逍遥阁

iptables学习笔记

关键词: linux iptables

iptables学习笔记

###常用参数说明

-A(大写字母) chain (把链的规则追加在最后面)

-I(大写字母) chain (把链的规则插入在最前面)

-N(大写字母) chain (新建一个用户自定义的链)

-n(小写字母) (输出ip地址和端口的数字形式)

-t(小写字母) table (指定操作的表，默认为filter，可用的其他table值有nat)

-L(大写字母) chain (列出指定链的规则，默认是所有的链)

-F(大写字母) chain (删除指定链的规则，默认是所有的链)

-X(大写字母) chain (删除指定的用户自定义的链的规则，默认是所有的链)

-Z(大写字母) chain (把指定链的计数归零，默认是所有的链)

-P(大写字母) chain (定义指定链的默认策略)

-p(小写字母) 协议 (指定协议，可用!取反，可用的值有tcp|udp|icmp)

-i(小写字母) 网卡 (数据进入的网卡，可用!取反，如eth0)

-o(小写字母) 网卡 (数据流出的网卡，可用!取反，如eth0)

-s(小写字母) ip地址 (指定来源的ip地址，可用!取反)

-d(小写字母) ip地址 (指定目标的ip地址，可用!取反)

-m(小写字母) match (指定匹配，可用的值有state|mac)

\--sport 端口 (指定来源端口，必须指定-p)

\--dport 端口 (指定目标端口，必须指定-p)

\--syn (主动连接的标志)

\--state 状态 (指定数据包状态，可用的值有INVALID|ESTABLISHED|NEW|RELATED)

\--mac-source mac (指定来源主机的mac地址，如aa:bb:cc:dd:ee:ff)

\--icmp-type 数字 (指定icmp的协议类型)

\--to-source ip地址:端口 (指定来源ip地址及端口)

\--to-destination ip地址:端口 (指定目标ip地址及端口)

\--to-ports 端口 (指定端口)

\--line-number (显示行号)

###常用的chain

INPUT

OUTOUT

FORWARD

PREROUTING (一般搭配-j DNAT|REDIRECT)

POSTROUTING (一般搭配-j SNAT|MASQUERADE)

###SNAT和DNAT的区别

SNAT指来源NAT，主要用POSTROUTING链修改来源ip实现ip共享

DNAT指目标NAT，主要用PREROUTING链修改目标ip实现内网服务发布

###列出所有的链

`iptables -L -n`一般会列出如下的内容

```
Chain INPUT (policy ACCEPT)
target prot opt source destination
规则

Chain FORWARD (policy ACCEPT)
target prot opt source destination
规则

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
规则
```

其中

`Chain INPUT (policy ACCEPT)`的意思是`INPUT`链的默认策略是`ACCEPT`

表头字段含义如下

target->目标

prot->协议

opt->选项

source->来源ip

destination->目标ip

###iptables-save

`sudo iptables-save`

该命令主要用来查看当前配置的链，内容一般如下

```
*nat
:PREROUTING ACCEPT
:INPUT ACCEPT
:OUTPUT ACCEPT
:POSTROUTING ACCEPT
规则
COMMIT

*filter
:INPUT ACCEPT
:FORWARD ACCEPT
:OUTPUT ACCEPT
规则
COMMIT
```

其中

`*nat`表示`nat`表的规则

`:INPUT ACCEPT`表示`INPUT`链的默认策略是`ACCEPT`

###打开一个端口

```
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
```

###关闭一个端口

```
iptables -A INPUT -p tcp --dport 5000 -j DROP
```

###定义默认策略
```
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
```

###清空所有的链
```
iptables -F
```

###把指定网卡指定端口进入的数据转发到指定ip指定端口

`iptables -t nat -A PREROUTING -i 网卡 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80`

###同一台电脑端口间的数据转发

`iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080`

admin
2017-01-28 14:54:37
linux

文章分类

文章标签

文章归档

友情链接

iptables学习笔记