iptables -F
iptables -X
iptables -F -t mangle
iptables -t mangle -X
iptables -F -t nat
iptables -t nat -X
首先，把三個(gè)表清空衣撬，把自建的規(guī)則清空菩鲜。

iptables -P INPUT DROP  
iptables -P OUTPUT DROP  
iptables -P FORWARD ACCEPT  

設(shè)定INPUT、OUTPUT 的默認(rèn)策略為DROP，F(xiàn)ORWARD 為ACCEPT缕坎。

iptables -A INPUT -i lo -j ACCEPT  
iptables -A OUTPUT -o lo -j ACCEPT  

先把“回環(huán)”打開(kāi)，以免有不必要的麻煩。

iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j ACCEPT  
iptables -A OUTPUT -o eth+ -p icmp --icmp-type 0 -j ACCEPT 

在所有網(wǎng)卡上打開(kāi)ping 功能郊丛，便于維護(hù)和檢測(cè)。

iptables -A INPUT -i eth0 -s 192.168.100.250 -d 192.168.100.1 -p tcp --dport 22 –j ACCEPT 
 
iptables -A OUTPUT -o eth0 -d 192.168.100.250 -s 192.168.100.1 -p tcp --sport 22 -jACCEPT  

打開(kāi)22端口瞧筛，允許遠(yuǎn)程管理厉熟。（設(shè)定了很多的附加條件：管理機(jī)器IP必須是250，并且必須從eth0網(wǎng)卡進(jìn)入）

iptables -A INPUT -i eth0 -s 192.168.100.0/24 -p tcp --dport 3128 -m state –state NEW,ESTABLISHED-j ACCEPT 
 
iptables -A OUTPUT -o eth0 -d 192.168.100.0/24 -p tcp --sport 3128 -m state --stateESTABLISHED -j ACCEPT  

iptables -A INPUT -i eth1 -s 192.168.168.0/24 -p tcp --dport 3128 -m state –state NEW,ESTABLISHED -j ACCEPT 
 
iptables-A OUTPUT -o eth1 -d 192.168.168.0/24 -p tcp --sport 3128 -m state --stateESTABLISHED -j ACCEPT  

iptables -A INPUT -i eth2 -p tcp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT  

iptables-A OUTPUT -o eth2 -p tcp --sport 32768:61000 -m state --state NEW,ESTABLISHED -j ACCEPT  

iptables-A OUTPUT -o eth2 -p udp --dport 53 -j ACCEPT
  
iptables-A INPUT -i eth2 -p udp --sport 53 -j ACCEPT  

上面這幾句是比較頭痛的较幌，我做逐一解釋：

iptables-A INPUT -i eth0 -s 192.168.100.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPT  

允許192.168.100.0/24網(wǎng)段的機(jī)器發(fā)送數(shù)據(jù)包從eth0網(wǎng)卡進(jìn)入揍瑟。如果數(shù)據(jù)包是tcp協(xié)議，而且目的端口是3128（因?yàn)镽EDIRECT 已經(jīng)把80改為3128 了乍炉，nat表的PREROUTING是在filter表的INPUT前面的）的绢片，再而且，數(shù)據(jù)包的狀態(tài)必須是NEW或者ESTABLISHED的（NEW代表tcp三段式握手的“第一握”岛琼，換句話說(shuō)就是底循，允許客戶端機(jī)器向服務(wù)器發(fā)出鏈接申請(qǐng)。ESTABLISHED表示通過(guò)握手已經(jīng)建立起鏈接）槐瑞，通過(guò)熙涤。

iptables-A OUTPUT -o eth2 -p tcp --sport 32768:61000 -m state --state NEW,ESTABLISHED -j ACCEPT  

我們先來(lái)看這一句。現(xiàn)在你的數(shù)據(jù)包已經(jīng)進(jìn)入到Linux服務(wù)器防火墻上來(lái)了困檩。squid需要代替你去訪問(wèn)祠挫，所以這時(shí)，服務(wù)器就成了客戶端的角色悼沿，所以它要使用32768到61000的私有端口進(jìn)行訪問(wèn)茸歧。（大家會(huì)奇怪應(yīng)該是1024到65535吧。其實(shí)CentOS版的linux所定義的私有端口是32768到61000的显沈，你可以通過(guò)cat/proc/sys/net/ipv4/ip_local_port_range软瞎，查看一下。）再次聲明：這里是squid以客戶端的身份去訪問(wèn)其他的服務(wù)器拉讯，所以這里的源端口是32768:61000涤浇，而不是3128！

iptables-A INPUT -i eth2 -p tcp --dport 32768:61000 -m state –state ESTABLISHED -j ACCEPT  

當(dāng)然了魔慷，數(shù)據(jù)有去就有回只锭。

iptables-A OUTPUT -o eth0 -d 192.168.100.0/24 -p tcp --sport 3128 -m state --stateESTABLISHED -j ACCEPT  

數(shù)據(jù)包還得通過(guò)服務(wù)器，轉(zhuǎn)到內(nèi)網(wǎng)網(wǎng)卡上院尔。請(qǐng)注意蜻展，這里喉誊，是squid幫你去訪問(wèn)了你想要訪問(wèn)的網(wǎng)站。所以在內(nèi)網(wǎng)中纵顾，你的機(jī)器是客戶端角色伍茄，而squid是服務(wù)器角色。這與剛才對(duì)外訪問(wèn)的過(guò)程是不同的施逾。所以在這里敷矫，源端口是3128，而不是32768:61000汉额。

iptables-A OUTPUT -o eth2 -p udp --dport 53 -j ACCEPT  
iptables-A INPUT -i eth2 -p udp --sport 53 -j ACCEPT  

當(dāng)然曹仗，DNS 是不可缺少的。

iptables-A INPUT -i eth+ -p tcp --dport 80 -j LOG --log-prefix "iptables_80_alert"--log-level info  

iptables-A INPUT -i eth+ -p tcp --dport 21 -j LOG --log-prefix"iptables_21_alert" --log-level info 
 
iptables-A INPUT -i eth+ -p tcp --dport 22 -j LOG --log-prefix"iptables_22_alert" --log-level info  

iptables-A INPUT -i eth+ -p tcp --dport 25 -j LOG --log-prefix"iptables_25_alert" --log-level info 
 
iptables-A INPUT -i eth+ -p icmp --icmp-type 8 -j LOG --log-prefix "iptables_icmp8_alert"--log-level info  

當(dāng)然了蠕搜，來(lái)點(diǎn)日志記錄會(huì)對(duì)網(wǎng)管員有所幫助怎茫。

iptables 基本命令使用舉例

一、鏈的基本操作

1妓灌、清除所有的規(guī)則：

1）清除預(yù)設(shè)表filter 中所有規(guī)則鏈中的規(guī)則：

# iptables -F  

2）清除預(yù)設(shè)表filter 中使用者自定鏈中的規(guī)則：

#iptables -X  
#iptables -Z  

2遭居、設(shè)置鏈的默認(rèn)策略。一般有兩種方法：

1）首先允許所有的包旬渠，然后再禁止有危險(xiǎn)的包通過(guò)放火墻：

#iptables -P INPUT ACCEPT  
#iptables -P OUTPUT ACCEPT  
#iptables -P FORWARD ACCEPT  

2）首先禁止所有的包，然后根據(jù)需要的服務(wù)允許特定的包通過(guò)防火墻：

#iptables -P INPUT DROP  
#iptables -P OUTPUT DROP  
#iptables -P FORWARD DROP  

3端壳、列出表/鏈中的所有規(guī)則告丢。默認(rèn)只列出filter 表：

#iptables -L  

4、向鏈中添加規(guī)則损谦。下面的語(yǔ)句用于開(kāi)放網(wǎng)絡(luò)接口：

#iptables -A INPUT -i lo -j ACCEPT  
#iptables -A OUTPUT -o lo -j ACCEPT  
#iptables -A INPUT -i eth0 -j ACEPT  
#iptables -A OUTPUT -o eth1 -j ACCEPT  
#iptables -A FORWARD -i eth1 -j ACCEPT  
#iptables -A FORWARD -0 eth1 -j ACCEPT  

注意:由于本地進(jìn)程不會(huì)經(jīng)過(guò)FORWARD鏈岖免，因此回環(huán)接口lo只在INPUT和OUTPUT兩個(gè)鏈上作用。

5照捡、使用者自定義鏈：

#iptables -N custom  
#iptables -A custom -s 0/0 -d 0/0 -p icmp -j DROP  
#iptables -A INPUT -s 0/0 -d 0/0 -j DROP  

二颅湘、設(shè)置基本的規(guī)則匹配

1、指定協(xié)議匹配

1）匹配指定協(xié)議：*

#iptables -A INPUT -p tcp  

2）匹配指定協(xié)議之外的所有協(xié)議：

#iptables -A INPUT -p !tcp  

2栗精、指定地址匹配

1）指定匹配的主機(jī)：

#iptables -A INPUT -s 192.168.0.18  

2）指定匹配的網(wǎng)絡(luò)：

#iptables -A INPUT -s 192.168.2.0/24  

3）匹配指定主機(jī)之外的地址：

#iptables -A FORWARD -s !192.168.0.19  

4）匹配指定網(wǎng)絡(luò)之外的網(wǎng)絡(luò)：

#iptables -A FORWARD -s ! 192.168.3.0/24 

3闯参、指定網(wǎng)絡(luò)接口匹配。

1）指定單一的網(wǎng)絡(luò)接口匹配

#iptables -A INPUT -i eth0  
#iptables -A FORWARD -o eth0  

2）指定同類型的網(wǎng)絡(luò)接口匹配

#iptables -A FORWARD -o ppp+  

4悲立、指定端口匹配

1）指定單一端口匹配鹿寨。

#iptables -A INPUT -p tcp --sport www  
#iptables -A INPUT -p udp –dport 53  

2）匹配指定端口之外的端口。

#iptables -A INPUT -p tcp –dport !22  

3）匹配端口范圍薪夕。

#iptables -A INPUT -p tcp –sport 22:80  

4）匹配ICMP 端口和ICMP類型脚草。

#iptables -A INOUT -p icmp –icimp-type 8  

5）指定ip 碎片。

每個(gè)網(wǎng)絡(luò)接口都有一個(gè)MTU（最大傳輸單元）原献，這個(gè)參數(shù)定義了可以通過(guò)的數(shù)據(jù)包的最大尺寸馏慨。如果一個(gè)數(shù)據(jù)包大于這個(gè)參數(shù)值時(shí)埂淮，系統(tǒng)會(huì)將其劃分成更小的數(shù)據(jù)包（稱為ip碎片）來(lái)傳輸，而接受方則對(duì)這些ip 碎片再進(jìn)行重組以還原整個(gè)包写隶。這樣會(huì)導(dǎo)致一個(gè)問(wèn)題：當(dāng)系統(tǒng)將大數(shù)據(jù)包劃分成ip碎片傳輸時(shí)倔撞，第一個(gè)碎片含有完整的包頭信息（IP+TCP、UDP和ICMP）樟澜，但是后續(xù)的碎片只有包頭的部分信息（如源地址误窖、目的地址）。因此秩贰，檢查后面的ip 碎片的頭部（象有TCP霹俺、UDP和ICMP一樣）是不可能的。假如有這樣的一條規(guī)則：

#iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d192.168.2.100 –dport 80 -j ACCEPT  

并且這時(shí)的FORWARD 的policy為DROP時(shí)毒费，系統(tǒng)只會(huì)讓第一個(gè)ip碎片通過(guò)丙唧，而余下的碎片因?yàn)榘^信息不完整而無(wú)法通過(guò)∶俨＃可以通過(guò)—fragment/-f 選項(xiàng)來(lái)指定第二個(gè)及以后的ip 碎片解決上述問(wèn)題想际。

#iptables -A FORWARD -f -s 192.168.1.0/24 -d192.168.2.100 -j ACCEPT  

注意現(xiàn)在有許多進(jìn)行ip 碎片攻擊的實(shí)例，如DoS攻擊溪厘，因此允許ip碎片通過(guò)是有安全隱患的胡本，對(duì)于這一點(diǎn)可以采用iptables 的匹配擴(kuò)展來(lái)進(jìn)行限制。

三畸悬、設(shè)置擴(kuò)展的規(guī)則匹配（舉例已忽略目標(biāo)動(dòng)作）

1侧甫、多端口匹配

1）匹配多個(gè)源端口：

#iptables -A INPUT -p tcp -m multiport –sport22,53,80,110 

2）匹配多個(gè)目的端口。

#iptables -A INPUT -p tcp -m multiport –dpoort 22,53,80 

3）匹配多端口(無(wú)論是源端口還是目的端口）

#iptables -A INPUT -p tcp -m multiport –port 22,53,80,110  

2蹋宦、指定TCP 匹配擴(kuò)展

使用–tcp-flags 選項(xiàng)可以根據(jù)tcp包的標(biāo)志位進(jìn)行過(guò)濾披粟。

#iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN  
#iptables -A FROWARD -p tcp –tcp-flags ALL SYN,ACK 

上實(shí)例中第一個(gè)表示SYN、ACK冷冗、FIN的標(biāo)志都檢查守屉，但是只有SYN 匹配。第二個(gè)表示ALL（SYN蒿辙，ACK拇泛，F(xiàn)IN，RST思灌，URG碰镜，PSH）的標(biāo)志都檢查，但是只有設(shè)置了SYN 和ACK 的匹配习瑰。

#iptables -A FORWARD -p tcp --syn  

選項(xiàng)—syn 相當(dāng)于”--tcp-flagsSYN,RST,ACK SYN”的簡(jiǎn)寫(xiě)绪颖。

3、limit 速率匹配擴(kuò)展

1）指定單位時(shí)間內(nèi)允許通過(guò)的數(shù)據(jù)包個(gè)數(shù)，單位時(shí)間可以是/second柠横、/minute窃款、/hour、/day或使用第一個(gè)子母牍氛。

#iptables -A INPUT -m limit --limit 300/hour  

2 )指定觸發(fā)事件的閥值晨继。

#iptables -A INPUT -m limit –limit-burst 10  

用來(lái)比對(duì)一次同時(shí)涌入的封包是否超過(guò)10個(gè)，超過(guò)此上限的包將直接丟棄搬俊。

3）同時(shí)指定速率限制和觸發(fā)閥值紊扬。

#iptables -A INPUT -p icmp -m limit –-limit 3/m–limit-burst 3  

表示每分鐘允許的最大包數(shù)量為限制速率（本例為3）加上當(dāng)前的觸發(fā)閥值burst數(shù)。任何情況下唉擂，都可保證3 個(gè)數(shù)據(jù)包通過(guò)餐屎，觸發(fā)閥值burst相當(dāng)于允許額外的包數(shù)量。

4）基于狀態(tài)的匹配擴(kuò)展（連接跟蹤）

每個(gè)網(wǎng)絡(luò)連接包括以下信息：源地址玩祟、目標(biāo)地址腹缩、源端口、目的端口空扎，稱為套接字對(duì)（socketpairs）藏鹊；協(xié)議類型、連接狀態(tài)（TCP 協(xié)議）

和超時(shí)時(shí)間等转锈。防火墻把這些信息稱為狀態(tài)（stateful）盘寡。狀態(tài)包過(guò)濾防火墻能在內(nèi)存中維護(hù)一個(gè)跟蹤狀態(tài)的表，比簡(jiǎn)單包過(guò)濾防火墻具有更大的安全性撮慨，命令格式如下：

iptables -m state –-state [!]state [,state,state,state]  

其中竿痰，state 表是一個(gè)逗號(hào)分割的列表，用來(lái)指定連接狀態(tài)甫煞，4 種：

• NEW: 該包想要開(kāi)始一個(gè)新的連接（重新連接或連接重定向）

• RELATED:該包是屬于某個(gè)已經(jīng)建立的連接所建立的新連接。舉例：

FTP 的數(shù)據(jù)傳輸連接和控制連接之間就是RELATED關(guān)系冠绢。

• ESTABLISHED：該包屬于某個(gè)已經(jīng)建立的連接抚吠。

• INVALID:該包不匹配于任何連接，通常這些包被DROP弟胀。

例如：

（1）在INPUT鏈添加一條規(guī)則楷力，匹配已經(jīng)建立的連接或由已經(jīng)建立的連接所建立的新連接。即匹配所有的TCP 回應(yīng)包孵户。

#iptables -A INPUT -m state –state RELATED,ESTABLISHED 

（2）在INPUT鏈鏈添加一條規(guī)則萧朝，匹配所有從非eth0 接口來(lái)的連接請(qǐng)求包。

#iptables -A INPUT -m state -–state NEW -i !eth0  

又如夏哭，對(duì)于ftp 連接可以使用下面的連接跟蹤：

（1）被動(dòng)（Passive）ftp連接模式检柬。

#iptables -A INPUT -p tcp --sport 1024: --dport 1024: -mstate –-state ESTABLISHED –j ACCEPT  

#iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -mstate -–state ESTABLISHED,RELATED -j ACCEPT

（2）主動(dòng)（Active）ftp連接模式

#iptables -A INNPUT -p tcp --sport 20 -m state –-stateESTABLISHED,RELATED -j ACCEPT 
 
#iptables -A OUTPUT -p tcp –OUTPUT -p tcp –dport 20 -mstate --state ESTABLISHED –j ACCEPT