhost ~]# iptables -P INPUT DROP

說明：-P後面跟鏈名，策略內容或者為DROP或者為ACCEPT，預設是ACCEPT。注意：如果你在連線遠端伺服器，千萬不要隨便敲這個命令，因為一旦你敲完回車你就會斷掉。

這個策略一旦設定後，只能使用 iptables -P INPUT ACCEPT 才能恢復成原始狀態，而不能使用-F引數。