行业资讯

Linux设置防火墙iptables

Linux设置防火墙iptables【艾娜】

查看防火墙规则:iptables -L -n

序号 CPU 内存 硬盘 宽带 IP 售价 免费试用
美国站群1 E5-2620 32G 1T HDD 100M/不限流量 5+125 $182.26 USD 申请试用
美国站群2 E5-2620*2 32G 1T HDD 100M/不限流量 5+253 $231.96 USD 申请试用
美国站群3 E5-2620 32G 1T HDD 100M/不限流量 5+253 $198.82 USD 申请试用
美国站群4 E5-2650*2 32G 1T HDD 100M/不限流量 5+253 $298.22 USD 申请试用
美国站群5 E5-2680*2 32G 1T HDD 100M/不限流量 5+253 $397.62 USD 申请试用
美国站群5 E5-2680v4*2 32G 1T HDD 100M/不限流量 5+253 $662.72 USD 申请试用
美国站群7 E5-2697*2 32G 1T HDD 100M/不限流量 5+253 $497.04 USD 申请试用

添加防火墙规则:vi /etc/sysconfig/iptables

打开防火墙:systemctl start iptables.service

关闭防火墙:systemctl stop iptables.service

重启防火墙:systemctl restart iptables

语法

iptables [-t 表] [操作命令] [链] [规则号码] [匹配条件] [-j 匹配动作]

filter:确定是否放行该数据包(过滤)

nat:修改数据包中的源、目标地址或端口

mangle:为数据包设置标记

raw:确实是否对该数据包进行状态跟踪

security:是否定义强制访问控制规则

INPUT: 处理入站数据包

OUTPUT:处理出站数据包

FORWARD: 处理转发数据包

PREROUTING:在进行路由选择前处理数据包

POSTROUTING:在进行路由选择后处理数据包

操作命令

-A <链名> (APPEND,追加一条规则并放到最后)

iptables -t filter -A INPUT -j DROP

在 filter 表的INPUT链里追加一条规则作为最后一条规则,匹配所有访问本机IP 的数据包,匹配到的丢弃。

-I <链名> [规则号码] (INSERT,插入一条规则)

iptables -I INPUT -j DROP

在 filter 表的INPUT链里插入一条规则(插入成第 1条)

iptables -I INPUT 3 -j DROP

在 filter 表的INPUT链里插入一条规则(插入成第 3条)

【注意: -t filter可不写,不写则自动默认是 filter 表;-I链名 [规则号码],如果不写规则号码,则默认是1;确保规则号码 ≤(已有规则数 + 1),否则报错】

-D <链名> <规则号码 |具体规则内容> (DELETE,删除一条规则)

iptables -D INPUT 3(按号码匹配)

删除filter 表INPUT链中的第三条规则

iptables -D INPUT -s 192.168.0.1 -j DROP(按内容匹配)

删除filter 表INPUT链中内容为“-s 192.168.0.1 -j DROP”的规则

【注意:若规则列表中有多条相同的规则时,按内容匹配只删除序号最小的一条;按号码匹配删除时,确保规则号码 ≤ 已有规则数,否则报错;按内容匹配删除时,确保规则存在,否则报错】

-R <链名> <规则号码> <具体规则内容> (REPLACE,替换一条规则)

iptables -R INPUT 3 -j ACCEPT

将原来编号为3 的规则内容替换为“-j ACCEPT”

【注意:确保规则号码 ≤ 已有规则数,否则报错】

-P <链名> <动作> (POLICY,设置某个链的默认规则)

iptables -P INPUT DROP

设置 filter 表INPUT链的默认规则是 DROP

【当数据包没有被规则列表里的任何规则匹配到时,按此默认规则处理。动作前面不能加–j,这也是唯一一种匹配动作前面不加–j的情况】

-F [链名] (FLUSH,清空规则)

iptables -F INPUT

清空 filter 表INPUT链中的所有规则

iptables -t nat -F PREROUTING

清空 nat 表PREROUTING 链中的所有规则

【注意:-F仅仅是清空链中规则,并不影响 -P设置的默认规则;-P设置了 DROP后,使用 -F一定要小心;如果不写链名,默认清空某表里所有链里的所有规则】

-L <链名> (LIST,列出规则)

v:显示详细信息,包括每条规则的匹配包数量和匹配字节数

x:在v 的基础上,禁止自动单位换算(K、M)

n:只显示IP 地址和端口号码,不显示域名和服务名称

iptables -L

粗略列出 filter 表所有链及所有规则

iptables -t nat-vnL

用详细方式列出nat表所有链的所有规则,只显示 IP地址和端口号

iptables -t nat-vxnLPREROUTING

用详细方式列出nat表 PREROUTING 链的所有规则以及详细数字

匹配条件

-i <匹配数据进入的网络接口>

-i eth0 匹配是否从网络接口eth0 进来

-i ppp0 匹配是否从网络接口ppp0 进来

-o <匹配数据流出的网络接口>

-o eth0

-o ppp0

-s <匹配来源地址>可以是 IP、NET、DOMAIN,也可空(任何地址)

-s 192.168.0.1匹配来自 192.168.0.1的数据包

-s 192.168.1.0/24匹配来自 192.168.1.0/24网络的数据包

-s 192.168.0.0/16匹配来自 192.168.0.0/16网络的数据包

-d <匹配目的地址> 可以是 IP、NET、DOMAIN,也可以空

-d 202.106.0.20匹配去往 202.106.0.20的数据包

-d 202.106.0.0/16匹配去往 202.106.0.0/16网络的数据包

-d www.abc.com匹配去往域名 www.abc.com的数据包

-p <匹配协议类型> 可以是 TCP、UDP、ICMP等,也可为空

-p tcp

-p udp

--sport <匹配源端口> 可以是个别端口,可以是端口范围

--sport 1000 匹配源端口是1000 的数据包

--sport 1000:3000 匹配源端口是 1000-3000的数据包(含1000、3000)

--sport :3000 匹配源端口是3000 以下的数据包(含3000)

--sport 1000: 匹配源端口是1000 以上的数据包(含1000)

--dport <匹配目的端口> 可以是个别端口,可以是端口范围

--dport 80 匹配源端口是80 的数据包

--dport 6000:8000 匹配源端口是6000-8000 的数据包(含6000、8000)

--dport :3000 匹配源端口是3000 以下的数据包(含3000)

--dport 1000: 匹配源端口是1000 以上的数据包(含1000)

【注意:--sport 和 --dport 必须配合 -p 参数使用】

动作

-j ACCEPT 通过,允许数据包通过本链而不拦截它

iptables -A INPUT -j ACCEPT

允许所有访问本机 IP的数据包通过

-j DROP 丢弃,阻止数据包通过本链而丢弃它

iptables -A FORWARD -s 192.168.80.39 -j DROP

阻止来源地址为 192.168.80.39的数据包通过本机

-j DNAT --to IP(nat 表的PREROUTING链)

目的地址转换,DNAT 支持转换为单IP,也支持转换到一组连续的IP 地址

iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 -j DNAT --to 192.168.0.1

把从 ppp0进来的要访问 TCP/80的数据包目的地址改为 192.168.0.1

-j SNAT --to IP(nat 表的POSTROUTING 链)

源地址转换,SNAT 支持转换为单IP,也支持转换一组连续的IP 地址

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to 1.1.1.1

将内网 192.168.0.0/24的源地址修改为 1.1.1.1

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to 1.1.1.1-1.1.1.10

将内网 192.168.0.0/24的源地址修改为一个地址池里的 IP

-j MASQUERADE 动态源地址转换(动态 IP的情况下使用)

iptables -t nat -APOSTROUTING -s 192.168.0.0/24 -j MASQUERADE

将源地址是 192.168.0.0/24的数据包进行地址伪装

附加模块

-m state --state <状态>

状态:NEW、RELATED、ESTABLISHED、INVALID

NEW:新连接请求

ESTABLISHED:已建立的连接

RELATED:相关联的连接,当前连接是一个新请求,但附属于某个已存在的连接

INVALID:无法识别的连接

UNTRACKED:未追踪的连接

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

-m mac --mac-source MAC 匹配某个 MAC地址

iptables -A FORWARD -m --mac-source xx:xx:xx:xx:xx:xx -j DROPs

阻断来自某MAC 地址的数据包通过本机

【注意:报文经过路由后,数据包中原有的mac 信息会被替换,所以在路由后的iptables中使用 mac模块是没有意义的】

-m limit --limit <匹配速率>用一定速率去匹配数据包

iptables -A FORWARD -d 192.168.0.1 -m limit --limit 50/s -j ACCEPT

iptables -A FORWARD -d 192.168.0.1 -j DROP

【注意:limit英语上看是限制的意思,但实际上只是按一定速率去匹配而已,要想限制的话后面要再跟一条DROP】

-m multiport <--sports|--dports|--ports> 端口1[,端口2,..,端口n]

一次性匹配多个端口,可以区分源端口,目的端口或不指定端口

iptables -A INPUT -p tcp -m multiport --dports 21,22,25,80,110 -j ACCEPT

【注意:必须与 -p参数一起使用】

所有链名必须大写

INPUT/OUTPUT/FORWARD/PREROUTING/POSTROUTING

所有表名必须小写

filter/nat/mangle

所有动作必须大写

ACCEPT/DROP/SNAT/DNAT/MASQUERADE

所有匹配必须小写

-s/-d/-m /-p

-------------------------------

新上的美国站群服务器8C 现货 限量特价 速定! cn2限量一人3台E5 16G 1T 8C 232IPE5*2 32G 1T 8C 232IPE5*2 32G 2T 8C 232IPE5*2 32G 3T 8C 232IP美国站群服务器 特价Telegram(电报):@Ammkiss

上一篇: centos7安装Nginx

帮助中心

  • 24H在线
  • Tg纸飞机