喵喵爱编程

这个屌丝很懒，什么也没留下！

热门标签

Linux 防火墙IPTABLES规则配置文档_iptables文档

作者：喵喵爱编程 | 2024-07-28 05:28:28

踩

iptables文档

Linux 防火墙IPTABLES规则配置文档

时间	2019/06/25
笔者	一只会飞的小猴子
说明	更新中...

1模板：

iptables的模板：

Iptables -t {filter,nat} -{A,I,D} {INPUT,FORWORD,OUTPUT} {n} -p {tcp,udp,icmp} {!} -s {192.169.0.1, 192.168.0.0/24,不写代表所有} -d {不写代表防火墙自身} --sport m:n --dport x:y -j {ACCEPT, DROP, REJECT , POSTROUTING , PREROUTING, LOG}

2 规则表

2.1定义

表的作用：容纳各种规则链

表的划分依据：防火墙规则的作用相似

默认包括4个规则表

raw表：确定是否对该数据包进行状态跟踪

mangle表：为数据包设置标记

nat表：修改数据包中的源、目标IP地址或端口

filter表：确定是否放行该数据包（过滤）

常用的就是其中filter表nat表多用于实现ip的转化功能，这里的表功能个人感觉相当于链下面的表功能，每种链都存在这四种表

2.2优先级

raw>mangle>nat>filter

规则链之间的默认优先级

入站：PREROUTING>INPUT

出站：OUTPUT>POSTROUTING

转发：PREROUTING>FORWARD>POSTROUTING

规则链内的匹配顺序

按顺序依次检查，匹配即停止（LOG策略例外）

若找不到相匹配的规则，则按该链的默认策略处理，这跟路由转发还是有点区别的

3 常用命令说明

命令	说明	试图
iptables -L -n	查看本机iptables的设置情况（右边图是没有启动防火墙）
iptables -F	清除预设表filter中的所有规则链的规则
iptables -X	清除预设表 filter中的使用者自定链中的规则
/etc/rc.d/init.d/iptables save	保存（需要重启才生效）
service iptables restart	重启
iptables -D	将指定的链中删除规则
iptables -P	修改链的默认设置，如将iptables -P INPUT DROP (将INPUT链设置为DROP)
iptables -t nat -L	列出所有NAT链中所有规则
/etc/sysconfig/iptables	文件配置地址（命令执行需要保存并重启才成功）

4 参数说明

--dport	指定目标TCP/IP端口如 –dport 80
--sport	指定源TCP/IP端口如 –sport 80
-p tcp	指定协议为tcp
-p icmp	指定协议为ICMP
-p udp	指定协议为UDP
-j DROP	拒绝
-j ACCEPT	允许
-j REJECT	拒绝并向发出消息的计算机发一个消息
-j LOG	在/var/log/messages中登记分组匹配的记录
-m mac –mac	绑定MAC地址
-m limit –limit 1/s 1/m	设置时间策列
-s 10.10.0.0或10.10.0.0/16	指定源地址或地址段
-d 10.10.0.0或10.10.0.0/16	指定目标地址或地址段
-s ! 10.10.0.0	指定源地址以外的

5 设定预设规则

iptables -P INPUT DROP	预设input规则，超出则放弃控制流入数据（但是执行此命令会导致SSH远程断开，需要配置规则，无需执行此命令）
iptables -P OUTPUT ACCEPT	预设output规则，全部接受
iptables -P FORWARD DROP	同理转发规则

6 添加FILter规则

首先添加input链，上述默认预设规则是drop，所以需要添加规则使SSH远程可以登录

iptables -A INPUT -p tcp --dport 22 -j ACCEPT	远程SSH连接端口开启22端口（具体端口依据实际情况）
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT	如果预设output规则设置drop 需要设置此规则（具体端口依据实际情况）
iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT	如果web服务器，output设置drop，同样需要添加一条链（具体端口依据实际情况）
iptables -A INPUT -p tcp --dport 80 -j ACCEPT	同理需要web服务器，input设置drop，需要开启端口 80链（具体端口依据实际情况）
iptables -A INPUT -p tcp --dport 110 -j ACCEPT iptables -A INPUT -p tcp --dport 25 -j ACCEPT	开启邮件服务器，开启 25、110 端口链（具体端口依据实际情况）
iptables -A INPUT -p tcp --dport 21 -j ACCEPT iptables -A INPUT -p tcp --dport 20 -j ACCEPT	开启FTP服务器，（具体端口依据实际情况）
iptables -A INPUT -p tcp --dport 53 -j ACCEPT	开启DNS服务器，（具体端口依据实际情况）
iptables -A OUTPUT -p icmp -j ACCEPT iptables -A INPUT -p icmp -j ACCEPT	运行icmp包通过（ping）
iptables -A OUTPUT -o lo -p all -j ACCEPT iptables -A INPUT -i lo -p all-j ACCEPT	允许loopback 不然会导致DNS无法正常关闭
iptables -A OUTPUT -p tcp --sport 9990-j DROP	如果output链规则是accept，则需要关闭对于的端口号，防止有些病毒利用此端口
iptables -A INPUT -p tcp --dport 9090-j DROP	如果input链规则是accept，则需要关闭对于的端口号，防止有些病毒利用此端口
iptables -A INPUT -s 192.168.0.1 -p tcp --dport 22 -j ACCEPT	允许固定ip机器进行SSH连接(!191.168.0.1 表示除此IP外)
iptables -A INPUT -s 192.168.0.0/24 -p tcp --dport 22 -j ACCEPT	允许 192.168.0.1-255 端的所有ip（删除/ect/sysconfig/iptables 里的其中一行 -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT）
Iptables -A FORWORD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT Iptables -A FORWORD -i eth1 -o eth0 -j ACCEPT	在NAT时 FORWORD 规则是DROP我们需要开启转发功能
Iptables -A FORWORD -p TCP ! --syn -m state --state NEW -j DROP	丢弃坏的TCP包
Iptables -A FORWORD -f -m limit 100/s --limit-burst 100 -j ACCEPT	处理ip碎片数量，防止攻击，允许每秒100个
Iptables -A FORWORD -p icmp -m limit 1/s --limit-burst 10 -j ACCEPT	设置icmp包过滤，允许每秒1个包，限制触发条件10个包
iptables -A INPUT -m state --state INVALID -j DROP iptables -A OUTPUT -m state --state INVALID -j DROP iptables -A FORWARD -m state --state INVALID -j DROP	DROP非法连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT	对进来的包的状态进行检测。已经建立tcp连接的包以及该连接相关的包允许通过！
iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT	允许本地环回接口在INPUT表的所有数据通信
iptables -A INPUT -j REJECT --reject-with icmp-host-prohibited iptables -A FORWARD -j REJECT --reject-with icmp-host-prohibited	这两条的意思是在INPUT表和FORWARD表中拒绝所有其他不符合上述任何一条规则的数据包。并且发送一条host prohibited的消息给被拒绝的主机。
iptables -I INPUT -s 123.45.6.7 -j DROP	屏蔽单个IP的命令是
iptables -I INPUT -s 123.0.0.0/8 -j DROP	封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP	封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 123.45.6.0/24 -j DROP	封IP段即从123.45.6.1到123.45.6.254的命令是
指令I是insert指令但是该指令会insert在正确位置并不像A指令看你自己的排序位置，因此用屏蔽因为必须在一开始就要加载屏蔽IP，所以必须使用I命令加载，然后注意执行/etc/rc.d/init.d/iptables save进行保存后重启服务即可

7 添加NAT规则（默认规则是ACCEPT，添加DROP链）

iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP

iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP

iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP

防止外网内网IP欺骗

iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP

禁止与211.101.46.253的所有连接

附件：题目

测试题1：查看ip

测试题2：查看防火墙状态

测试题3：查看规则列表

测试题4：阻止特定ip（192.168.0.1）进行SSH连接

测试题5：删除filter表的output链第3条规则

测试题6：阻止客户端访问服务器8080端口号的访问

测试题7：允许web服务只能被固定端的ip访问

测试题8：只允许192.168.0.3的机器进行SSH连接

测试题9：阻止8080端口被ip（192.168.0.1）客户端访问

测试题10：匹配的规则记录到日志中去

答案：

CODE:JAVA

1、ifconfig

2、/etc/init.d/iptables status

3、iptables -L -n

4、iptables -t filter -A INPUT -p tcp -s 192.168.0.1 --dport 22 -j DROP

5、iptables -D OUTPUT 3

6、iptables -A INPUT -p tcp --dport 8080 -j DROP

7、

iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -s x.x.x.x -p tcp --dport 80 -j ACCEPT
8、iptables -A INPUT -p tcp -s 192.168.0.3 --dport 22 -j ACCEPT

9、iptables -A INPUT -p tcp -s 192.168.0.1 --dport 8080-j DROP

10、iptables -A INPUT -P tcp -m mac --mac=mac地址 --dport 22 -j LOG

补充后续：

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/喵喵爱编程/article/detail/892971