iptables学习笔记

1、概念

iptables有2个表:filter和nat。前者用于过滤,后者是nat用的。

iptables还有4个链:INPUT、FORWARD、PREROUTING、POSTROUTING。

前两者对应于filter表,INPUT匹配目的IP是本机的数据包,FILTER匹配穿过本机的数据包。

PREROUTING位于NAT表,用于修改目的地址(DNAT);POSTROUTING用于修改源地址(SNAT)。

2、基本命令

命令的格式是:

iptables  -t  [表名]  [操作命令]  [操作的链名]  [规则号码(可选)]  [匹配条件(可选)]  -j  [匹配后的动作]

(1)操作命令

操作命令有:-A -I -D -R -P -F。

-A:追加到最后一条规则,如:iptables -t filter -A INPUT -j DROP。匹配所有本机数据包,丢弃。

-I:插入一条规则,如:iptables -t filter -A INPUT 3 -j DROP。在filter表中插入为第3条记录,作用同上。

-D:删除一条规则,如:iptables -D INPUT 3。在filter表中删除第3条规则。

-R:替换规则,用的不多,不学习了。

-P:设置某个链的默认动作,如:iptables -P INPUT DROP。如果没有匹配规则,则按此处理,丢弃所有包。

-F:清空规则,但仍保留默认规则!设置过-P后,一定小心使用-F!

-L:查询。

(2)匹配条件

-i <网络接口(入)>,如:-i eth0,匹配从eth0进来的所有数据。

-o <网络接口(出)>,如:-o eth0,匹配从eth0出去的所有数据。

-s <来源地址(主要为IP)>,如:-s 192.168.0.1,匹配来自192.168.0.1的数据包。

-d <目的地址(主要为IP)>,如:-d 192.168.0.2,匹配发往192.168.0.2的数据包。

-p <协议(tcp/udp/icmp)>,如:-p tcp;-p udp;-p icmp 8。最后一个8表示icmp类型即ping。

–sport <源端口>,如:–sport  1000,匹配源端口是1000的。

–dport <目的端口>,如:–dport  1000:3000,匹配目的端口是1000到3000的。

上述匹配条件可以组合使用,但是port必须配合p使用!

(3)处理动作

-j ACCEPT,允许数据包通过本链路(不再继续匹配)。

-j DROP,阻止通过本链(不再继续匹配)。

-j SNAT –to IP(IP池),源地址NAT转换,对应POSTROUTING链。如将内网192.168.0.0地址修改成1.1.1.1(地址池):iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT 1.1.1.1(1.1.1.1-1.1.1.10地址池)

-j DNAT –to IP(IP池),目的地址NAT转换,对应PREROUTING链。类似SNAT,不再举例。

(4)附加模块

-m state,匹配状态,NEW(区别于TCP)、ESTABLISTHED(已连接)、RELEASED、INVALID(无法识别)。

-m mac –macsource MACADDRESS,匹配MAC地址。iptables -A FORWARD -m –mac-source xx:xx:xx:xx:xx:xx -j DROP。

-m limmit,用一定速率匹配,-m limit –limit 50/s,只是匹配,非限制。

-m multiport,匹配多个端口

3、简单的服务器防护

继续参考:http://www.vpser.net/security/linux-iptables.html

屏蔽IP

查看、删除已经添加的规则

One thought on “iptables学习笔记

  1. Pingback: iptables用法小结 | 主机范

Leave a Reply

Your email address will not be published.