当前位置：文档之家 › iptables命令参数

iptables命令参数

  • 格式：docx
  • 大小：22.71 KB
  • 文档页数：2

1 / 2

iptables命令参数

iptables命令是Linux系统中用于设置防火墙规则的工具，它允许用户通过在内核中的网络数据包传输路径上添加或删除规则来过滤、修改和重定向网络数据包。iptables命令有许多参数可以用来指定具体的操作和规则。

下面是一些常用的iptables命令参数：

1. -A或--append：添加规则到规则链的末尾。例如，`iptables -A INPUT -s

192.168.0.1 -j DROP`将会添加一个规则，禁止来自IP地址为192.168.0.1的主机的所有入站连接。

2. -I或--insert：在规则链内指定的位置插入规则。例如，`iptables -I INPUT

3 -s 192.168.0.1 -j DROP`将会在INPUT链的第3个位置插入一个规则，禁止来自IP地址为192.168.0.1的主机的所有入站连接。

3. -D或--delete：从规则链中删除规则。例如，`iptables -D INPUT -s

192.168.0.1 -j DROP`将会删除INPUT链中所有来自IP地址为192.168.0.1的主机的入站连接的规则。

4. -P或--policy：设置默认策略。例如，`iptables -P INPUT ACCEPT`将会将INPUT链的默认策略设置为接受所有入站连接。

5. -s或--source：指定源IP地址或地址段。例如，`iptables -A INPUT -s

192.168.0.0/24 -j DROP`将会添加一个规则，禁止来自192.168.0.0/24网段的主机的所有入站连接。

6. -d或--destination：指定目标IP地址或地址段。例如，`iptables -A 2 / 2

OUTPUT -d 192.168.0.1 -j DROP`将会添加一个规则，禁止所有出站连接到IP地址为192.168.0.1的主机。

7. -p或--protocol：指定要过滤的传输层协议，如TCP、UDP或ICMP。例如，`iptables -A INPUT -p tcp -j DROP`将会添加一个规则，禁止所有TCP连接。

8. -m或--match：指定特定的匹配模块。例如，`iptables -A INPUT -m

state --state ESTABLISHED,RELATED -j ACCEPT`将会添加一个规则，接受与已建立连接或有关的数据包。

9. -j或--jump：指定规则匹配后的动作。例如，`iptables -A INPUT -s

192.168.0.1 -j DROP`将会添加一个规则，禁止来自IP地址为192.168.0.1的主机的所有入站连接。

10. -i或--in-interface：指定进入规则的网络接口。例如，`iptables -A

INPUT -i eth0 -j DROP`将会添加一个规则，禁止通过eth0网络接口的所有流量。

11. -o或--out-interface：指定出站规则的网络接口。例如，`iptables -A

OUTPUT -o eth0 -j DROP`将会添加一个规则，禁止通过eth0网络接口的所有出站流量。

这些只是iptables命令的一部分参数，需要注意的是，对规则的修改将会立即生效，并且可能会影响系统的网络连接，因此在使用iptables命令时应谨慎操作。

合集下载

iptables和firewalld防火墙总结（史上最全）

iptables和firewalld防火墙总结（史上最全）

iptables和firewalld防⽕墙总结（史上最全）

防⽕墙管理⼯具

保证数据的安全性是继可⽤性之后最为重要的⼀项⼯作，防⽕墙技术作为公⽹与内⽹之间的保护屏障，起着⾄关重要的作⽤。⾯对同学们普

遍不了解在RHEL7系统中新旧两款防⽕墙的差异，认识在RHEL7系统中firewalld防⽕墙服务与iptables防⽕墙服务之间的关系，从理论和事

实层⾯剖析真相。

本章节内将会分别使⽤iptables、firewall-cmd、firewall-config和Tcp_wrappers等防⽕墙策略配置服务来完成数⼗个根据真实⼯作需求⽽设

计的防⽕墙策略配置实验，让同学们不仅能够熟练的对请求数据包流量进⾏过滤，还能够基于服务程序进⾏允许和关闭操作，做到保证安全

万⽆⼀失。

保证数据安全性是继可⽤性之后最为重要的⼀项⼯作，众所周知外部公⽹相⽐企业内⽹更加的“罪恶丛⽣”，因此防⽕墙技术作为公⽹与内

⽹之间的保护屏障，虽然有软件或硬件之分，但主要功能都是依据策略对外部请求进⾏过滤。防⽕墙技术能够做到监控每⼀个数据包并判断

是否有相应的匹配策略规则，直到匹配到其中⼀条策略规则或执⾏默认策略为⽌，防⽕墙策略可以基于来源地址、请求动作或协议等信息来

定制，最终仅让合法的⽤户请求流⼊到内⽹中，其余的均被丢弃。

图8-1 防⽕墙作为公⽹与内⽹之间的保护屏障

在红帽RHEL7系统中Firewalld服务取代了Iptables服务，对于接触系统⽐较早或学习过红帽RHEL6系统的读者来讲，突然改⽤Firewalld服

务后确实不免会有些抵触⼼理，或许会觉得Firewalld服务是⼀次不⼩的改变。但其实Iptables服务与Firewalld服务都不是真正的防⽕墙，它

们都只是⽤来定义防⽕墙策略功能的“防⽕墙管理⼯具”⽽已，iptables服务会把配置好的防⽕墙策略交由内核层⾯的netfilter⽹络过滤器来处

理，⽽firewalld服务则是把配置好的防⽕墙策略交由内核层⾯的nftables包过滤框架来处理。换句话说，当前在Linux系统中其实同时有多个

iptables四表五链

iptables四表五链

iptables四表五链

⼀、什么是iptables

iptables是Linux的防⽕墙管理⼯具⽽已，真正实现防⽕墙功能的是Netfilter，我们配置了iptables规则后Netfilter通过这些规则来进⾏防⽕墙过滤等操作

Netfilter模块：

它是主要的⼯作模块，位于内核中，在⽹络层的五个位置（也就是防⽕墙四表五链中的五链）注册了⼀些钩⼦函数，⽤来抓取数据包；把数据包的信息拿出来匹配各个各个链位置在对

应表中的规则：匹配之后，进⾏相应的处理ACCEPT、DROP等等。

下⾯这张图很明了的说明了Netfilter和iptables之间的关系

⼆、四表五链(重要)

四表五链：

链就是位置：共有五个 进路由(PREROUTING)、进系统(INPUT) 、转发(FORWARD)、出系统(OUTPUT)、出路由(POSTROUTING)； 表就是存储的规则；数据包到了该链处，会去对应表中查询设置的规则，然后决定是否放⾏、丢弃、转发还是修改等等操作。

2.1. 具体的四表

filter表——过滤数据包

Nat表——⽤于⽹络地址转换（IP、端⼝）

Mangle表——修改数据包的服务类型、TTL、并且可以配置路由实现QOS

Raw表——决定数据包是否被状态跟踪机制处理

2.2. 具体的五链

INPUT链——进来的数据包应⽤此规则链中的策略

OUTPUT链——外出的数据包应⽤此规则链中的策略

FORWARD链——转发数据包时应⽤此规则链中的策略

PREROUTING链——对数据包作路由选择前应⽤此链中的规则（所有的数据包进来的时侯都先由这个链处理）

POSTROUTING链——对数据包作路由选择后应⽤此链中的规则（所有的数据包出来的时侯都先由这个链处理）

2.3. 四表五链之间的关系

三、iptables语法参数

3.1.iptables语法格式

iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]

3.2.iptables常⽤参数

netd应用iptables规则

netd应用iptables规则

netd应用iptables规则

要在netd应用iptables规则，需要进行以下步骤：

1. 在设备上启用iptables功能。通常情况下，iptables已经预装在Android设备上，并且在内核中启用了相应的模块。要确保iptables功能是启用的，可以通过在设备上执行以下命令来检查：

su

iptables version

如果iptables未安装或未启用，请按照设备的要求进行安装或启用。

2. 创建iptables规则。使用iptables命令可以创建各种规则，例如添加防火墙规则、网络地址转换规则等。如果要创建新规则，可以执行以下命令：

su

iptables -A [chain] [options]

其中，`[chain]`是要将规则添加到的链的名称，`[options]`是规则的参数和条件。

3. 应用iptables规则。在netd应用iptables规则之前，需要确保设备已经root，并且已经获得超级用户权限。然后，可以执行以下命令来应用规则：

su

iptables-restore < [rules_file]

其中，`[rules_file]`是包含规则的文本文件的路径。

请注意，修改iptables规则可能会影响设备的网络连接和通信。因此，在进行任何更改之前，请确保理解和测试规则的影响，并确保备份现有的规则和配置文件。使用iptables时，请小心和谨慎操作。

Iptables 规则

Iptables 规则

设定规则

iptables -p INPUT DROP

iptables -p OUTPUT ACCEPT

iptables -p FORWARD DROP

1、防止外网用内网IP欺骗

iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP

iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP

iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP

查看nat规则

iptables -t nat -L

2、如果想取消上面所加的规则：

iptables -F -t nat

iptables -X -t nat

iptables -Z -t nat

3、阻止一个IP连接本机

iptables -t filter -A INPUT -s 192.168.1.5 -i eth0 -j DROP

4、查看本机的IPTABLES的所填规则

iptables -L -n

5、清除filter中所有的规则连接

iptables -F

清除filter中使用者自定义连接中的规则

iptables -X

6、保存所修改的iptables规则

/etc/rc.d/init.d/iptables save

重新启动iptables服务

service iptables restart

7、关闭不安全的端口连接本机

iptables -A OUTPUT -p tcp --sport 31337 -j DROP

iptables -A OUTPUT -p tcp --dport 31337 -j DROP

8、开启所需要的端口

22

iptables -A INPUT -p tcp --dport 22 -j ACCEPT