189 8069 5689
1、iptables命令
10年积累的成都网站设计、成都网站制作经验，可以快速应对客户对网站的新想法和需求。提供各种问题对应的解决方案。让选择我们的客户得到更好、更有力的网络服务。我虽然不认识你，你也不认识我。但先网站设计后付款的网站建设流程，更有西吉免费网站建设让你可以放心的选择与我们合作。
iptables命令是Linux上常用的防火墙软件，是netfilter项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。
2、iptables的"四表五链:"
四表包括：
raw：高级功能，如：网址过滤。
mangle：数据包修改（QOS），用于实现服务质量。
net：地址转换，用于网关路由器。
filter：包过滤，用于防火墙规则。
五条规则链名包括：（netfilter内核模块上的五个函数）
INPUT链：处理输入数据包。
OUTPUT链：处理输出数据包。
PORWARD链：处理转发数据包。
PREROUTING链：用于目标地址转换（DNAT）。
POSTOUTING链：用于源地址转换（SNAT）。
3、数据包的过滤匹配流程如下图；
4、对数据包处理动作包括：
ACCEPT：接收数据包。
DROP：丢弃数据包。
REDIRECT：重定向、映射、透明代理。
SNAT：源地址转换。
DNAT：目标地址转换。
MASQUERADE：IP伪装（NAT），用于ADSL。
LOG：日志记录。
5、iptables语法
iptables(选项)(参数)
1、查看默认规则：
iptables [-t table] [-L] [-nv]
2、查看防火墙规则：
iptables-save [-t table]
3、清除防火墙规则：
iptables [-t tables] [-FXZ]
4、定义默认规则：
iptables [-t table] -P [INPUT，OUTPUT，FORWARD] [ACCEPT，DROP]
5、数据包的比对设置；
iptables [-AI 链名] [-io 网络接口] [-p 协议] [-s 来源IP/网络] [-d 目标IP/网络] -j[ACCEPT|DROP|REJECT|LOG]
6、iptables的模块(state,mac)：
iptables -A INPUT [-m state] [--state 状态] iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -A INPUT -m mac --mac-source aa:bb:cc:dd:ee:ff -j ACCEPT
7、icmp数据包规划比对：
iptables -A INPUT [-p icmp] [--icmp-type 类型] -j ACCEPT
ICMP常见类型：
0 Echo Reply——回显应答（Ping应答）
8 Echo request——回显请求（Ping请求）
选项：
-t<表>：指定要操纵的表；
-A：向规则链中添加条目；
-D：从规则链中删除条目；
-i：向规则链中插入条目；
-R：替换规则链中的条目；
-L：显示规则链中已有的条目；
-F：清楚规则链中已有的条目；
-Z：清空规则链中的数据包计算器和字节计数器；
-N：创建新的用户自定义规则链；
-P：定义规则链中的默认目标；
-h：显示帮助信息；
-p：指定要匹配的数据包协议类型；
-s：指定要匹配的数据包源ip地址；
-j<目标>：指定要跳转的目标；
-i<网络接口>：指定数据包进入本机的网络接口；
-o<网络接口>：指定数据包要离开本机所使用的网络接口。
6、一般情况下创建防火墙规则的顺序：
1、清空防火墙规则
2、设置防火墙的默认策略
3、信任本机：（由于lo对本机来说是相当重要的，因此lo必须设置为信任设备）
4、回应数据包：（让本机通过主动向外发出请求而响应的数据包可以进入本机(ESTABLISHED、RELATED) ）
5、添加具体的规则
7、iptables简单查看示例：
# iptables -nL 查看防火墙设置 # iptables -t nat -nL 查看nat表 # iptables -t mangle -nL 查看mangle表 # iptables -t raw -nL 查看raw表 # iptables -t filter -P FORWARD DROP 设定FORWARD默认策略为丢弃，-t filter可省略； # iptables -P INPUT DROP 设置INPUT默认策略; # iptables -P OUTPUT DROP 设置OUTPUT默认策略; # iptables -nL INPUT 查看指定某个链上的规则； # iptables -nvL 查看详细信息； # iptables -nvxL 查看详细信息，且显示单位为字节； # iptables -nvxL --line-number 显示规则编号； # iptables -nvvxL --line-number 显示更详细信息； # iptables -nvvvxL --line-number 显示更多更详细信息； # iptables -S 显示添加的规则命令； # iptables -S INPUT 显示在input链上添加的规则命令； # iptables -F 清空规则；