iptables防火墙用法

iptables设置防火墙规则

以iptables设置防火墙规则为标题，可以写一篇关于iptables防火墙规则的文章。下面是一种可能的写作方式：

标题：使用iptables设置防火墙规则保护网络安全

导言：

在当前的网络环境中，保护网络安全是至关重要的。为了防止网络攻击和非法访问，我们可以使用iptables来设置防火墙规则。本文将介绍iptables的基本概念和常用命令，并提供一些示例来帮助您理解如何使用iptables保护您的网络。

一、iptables简介

iptables是一个在Linux系统上使用的防火墙工具，它可以监控和过滤网络流量，以及控制网络数据包的传输。iptables可以根据预定义的规则集来允许或拒绝特定的网络连接。

二、iptables基本命令

1. 添加规则：使用iptables的-A选项可以向规则链中添加新的规则。例如，以下命令将允许从特定IP地址（192.168.1.100）访问SSH服务：

iptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j

ACCEPT

2. 删除规则：使用iptables的-D选项可以从规则链中删除指定的规则。例如，以下命令将删除允许从特定IP地址（192.168.1.100）访问SSH服务的规则：

iptables -D INPUT -s 192.168.1.100 -p tcp --dport 22 -j

ACCEPT

3. 查看规则：使用iptables的-L选项可以查看当前规则链中的规则。例如，以下命令将显示INPUT规则链中的所有规则：

iptables -L INPUT

三、常用的防火墙规则示例

1. 允许特定IP地址的访问：以下命令将允许来自192.168.1.100的IP地址访问HTTP服务：

iptables -A INPUT -s 192.168.1.100 -p tcp --dport 80 -j

Linux1 防火墙 iptables基本语法

如果想要灵活的运用iptables来加固系统安全的话，就必须熟练的掌握iptables的语法格式，其语法格式如下所示。

iptables [-t 表] -命令 -匹配 -j 动作/目标

1．表选项

iptables内置了filter、nat、和mangle3张表，-t参数用来设置对哪张表生效。如，对mangle表设置规则的话，可以在-t参数后面加上mangle（-t参数可以省略，如果省略-t参数表示对filter表进行操作），其格式为：

iptables -t mangle -命令 -匹配 -j 动作/目标。

 filter

Filter表用来过滤数据包，在该表中根据包的内容对包做DROP（拒绝）或ACCEPT（允许）。在该表中有INPUT、OUTPUT和FORWARD链。其中INPUT链是用于处理入站数据包的规则，所有入站的数据包的规则都将被添加到INPUT链中；OUTPUT链是用于处理出站数据包的规则；FORWARD链用于处理正在转发的数据包的规则。

 nat

Nat表主要用于转发数据包，即NAT（网络地址转换）。该表中包含PREROUTING和POSTOUTING链。主要进行一对一、一对多和多对多等地址转换工作。根据转换特性可分为SNAT（源网络地址转换）和DNAT（目的网络地址转换）。进行了源网络地址转换的数据包就不需要进行目的地址转换，反之亦然。

 mangle

Mangle表包含一些规则来标记用于高级路由的数据包，如果数据包及其包头内容进行了任何更改，就可以使用mangle表。其可以改变不同的包及包头的内容，比如TTL、TOS、或MARK。实际上，MARK并没有真正地改动数据包，其只是在内核空间中为包设置一个标记。该表共有中有5个内建的链：PREROUTING、POSTOUTING、INPUT、OUTPUT和FORWARD。

2．命令选项

Linux2 Iptables防火墙

Iptables是与最新的2.6.x版本Linux内核集成的IP信息包过滤系统。如果Linux系统连接到因特网或LAN（局域网）、服务器或连接LAN和因特网的代理服务器，则该系统有利于在Linux系统上更好地控制IP信息包过滤和防火墙配置。

Iptables只是一个管理内核包过滤的工具，可以加入、插入或删除核心包过滤表格（链）中的规则。实际上真正执行这些过滤规则的是Netfilter（Linux核心中的一个通用架构）及其相关模块（如Iptables模块和nat模块）。

Netfilter是Linux核心中的通用架构，其提供了一系列的表（tables），每个表由若干链（chains）组成，而每条链可以由一条或数条规则（rule）组成。简单的说，netfilter是表的容器，表是链的容器，链是规则的容器。Iptables拥有3个表和5个链，其整个工作流程如图6-35所示：

PREROUTINGRoutingFORWAEDINPUTINPUTFORWAEDPOSTROUNTINGLocalprooessRoutingOUTPUTPOSTROUNTINGPREROUTINGOUTPUTmanglenatmanglenatmanglenatfilterfiltermangleA网络B网络mangle

图6-35 Iptables工作流程

数据包进入防火墙以后，首先进入mangle表的PREROUTING链，如果有特殊设定，会更改数据包的TOS等信息。然后，数据包进入nat表的PREROUTING链，如有规则设置，通常进行目的地址转换。

数据包经过路由，判断该包是发送给本机，还是需要向其他网络转发。如果是转发，就发送给mangle表的FORWARD链，根据需要进行相应的参数修改，送给filter表的FORWARD链进行过滤，再转发给mangle表的POSTROUTING链。如有设置，则进行参数调整，接着发送给nat表的POSTROUTING链。

RHEL5.4配置iptables防火墙

关于linux下面配置iptables防火墙的讨论，

Iptables与netfilter模块关系

在linux下面的防火墙并不是一个服务，而是一个加载到内核中的模块。这个模块就是netfilter模块(网络过滤模块)，我们使用iptables工具来管理这个netfilter模块。

Iptables的模式

Enabled 默认拒绝所有

Disabled 默认允许所有

我们可以通过system-config-securitylevel这条命令通过图形界面修改，

这里可以选择enabled模式和disabled模式。

关于netfilter表和netfilter链

这张图就很清楚的显示了netfilter表和netfilter链。

Filter table里面有三条链：

INPUT 目的地是访问防火墙本身的数据包

OUTPUT 源地址是防火墙出去的数据包

FORWARD 数据包的源地址和目的地址都不是防火墙的数据包

Nat table里面也有三条链：

OUTPUT 数据包在出网关之前被丢给代理服务器

PREROUTING 做目的NAT转换(路由判断之前)

POSTROUTING 做源NAT转换(路由判断之后)

Mangle talbe里面有五条链：

INPUT

OUTPUT

FORWARD

PREROUTING

POSTROUTING

关于iptables数据包的流程

这张图就显示了整个iptables防火墙在工作时候的数据包流程。

关于iptables的访问控制规则 当数据包要经过iptables防火墙，首先读取第一条策略，如果第一条策略匹配，则执行，不在读取下面的策略。如果第一条策略没有匹配，则读取第二条策略，如果匹配到第二条策略，则执行，不在读取下面的策略。如果数据包没有匹配到任何策略，则匹配默认策略。默认策略是允许或者拒绝可以由用户自己定义。