Linux防火墻命令之 ~ iptables

在CentOS7之前系統(tǒng)默認的防火墻管理工具是iptables顾孽，這一節(jié)我們就來看一看iptables的用法托享，而7之后使用的是firewall-cmd晰搀，用法參看這篇文章Linux防火墻命令之 ~ firewall-cmd

一呀舔、簡介

iptables也叫netfilter场斑，是Linux下自帶的一款免費且優(yōu)秀的基于包過濾的防火墻工具糠睡，它的功能十分強大挽鞠，使用非常靈活，可以對流入狈孔、流出信认、流經(jīng)服務器的數(shù)據(jù)包進行精細的控制。iptables是Linux2.4及2.6內核中集成的模塊均抽。
在iptables中有四張表嫁赏，分別是filter、nat油挥、mangle和raw每一個表中都包含了各自不同的鏈潦蝇，最常用的是filter表：
- filter是iptables默認使用的表，負責對流入深寥、流出本機的數(shù)據(jù)包進行端口過濾攘乒，該表中定義了3個鏈：
  - INPOUT：負責過濾所有目標地址是本機地址的數(shù)據(jù)包，就是過濾進入主機的數(shù)據(jù)包惋鹅。
  - FORWARD：負責轉發(fā)流經(jīng)本機但不進入本機的數(shù)據(jù)包则酝，起到轉發(fā)的作用。
  - OUTPUT：負責處理所有源地址是本機地址的數(shù)據(jù)包闰集，就是處理從主機發(fā)出去的數(shù)據(jù)包沽讹。

二般卑、基本使用

防火墻狀態(tài)查看
```
service iptables status
```
防火墻的啟動，停止爽雄，重啟
```
service iptables start/stop/restart
```
查看iptables是否開機啟動
```
chkconfig iptables --list
```
設置iptables開機啟動/不啟動
```
chkconfig iptables on/off
```

二椭微、高級用法

查看防火墻規(guī)則
```
iptables -nvL --line-number
```
- -L：查看當前表的所有規(guī)則，默認查看的是filter表盲链，如果要查看NAT表蝇率，可以加上-t NAT參數(shù)
- -n：不對ip地址進行查，加上這個參數(shù)顯示速度會快很多
- -v：輸出詳細信息刽沾，包含通過該規(guī)則的數(shù)據(jù)包數(shù)量本慕，總字節(jié)數(shù)及相應的網(wǎng)絡接口
- --line-number：顯示規(guī)則的序列號，這個參數(shù)在刪除或修改規(guī)則時會用到
添加防火墻規(guī)則
- 添加ip過濾規(guī)則侧漓，如：
```
iptables -A INPUT -s <ip> -j DROP
```

后臺服務的自啟配置

chkconfig   # 查看所有服務器自啟配置
chkconfig iptables off   # 關掉指定服務的自動啟動
chkconfig iptables on   # 開啟指定服務的自動啟動

三锅尘、問題總結

提示：

iptables: No config file.                                  [WARNING]

網(wǎng)上有很多自己生成的，但是我還是有點不放心布蔗，因為對配置不是很熟悉藤违，于是裝了個虛擬機CentOS6.5，把默認配置拷貝到這里纵揍，只需要貼在vi /etc/sysconfig/iptables即可：

# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

重置iptables配置(沒有驗證)

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -t raw -F
iptables -t raw -X
iptables -t security -F
iptables -t security -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

四顿乒、IPTABLES 規(guī)則(Rules)

牢記以下三點式理解iptables規(guī)則的關鍵：

Rules包括一個條件和一個目標(target)
如果滿足條件，就執(zhí)行目標(target)中的規(guī)則或者特定值泽谨。
如果不滿足條件璧榄，就判斷下一條Rules。

target目標值（Target Values）

ACCEPT – 允許防火墻接收數(shù)據(jù)包
DROP – 防火墻丟棄包
QUEUE – 防火墻將數(shù)據(jù)包移交到用戶空間
RETURN – 防火墻停止執(zhí)行當前鏈中的后續(xù)Rules吧雹，并返回到調用鏈(the calling chain)中骨杂。

如果你執(zhí)行iptables --list你將看到防火墻上的可用規(guī)則。下例說明當前系統(tǒng)沒有定義防火墻雄卷，你可以看到搓蚪，它顯示了默認的filter表，以及表內默認的input鏈, forward鏈, output鏈丁鹉。

# iptables -t filter --list
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

查看mangle表：

iptables -t mangle --list

查看NAT表：

iptables -t nat --list

查看RAW表：

iptables -t raw --list

注意：如果不指定-t選項妒潭，就只會顯示默認的filter表。因此鳄炉，以下兩種命令形式是一個意思：

iptables -t filter --list

(or)

iptables --list

以下例子表明在filter表的input鏈, forward鏈, output鏈中存在規(guī)則：

iptables --list

Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 RH-Firewall-1-INPUT all -- 0.0.0.0/0 0.0.0.0/0

Chain FORWARD (policy ACCEPT)
num target prot opt source destination
1 RH-Firewall-1-INPUT all -- 0.0.0.0/0 0.0.0.0/0

Chain OUTPUT (policy ACCEPT)
num target prot opt source destination

Chain RH-Firewall-1-INPUT (2 references)
num target prot opt source destination
1 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
2 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 255
3 ACCEPT esp -- 0.0.0.0/0 0.0.0.0/0
4 ACCEPT ah -- 0.0.0.0/0 0.0.0.0/0
5 ACCEPT udp -- 0.0.0.0/0 224.0.0.251 udp dpt:5353
6 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:631
7 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:631
8 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
9 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
10 REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

以上輸出包含下列字段：

- num – 指定鏈中的規(guī)則編號
- target – 前面提到的target的特殊值
- prot – 協(xié)議：tcp, udp, icmp等
- source – 數(shù)據(jù)包的源IP地址
destination – 數(shù)據(jù)包的目標IP地址

三杜耙、清空所有iptables規(guī)則

在配置iptables之前，你通常需要用iptables --list命令或者iptables-save命令查看有無現(xiàn)存規(guī)則拂盯，因為有時需要刪除現(xiàn)有的iptables規(guī)則：

iptables --flush
或者
iptables -F
</pre>

這兩條命令是等效的佑女。但是并非執(zhí)行后就萬事大吉了。你仍然需要檢查規(guī)則是不是真的清空了，因為有的linux發(fā)行版上這個命令不會清除NAT表中的規(guī)則团驱，此時只能手動清除：

iptables -t NAT -F

四摸吠、永久生效

當你刪除、添加規(guī)則后嚎花，這些更改并不能永久生效寸痢，這些規(guī)則很有可能在系統(tǒng)重啟后恢復原樣。為了讓配置永久生效紊选，根據(jù)平臺的不同啼止，具體操作也不同。下面進行簡單介紹：

1.Ubuntu

首先兵罢，保存現(xiàn)有的規(guī)則：

iptables-save > /etc/iptables.rules

然后新建一個bash腳本献烦，并保存到<var style="box-sizing: border-box; outline: 0px; margin: 0px; padding: 0px; font-style: italic; word-wrap: break-word; border-width: 0px; vertical-align: baseline;">/etc/network/if-pre-up.d/</var>目錄下：

!/bin/bash

iptables-restore < /etc/iptables.rules

這樣，每次系統(tǒng)重啟后iptables規(guī)則都會被自動加載卖词。
/!\注意：不要嘗試在.bashrc或者.profile中執(zhí)行以上命令巩那，因為用戶通常不是root，而且這只能在登錄時加載iptables規(guī)則此蜈。

2.CentOS, RedHat

保存iptables規(guī)則

service iptables save

重啟iptables服務

service iptables stop
service iptables start

查看當前規(guī)則：
cat /etc/sysconfig/iptables

五即横、追加iptables規(guī)則

可以使用iptables -A命令追加新規(guī)則，其中-A表示Append裆赵。因此东囚，新的規(guī)則將追加到鏈尾。
一般而言顾瞪，最后一條規(guī)則用于丟棄(DROP)所有數(shù)據(jù)包舔庶。如果你已經(jīng)有這樣的規(guī)則了抛蚁，并且使用-A參數(shù)添加新規(guī)則陈醒，那么就是無用功。

1.語法

iptables -A chain firewall-rule

-A chain – 指定要追加規(guī)則的鏈
firewall-rule – 具體的規(guī)則參數(shù)

2.描述規(guī)則的基本參數(shù)

以下這些規(guī)則參數(shù)用于描述數(shù)據(jù)包的協(xié)議瞧甩、源地址钉跷、目的地址、允許經(jīng)過的網(wǎng)絡接口肚逸，以及如何處理這些數(shù)據(jù)包爷辙。這些描述是對規(guī)則的基本描述。

-p 協(xié)議（protocol）

指定規(guī)則的協(xié)議朦促，如tcp, udp, icmp等膝晾，可以使用all來指定所有協(xié)議。
如果不指定-p參數(shù)务冕，則默認是all值血当。這并不明智，請總是明確指定協(xié)議名稱。
可以使用協(xié)議名(如tcp)臊旭，或者是協(xié)議值（比如6代表tcp）來指定協(xié)議落恼。映射關系請查看<var style="box-sizing: border-box; outline: 0px; margin: 0px; padding: 0px; font-style: italic; word-wrap: break-word; border-width: 0px; vertical-align: baseline;">/etc/protocols</var>
還可以使用–protocol參數(shù)代替-p參數(shù)

-s 源地址（source）

指定數(shù)據(jù)包的源地址
參數(shù)可以使IP地址、網(wǎng)絡地址离熏、主機名
例如：-s 192.168.1.101指定IP地址
例如：-s 192.168.1.10/24指定網(wǎng)絡地址
如果不指定-s參數(shù)佳谦，就代表所有地址
還可以使用–src或者–source

-d 目的地址（destination）

指定目的地址
參數(shù)和-s相同
還可以使用–dst或者–destination

-j 執(zhí)行目標（jump to target）

-j代表”jump to target”
-j指定了當與規(guī)則(Rule)匹配時如何處理數(shù)據(jù)包
可能的值是ACCEPT, DROP, QUEUE, RETURN
還可以指定其他鏈（Chain）作為目標

-i 輸入接口（input interface）

-i代表輸入接口(input interface)
-i指定了要處理來自哪個接口的數(shù)據(jù)包
這些數(shù)據(jù)包即將進入INPUT, FORWARD, PREROUTE鏈
例如：-i eth0指定了要處理經(jīng)由eth0進入的數(shù)據(jù)包
如果不指定-i參數(shù)，那么將處理進入所有接口的數(shù)據(jù)包
如果出現(xiàn)! -i eth0滋戳，那么將處理所有經(jīng)由eth0以外的接口進入的數(shù)據(jù)包
如果出現(xiàn)-i eth+钻蔑，那么將處理所有經(jīng)由eth開頭的接口進入的數(shù)據(jù)包
還可以使用–in-interface參數(shù)

-o 輸出（out interface）

-o代表”output interface”
-o指定了數(shù)據(jù)包由哪個接口輸出
這些數(shù)據(jù)包即將進入FORWARD, OUTPUT, POSTROUTING鏈
如果不指定-o選項，那么系統(tǒng)上的所有接口都可以作為輸出接口
如果出現(xiàn)! -o eth0奸鸯，那么將從eth0以外的接口輸出
如果出現(xiàn)-i eth+矢棚，那么將僅從eth開頭的接口輸出
還可以使用–out-interface參數(shù)

3.描述規(guī)則的擴展參數(shù)

對規(guī)則有了一個基本描述之后，有時候我們還希望指定端口府喳、TCP標志蒲肋、ICMP類型等內容。

–sport 源端口（source port）針對 -p tcp 或者 -p udp

缺省情況下钝满，將匹配所有端口
可以指定端口號或者端口名稱兜粘，例如”–sport 22″與”–sport ssh”。
<var style="box-sizing: border-box; outline: 0px; margin: 0px; padding: 0px; font-style: italic; word-wrap: break-word; border-width: 0px; vertical-align: baseline;">/etc/services</var>文件描述了上述映射關系弯蚜。
從性能上講孔轴，使用端口號更好
使用冒號可以匹配端口范圍，如”–sport 22:100″
還可以使用”–source-port”

–-dport 目的端口（destination port）針對-p tcp 或者 -p udp

參數(shù)和–sport類似
還可以使用”–destination-port”

-–tcp-flags TCP標志針對-p tcp

可以指定由逗號分隔的多個參數(shù)
有效值可以是：SYN, ACK, FIN, RST, URG, PSH
可以使用ALL或者NONE

-–icmp-type ICMP類型針對-p icmp

–icmp-type 0 表示Echo Reply
–icmp-type 8 表示Echo

4.追加規(guī)則的完整實例：僅允許SSH服務

本例實現(xiàn)的規(guī)則將僅允許SSH數(shù)據(jù)包通過本地計算機碎捺，其他一切連接（包括ping）都將被拒絕路鹰。

1.清空所有iptables規(guī)則

iptables -F

2.接收目標端口為22的數(shù)據(jù)包

iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT

3.拒絕所有其他數(shù)據(jù)包

iptables -A INPUT -j DROP

六、更改默認策略

上例的例子僅對接收的數(shù)據(jù)包過濾收厨，而對于要發(fā)送出去的數(shù)據(jù)包卻沒有任何限制晋柱。本節(jié)主要介紹如何更改鏈策略，以改變鏈的行為诵叁。

1. 默認鏈策略

/!\警告：請勿在遠程連接的服務器雁竞、虛擬機上測試！
當我們使用-L選項驗證當前規(guī)則是發(fā)現(xiàn)拧额，所有的鏈旁邊都有policy ACCEPT標注碑诉，這表明當前鏈的默認策略為ACCEPT：

iptables -L

Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
DROP all -- anywhere anywhere

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

這種情況下，如果沒有明確添加DROP規(guī)則侥锦，那么默認情況下將采用ACCEPT策略進行過濾进栽。除非：
a)為以上三個鏈單獨添加DROP規(guī)則
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP
iptables -A FORWARD -j DROP

b)更改默認策略：

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

糟糕！恭垦！如果你嚴格按照上一節(jié)的例子配置了iptables快毛，并且現(xiàn)在使用的是SSH進行連接的盲厌，那么會話恐怕已經(jīng)被迫終止了！
為什么呢祸泪？因為我們已經(jīng)把OUTPUT鏈策略更改為DROP了吗浩。此時雖然服務器能接收數(shù)據(jù)，但是無法發(fā)送數(shù)據(jù)：

iptables -L

Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
DROP all -- anywhere anywhere

Chain FORWARD (policy DROP)
target prot opt source destination

Chain OUTPUT (policy DROP)
target prot opt source destination

七没隘、配置應用程序規(guī)則

盡管5.4節(jié)已經(jīng)介紹了如何初步限制除SSH以外的其他連接懂扼，但是那是在鏈默認策略為ACCEPT的情況下實現(xiàn)的，并且沒有對輸出數(shù)據(jù)包進行限制右蒲。本節(jié)在上一節(jié)基礎上阀湿，以SSH和HTTP所使用的端口為例，教大家如何在默認鏈策略為DROP的情況下瑰妄，進行防火墻設置陷嘴。在這里，我們將引進一種新的參數(shù)-m state间坐，并檢查數(shù)據(jù)包的狀態(tài)字段灾挨。

1.SSH

1.允許接收遠程主機的SSH請求

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

2.允許發(fā)送本地主機的SSH響應

iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

-m state: 啟用狀態(tài)匹配模塊（state matching module）
–-state: 狀態(tài)匹配模塊的參數(shù)。當SSH客戶端第一個數(shù)據(jù)包到達服務器時竹宋，狀態(tài)字段為NEW劳澄；建立連接后數(shù)據(jù)包的狀態(tài)字段都是ESTABLISHED
–sport 22: sshd監(jiān)聽22端口，同時也通過該端口和客戶端建立連接蜈七、傳送數(shù)據(jù)秒拔。因此對于SSH服務器而言，源端口就是22
–dport 22: ssh客戶端程序可以從本機的隨機端口與SSH服務器的22端口建立連接飒硅。因此對于SSH客戶端而言砂缩，目的端口就是22

如果服務器也需要使用SSH連接其他遠程主機，則還需要增加以下配置：

1.送出的數(shù)據(jù)包目的端口為22

iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

2.接收的數(shù)據(jù)包源端口為22

iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

2.HTTP

HTTP的配置與SSH類似：

1.允許接收遠程主機的HTTP請求

iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT

1.允許發(fā)送本地主機的HTTP響應

iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

3.完整的配置

1.刪除現(xiàn)有規(guī)則

iptables -F

2.配置默認鏈策略

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

3.允許遠程主機進行SSH連接

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

4.允許本地主機進行SSH連接

iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

5.允許HTTP請求

iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT</pre>

最后編輯于：2019.03.17 22:54:02

?著作權歸作者所有,轉載或內容合作請聯(lián)系作者

人面猴
序言：七十年代末三娩，一起剝皮案震驚了整個濱河市庵芭，隨后出現(xiàn)的幾起案子，更是在濱河造成了極大的恐慌尽棕，老刑警劉巖喳挑，帶你破解...
沈念sama閱讀 206,311評論 6贊 481
死咒
序言：濱河連續(xù)發(fā)生了三起死亡事件，死亡現(xiàn)場離奇詭異滔悉，居然都是意外死亡，警方通過查閱死者的電腦和手機单绑，發(fā)現(xiàn)死者居然都...
沈念sama閱讀 88,339評論 2贊 382
救了他兩次的神仙讓他今天三更去死
文/潘曉璐我一進店門回官，熙熙樓的掌柜王于貴愁眉苦臉地迎上來，“玉大人搂橙，你說我怎么就攤上這事歉提。” “怎么了？”我有些...
開封第一講書人閱讀 152,671評論 0贊 342
道士緝兇錄：失蹤的賣姜人
文/不壞的土叔我叫張陵苔巨，是天一觀的道長版扩。經(jīng)常有香客問我，道長侄泽，這世上最難降的妖魔是什么礁芦？我笑而不...
開封第一講書人閱讀 55,252評論 1贊 279
?港島之戀（遺憾婚禮）
正文為了忘掉前任，我火速辦了婚禮悼尾，結果婚禮上柿扣，老公的妹妹穿的比我還像新娘。我一直安慰自己闺魏，他們只是感情好未状，可當我...
茶點故事閱讀 64,253評論 5贊 371
惡毒庶女頂嫁案：這布局不是一般人想出來的
文/花漫我一把揭開白布。她就那樣靜靜地躺著析桥，像睡著了一般司草。火紅的嫁衣襯著肌膚如雪。梳的紋絲不亂的頭發(fā)上泡仗，一...
開封第一講書人閱讀 49,031評論 1贊 285
城市分裂傳說
那天翻伺，我揣著相機與錄音，去河邊找鬼沮焕。笑死吨岭，一個胖子當著我的面吹牛，可吹牛的內容都是我干的峦树。我是一名探鬼主播辣辫，決...
沈念sama閱讀 38,340評論 3贊 399
雙鴛鴦連環(huán)套：你想象不到人心有多黑
文/蒼蘭香墨我猛地睜開眼，長吁一口氣：“原來是場噩夢啊……” “哼魁巩！你這毒婦竟也來了急灭？” 一聲冷哼從身側響起，我...
開封第一講書人閱讀 36,973評論 0贊 259
萬榮殺人案實錄
序言：老撾萬榮一對情侶失蹤谷遂，失蹤者是張志新（化名）和其女友劉穎葬馋，沒想到半個月后，有當?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體肾扰，經(jīng)...
沈念sama閱讀 43,466評論 1贊 300
?護林員之死
正文獨居荒郊野嶺守林人離奇死亡畴嘶，尸身上長有42處帶血的膿包…… 初始之章·張勛以下內容為張勛視角年9月15日...
茶點故事閱讀 35,937評論 2贊 323
?白月光啟示錄
正文我和宋清朗相戀三年，在試婚紗的時候發(fā)現(xiàn)自己被綠了集晚。大學時的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片窗悯。...
茶點故事閱讀 38,039評論 1贊 333
活死人
序言：一個原本活蹦亂跳的男人離奇死亡，死狀恐怖偷拔，靈堂內的尸體忽然破棺而出蒋院，到底是詐尸還是另有隱情亏钩，我是刑警寧澤，帶...
沈念sama閱讀 33,701評論 4贊 323
?日本核電站爆炸內幕
正文年R本政府宣布姑丑，位于F島的核電站，受9級特大地震影響辞友，放射性物質發(fā)生泄漏栅哀。R本人自食惡果不足惜，卻給世界環(huán)境...
茶點故事閱讀 39,254評論 3贊 307
男人毒藥：我在死后第九天來索命
文/蒙蒙一踏枣、第九天我趴在偏房一處隱蔽的房頂上張望昌屉。院中可真熱鬧，春花似錦茵瀑、人聲如沸间驮。這莊子的主人今日做“春日...
開封第一講書人閱讀 30,259評論 0贊 19
一樁弒父案马昨，背后竟有這般陰謀
文/蒼蘭香墨我抬頭看了看天上的太陽竞帽。三九已至，卻和暖如春鸿捧，著一層夾襖步出監(jiān)牢的瞬間屹篓，已是汗流浹背。一陣腳步聲響...
開封第一講書人閱讀 31,485評論 1贊 262
情欲美人皮
我被黑心中介騙來泰國打工匙奴，沒想到剛下飛機就差點兒被人妖公主榨干…… 1. 我叫王不留堆巧，地道東北人。一個月前我還...
沈念sama閱讀 45,497評論 2贊 354
代替公主和親
正文我出身青樓泼菌，卻偏偏與公主長得像谍肤，于是被迫代替她去往敵國和親。傳聞我的和親對象是個殘疾皇子哗伯，可洞房花燭夜當晚...
茶點故事閱讀 42,786評論 2贊 345

Linux防火墻命令之 ~ iptables

一呀舔、簡介

二般卑、基本使用

二椭微、高級用法

三锅尘、問題總結

四顿乒、IPTABLES 規(guī)則(Rules)

iptables -t mangle --list

iptables -t nat --list

iptables -t raw --list

iptables -t filter --list

iptables --list

iptables --list

三杜耙、清空所有iptables規(guī)則

四摸吠、永久生效

1.Ubuntu

!/bin/bash

2.CentOS, RedHat

保存iptables規(guī)則

重啟iptables服務

五即横、追加iptables規(guī)則

1.語法

2.描述規(guī)則的基本參數(shù)

-p 協(xié)議（protocol）

-s 源地址（source）

-d 目的地址（destination）

-j 執(zhí)行目標（jump to target）

-i 輸入接口（input interface）

-o 輸出（out interface）

3.描述規(guī)則的擴展參數(shù)

–sport 源端口（source port）針對 -p tcp 或者 -p udp

–-dport 目的端口（destination port）針對-p tcp 或者 -p udp

-–tcp-flags TCP標志 針對-p tcp

-–icmp-type ICMP類型 針對-p icmp

4.追加規(guī)則的完整實例：僅允許SSH服務

1.清空所有iptables規(guī)則

2.接收目標端口為22的數(shù)據(jù)包

3.拒絕所有其他數(shù)據(jù)包

六、更改默認策略

1. 默認鏈策略

iptables -L

iptables -L

七没隘、配置應用程序規(guī)則

1.SSH

1.允許接收遠程主機的SSH請求

2.允許發(fā)送本地主機的SSH響應

1.送出的數(shù)據(jù)包目的端口為22

2.接收的數(shù)據(jù)包源端口為22

2.HTTP

1.允許接收遠程主機的HTTP請求

1.允許發(fā)送本地主機的HTTP響應

3.完整的配置

1.刪除現(xiàn)有規(guī)則

2.配置默認鏈策略

3.允許遠程主機進行SSH連接

4.允許本地主機進行SSH連接

5.允許HTTP請求

推薦閱讀更多精彩內容

-–tcp-flags TCP標志針對-p tcp

-–icmp-type ICMP類型針對-p icmp