当前位置：文档之家 › Iptables examples

Iptables examples

  • 格式：doc
  • 大小：90.00 KB
  • 文档页数：11

Iptables exampleso iptables基本操作▪查看iptables设置▪清除原有规则▪使修改的规则永久生效▪查看iptables 状态o iptables 规则实例▪设置默认规则▪允许ssh规则▪允许http/https规则▪把多条规则整合成一条▪允许ping本地主机▪允许loopback 访问▪允许dns访问▪防止DOS攻击（webserver）▪端口转发▪记录丢掉的包▪drop 非法连接▪更多例子Iptables examplesiptables基本操作查看iptables设置1. 查看filter表内规则iptables -L -niptables -t filter -L -n2. 查看ant表内规则iptables -t nat -L -n3. 查看匹配条目统计iptables -L -vChain INPUT (policy DROP 0 packets, 0 bytes)pkts bytes target prot opt in out source destination1623 106K ACCEPT tcp -- eth0 any anywhere anywhere tcp dpt:ssh state NEW,ESTABLISHED8 480 ACCEPT icmp -- any any anywhere anywhere icmp echo-request 32 1856 LOGGING all -- any any anywhere anywhereChain FORWARD (policy DROP 0 packets, 0 bytes)pkts bytes target prot opt in out source destinationChain OUTPUT (policy DROP 11 packets, 3608 bytes)pkts bytes target prot opt in out source destination1228 1002K ACCEPT tcp -- any eth0 anywhere anywhere tcp spt:ssh state ESTABLISHED 4 240 ACCEPT icmp -- any any anywhere anywhere icmp echo-replyChain LOGGING (1 references)pkts bytes target prot opt in out source destination18 936 LOG all -- any any anywhere anywhere limit: avg 2/min burst 5 LOG leveldebug prefix `IPTables Packet Dropped: '32 1856 DROP all -- any any anywhere anywhere4. 例子[root@bogon ~]# iptables -t filter -L -nChain INPUT (policy ACCEPT)target prot opt source destinationACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHEDACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0ACCEPT all -- 0.0.0.0/0 0.0.0.0/0ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibitedChain FORWARD (policy ACCEPT)target prot opt source destinationREJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibitedChain OUTPUT (policy ACCEPT)target prot opt source destination清除原有规则iptables -t filter -F 清除预设表filter中的所有规则链的规则iptables -X 清除预设表filter中使用者自定链中的规则iptables -t nat -F 清除预设表filter中使用者自定链中的规则注意：在没有保存这前，这些命令会生效，但系统重启后会失效，（也就是回到以前的配置）。

使修改的规则永久生效service iptables save 或者 /etc/rc.d/init.d/iptables saveservice iptables restart规则内容最终会写在/etc/sysconfig/iptables 文件查看iptables 状态service iptables statusiptables 规则实例设置默认规则iptables的默认规则是允许，我们改变input,forward,output链到drop.这样我们只需要根据服务器提供的服务添加适合的规则，所有不符合规则的数据包将会丢弃。

iptables -P INPUT DROPiptables -P FORWARD DROPiptables -P OUTPUT DROP允许ssh规则1. 这条规则允许所有进入的SSH连接，在eth0接口iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT2. 只允许192.168.1.0/24网络的用户访问SSHiptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT192.168.1.0/24 也可以写成192.168.1.0、255.255.255.03. 当你需要从本地连接到一个外部ssh server时可以用下列规则。

iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT4. 只允许192.168.1.100到访问外部ssh serveriptables -A OUTPUT -o eth0 -p tcp -d 192.168.1.100 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT允许http/https规则iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPTiptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT把多条规则整合成一条当你想要对外提供多项服务的时候，你可以使用multiport将独立的规则整合在一起。

iptables -A INPUT -i eth0 -p tcp -m multiport --dports 22,80,443 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp -m multiport --sports 22,80,443 -m state --state ESTABLISHED -j ACCEPT允许ping本地主机iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPTiptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT允许loopback 访问iptables -A INPUT -i lo -j ACCEPTiptables -A OUTPUT -o lo -j ACCEPT允许dns访问iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPTiptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT防止DOS攻击（webserver）iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT-m limit: 使用limit扩展选项--limit 25/minute: 限制每分钟25个连接，可以根据具体需求改变这个值--limit-bursh 100: 当连接数目达到limit-burst指定的值后，会强制limit/minute 指定的值生效端口转发所有到本机422端口的包转发到192.168.102.37的22端口iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 --dport 422 -j DNAT --to 192.168.102.37:22iptables -A INPUT -i eth0 -p tcp --dport 422 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -p tcp --sport 422 -m state --state ESTABLISHED -j ACCEPT记录丢掉的包1. 创建一个新的链iptables -N LOGGING2. 使所有进入的连接关联到LOGGING链iptables -A INPUT -j LOGGINGiptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables Packet Dropped: " --log-level 7iptables -A LOGGING -j DROPdrop 非法连接iptables -A INPUT -m state --state INVALID -j DROPiptables -A OUTPUT -m state --state INVALID -j DROPiptables -A FORWARD -m state --state INVALID -j DROP更多例子1. mysql例子iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 3306 -m state --state ESTABLISHED -j ACCEPT2. sendmail or postfixNeo ---- 2014-07 ----iptables -A INPUT -i eth0 -p tcp --dport 25 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT3. imapiptables -A INPUT -i eth0 -p tcp --dport 143 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -p tcp --sport 143 -m state --state ESTABLISHED -j ACCEPT4. rsynciptables -A INPUT -i eth0 -p tcp -s 192.168.101.0/24 --dport 873 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A OUTPUT -o eth0 -p tcp --sport 873 -m state --state ESTABLISHED -j ACCEPT5. pop3/pop3siptables -A INPUT -i eth0 -p tcp --dport 110 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPTiptables -A INPUT -i eth0 -p tcp --dport 995 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -p tcp --sport 995 -m state --state ESTABLISHED -j ACCEPT。

合集下载

iptables命令细解

iptables命令细解

iptables 指令语法iptables [-t table] command [match] [-j target/jump][-t table] 指定规则表-t 参数用来，内建的规则表有三个，分别是：nat、mangle 和filter，当未指定规则表时，则一律视为是filter。

个规则表的功能如下：nat：此规则表拥有PREROUTING 和POSTROUTING 两个规则链，主要功能为进行一对一、一对多、多对多等网址转换工作（SNAT、DNAT），这个规则表除了作网址转换外，请不要做其它用途。

mangle：此规则表拥有PREROUTING、FORWARD 和POSTROUTING 三个规则链。

除了进行网址转换工作会改写封包外，在某些特殊应用可能也必须去改写封包（TTL、TOS）或者是设定MARK（将封包作记号，以进行后续的过滤），这时就必须将这些工作定义在mangle 规则表中，由于使用率不高，我们不打算在这里讨论mangle 的用法。

filter：这个规则表是默认规则表，拥有INPUT、FORWARD 和OUTPUT 三个规则链，这个规则表顾名思义是用来进行封包过滤的处理动作（例如：DROP、LOG、ACCEPT 或REJECT），我们会将基本规则都建立在此规则表中。

command 常用命令列表：命令-A, --append范例iptables -A INPUT ...说明新增规则到某个规则链中，该规则将会成为规则链中的最后一条规则。

命令-D, --delete范例iptables -D INPUT --dport 80 -j DROPiptables -D INPUT 1说明从某个规则链中删除一条规则，可以输入完整规则，或直接指定规则编号加以删除。

命令-R, --replace范例iptables -R INPUT 1 -s 192.168.0.1 -j DROP说明取代现行规则，规则被取代后并不会改变顺序。

iptables命令参数

iptables命令参数

iptables命令参数iptables命令是Linux系统中用于设置防火墙规则的工具，它允许用户通过在内核中的网络数据包传输路径上添加或删除规则来过滤、修改和重定向网络数据包。

iptables命令有许多参数可以用来指定具体的操作和规则。

下面是一些常用的iptables命令参数：1. -A或--append：添加规则到规则链的末尾。

例如，`iptables -A INPUT -s 192.168.0.1 -j DROP`将会添加一个规则，禁止来自IP地址为192.168.0.1的主机的所有入站连接。

2. -I或--insert：在规则链内指定的位置插入规则。

例如，`iptables -I INPUT3 -s 192.168.0.1 -j DROP`将会在INPUT链的第3个位置插入一个规则，禁止来自IP地址为192.168.0.1的主机的所有入站连接。

3. -D或--delete：从规则链中删除规则。

例如，`iptables -D INPUT -s 192.168.0.1 -j DROP`将会删除INPUT链中所有来自IP地址为192.168.0.1的主机的入站连接的规则。

4. -P或--policy：设置默认策略。

例如，`iptables -P INPUT ACCEPT`将会将INPUT链的默认策略设置为接受所有入站连接。

5. -s或--source：指定源IP地址或地址段。

例如，`iptables -A INPUT -s 192.168.0.0/24 -j DROP`将会添加一个规则，禁止来自192.168.0.0/24网段的主机的所有入站连接。

6. -d或--destination：指定目标IP地址或地址段。

例如，`iptables -AOUTPUT -d 192.168.0.1 -j DROP`将会添加一个规则，禁止所有出站连接到IP地址为192.168.0.1的主机。

7. -p或--protocol：指定要过滤的传输层协议，如TCP、UDP或ICMP。

iptables设置防火墙规则

iptables设置防火墙规则

iptables设置防火墙规则以iptables设置防火墙规则为标题，可以写一篇关于iptables防火墙规则的文章。

下面是一种可能的写作方式：标题：使用iptables设置防火墙规则保护网络安全导言：在当前的网络环境中，保护网络安全是至关重要的。

为了防止网络攻击和非法访问，我们可以使用iptables来设置防火墙规则。

本文将介绍iptables的基本概念和常用命令，并提供一些示例来帮助您理解如何使用iptables保护您的网络。

一、iptables简介iptables是一个在Linux系统上使用的防火墙工具，它可以监控和过滤网络流量，以及控制网络数据包的传输。

iptables可以根据预定义的规则集来允许或拒绝特定的网络连接。

二、iptables基本命令1. 添加规则：使用iptables的-A选项可以向规则链中添加新的规则。

例如，以下命令将允许从特定IP地址（192.168.1.100）访问SSH服务：iptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT2. 删除规则：使用iptables的-D选项可以从规则链中删除指定的规则。

例如，以下命令将删除允许从特定IP地址（192.168.1.100）访问SSH服务的规则：iptables -D INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT3. 查看规则：使用iptables的-L选项可以查看当前规则链中的规则。

例如，以下命令将显示INPUT规则链中的所有规则：iptables -L INPUT三、常用的防火墙规则示例1. 允许特定IP地址的访问：以下命令将允许来自192.168.1.100的IP地址访问HTTP服务：iptables -A INPUT -s 192.168.1.100 -p tcp --dport 80 -j ACCEPT2. 允许特定端口的访问：以下命令将允许所有IP地址访问SSH服务：iptables -A INPUT -p tcp --dport 22 -j ACCEPT3. 拒绝特定IP地址的访问：以下命令将拒绝来自192.168.1.200的IP地址访问FTP服务：iptables -A INPUT -s 192.168.1.200 -p tcp --dport 21 -j DROP4. 阻止所有对外部SSH服务的访问：以下命令将阻止所有对外部SSH服务的访问：iptables -A INPUT -p tcp --dport 22 -j DROP四、更高级的防火墙规则设置1. 限制连接速率：可以使用iptables的限速模块来限制特定IP地址的连接速率。

Linux命令高级技巧使用iptables和ipset进行高级网络防火墙配置

Linux命令高级技巧使用iptables和ipset进行高级网络防火墙配置

Linux命令高级技巧使用iptables和ipset进行高级网络防火墙配置在网络安全领域，配置高级网络防火墙是至关重要的。

Linux操作系统提供了一些强大的工具来实现这一目的，其中最常用的是iptables和ipset。

本文将介绍如何使用这两个工具来进行高级网络防火墙配置。

一、iptables简介iptables是一个功能强大的Linux防火墙工具，它允许管理员配置、管理和维护网络安全规则集。

iptables使用内核的netfilter框架来实现数据包过滤和转发。

它可以根据网络协议、源IP地址、目标IP地址、端口号等多个条件来过滤和控制数据包的流动。

下面是一些常用的iptables命令及其功能：1. iptables -A chain -p protocol --source address --destination address --dport port -j action：添加规则到指定链，根据指定条件决定数据包的操作（动作）。

2. iptables -D chain rule-number：从指定链中删除指定规则。

3. iptables -L：列出当前的防火墙规则集。

4. iptables -F chain：清空指定链中的所有规则。

5. iptables -P chain target：设置指定链的默认策略。

二、ipset简介ipset是一个用于管理大规模IP地址和端口的工具，它可以与iptables一起使用，提高防火墙规则的效率和性能。

ipset通过将IP地址和端口号存储在内存中的数据结构中，可以更快地匹配和过滤数据包。

ipset的一些常用命令如下：1. ipset create setname type：创建一个新的ipset。

2. ipset add setname entry：将条目添加到指定的ipset中。

3. ipset del setname entry：从指定的ipset中删除条目。