精华内容
下载资源
问答
  • IPtables命令详解

    2012-08-19 01:09:04
    IPtables命令详解.txt
  • iptables命令详解

    2021-05-31 14:55:00
    详细资料参考 iptables资料

    详细资料参考

    iptables资料

    常用命令

    //filter表常见操作
    1.查看filter表的过滤规则
     iptables -t filter -line(显示行号) -nvL( -n 直接显示ip -v 显示详细信息 
     -L查询规则链列表)
     说明:(查询规则filter表的 INPUT规则链中的所有规则)
     
    2.添加filter表的过滤规则(在INPUT链的上添加阻止源ip为172.17.0.2访问)
     iptables -t filter -A INPUT(规则链条) -s 172.17.0.2 -j DROP(动作)
    说明:(添加规则到 filter表的 INPUT规则链中)
    
    3.添加filter表的过滤规则(指定插入的顺序,前面规则覆盖后面的)
     iptables -t filter -I INPUT 2(默认1) -s 172.17.0.2 -j ACCEPT
    说明:(添加规则到 filter表的 INPUT规则链中)
    
    4.删除filter表的过滤规则
    iptables -t filter -D INPUT 1
    说明:(删除filter表的 INPUT规则链中的1号规则)
    
    5.删除filter表的过滤规则(满足条件的)
    iptables -t filter -D INPUT  -s 172.17.0.2 -j ACCEPT
    说明:(删除filter表的 INPUT规则链中满足源ip ,接受的规则)
    
    6.修改filter表的过滤规则(指定序列号,注意不修改的也要覆盖,否则会用默认值)
    iptables -t filter -R INPUT 1  -s 172.17.0.2(不覆盖0.0.0.0) -j REJECT
    说明:(修改filter表的 INPUT规则链中 序列号为1的规则)
    
    7.保存规则(默认iptables是临时存在内存的,重启会没有,需要持久化)
    iptables-save > /etc/sysconfig/iptables
    
    //规则匹配条件
    1.新增匹配源地址规则
    iptables -t filter -A INPUT  -s 172.17.0.2 -j ACCEPT
    说明:(接受 新增filter表中 INPUT链源地址是172.17.0.2的规则)
    
    2.新增匹配目标地址规则
    iptables -t filter -A INPUT  -d 172.17.0.2 -j ACCEPT
    说明:(接受 新增filter表中 INPUT链目标地址是172.17.0.3的规则)
    
    3.新增匹配协议类型规则
    iptables -t filter -A INPUT -s 172.17.0.2 -p icmp -j REJECT
    说明:(拒绝 新增filter表中 INPUT链协议是icmp(ping)的规则)
    
    4.新增匹配网卡规则
    iptables -t filter -I INPUT -s 172.17.0.2 -i eth0 -j DROP
    说明:(丢弃 新增filter表中 INPUT链源地址172.17.0.2网卡是eth0的规则
    
    //自定义链
    1.增加一条自定义规则链
    iptables -t filter -N IN_WEB
    说明:(新增 在filter表中新增一条名字叫做IN_WEB的规则链)
    
    2.增加一条规则到自定义链
    iptables -t  filter -I IN_WEB -s 172.17.0.2 -i eth0 -j DROP
    说明:(新增 在filter表中新增一条规则到IN_WEB链中)
    
    3.系统规则链(INPUT)引用自定义规则链(生效自定义规则链)
    iptables -t filter -I INPUT -j IN_WEB
    说明:(INPUT规则链引用IN_WEB,使IN_WEB规则生效)
    
    4.删除自定义链的引用(其实和删除一条普通规则没区别)
    iptables -t filter -D INPUT 1
    说明:(可以理解自定义链就是一条规则,自定义链可以含有多个规则罢了)
    
    5.删除自定义链
    iptables -X IN_WEB
    
    展开全文
  • iptables 命令详解

    2014-12-02 14:41:35
    iptables 指令 语法:  iptables [-t table] command [match] [-j target/jump]  -t 参数用来指定规则表,内建的规则表有三个,分别是:nat、mangle 和 filter,  当未指定规则表时,则...

    iptables 指令

    语法:

             iptables [-t table] command [match] [-j target/jump]

             -t 参数用来指定规则表,内建的规则表有三个,分别是:nat、mangle 和 filter,

              当未指定规则表时,则一律视为是 filter

    各个规则表的功能如下:

               nat 此规则表拥有 Prerouting 和 postrouting 两个规则链,主要功能为进行一对一、一对多、多对多等网址转译工作(SNATDNAT),由于转译工作的特性,需进行目的地网址转译的封包,就不需要进行来源网址转译,反之亦然,因此为了提升改写封包的率,在防火墙运作时,每个封包只会经过这个规则表一次。如果我们把封包过滤的规则定义在这个数据表里,将会造成无法对同一包进行多次比对,因此这个规则表除了作网址转译外,请不要做其它用途。

               mangle 此规则表拥有 Prerouting、FORWARD 和 postrouting 三个规则链。除了进行网址转译工作会改写封包外,在某些特殊应用可能也必须去改写封包(TTL、TOS)或者是设定 MARK(将封包作记号,以进行后续的过滤),这时就必须将这些工作定义在 mangle 规则表中,由于使用率不高,我们不打算在这里讨论 mangle 的用法。

               filter 这个规则表是预设规则表拥有 INPUT、FORWARD 和 OUTPUT 三个规则链这个规则表顾名思义是用来进行封包过滤的理动作(例如:DROP、 LOG、 ACCEPT 或 REJECT,我们会将基本规则都建立在此规则表中。

     

    主要包含::   命令表     用来增加(-A、-I)删除(-D)修改(-R)查看(-L)规则等;

                          常用参数   用来指定协议(-p)、源地址(-s)、源端口(--sport)、目的地址(-d)、目的端口(--dport)、

                                          进入网卡(-i)、出去网卡(-o)等设定包信息(即什么样的包);

                                         用来描述要处理包的信息。

                          常用处理动作    用   -j   来指定对包的处理(ACCEPT、DROP、REJECT、REDIRECT等)。

     

    1、常用命令列表:  常用命令(-A追加规则、-D删除规则、-R修改规则、-I插入规则、-L查看规则)

    命令 -A, --append

    范例 iptables -A INPUT ...

    说明 新增规则(追加方式)到某个规则链(这里是INPUT规则链)中,该规则将会成为规则链中的最后一条规则。

    命令 -D, --delete

    范例 iptables -D INPUT --dport 80 -j DROP

          iptables -D INPUT 1

    说明 从某个规则链中删除一条规则,可以输入完整规则,或直接指定规则编号加以删除。

    命令 -R, --replace

    范例 iptables -R INPUT 1 -s 192.168.0.1 -j DROP

    说明 取代现行规则,规则被取代后并不会改变顺序。(1是位置)

    命令 -I, --insert

    范例 iptables -I INPUT 1 --dport 80 -j ACCEPT

    说明 插入一条规则,原本该位置(这里是位置1)上的规则将会往后移动一个顺位。

    命令 -L, --list

    范例 iptables -L INPUT

    说明 列出某规则链中的所有规则。

    命令 -F, --flush

    范例 iptables -F INPUT

    说明 删除某规则链(这里是INPUT规则链)中的所有规则

    命令 -Z, --zero

    范例 iptables -Z INPUT

    说明 将封包计数器归零。封包计数器是用来计算同一封包出现次数,是过滤阻断式攻击不可或缺的工具。

    命令 -N, --new-chain

    范例 iptables -N allowed

    说明 定义新的规则链。

    命令 -X, --delete-chain

    范例 iptables -X allowed

    说明 删除某个规则链。

    命令 -P, --policy

    范例 iptables -P INPUT DROP

    说明 定义过滤政策。 也就是未符合过滤条件之封包,预设的处理方式。

    命令 -E, --rename-chain

    范例 iptables -E allowed disallowed

    说明 修改某自订规则链的名称。

     

    2、常用封包比对参数:(-p协议、-s源地址、-d目的地址、--sport源端口、--dport目的端口、-进入网卡、-o 出去网卡)

    参数           -p, --protocol                    (指定协议)

    范例 iptables -A INPUT -p tcp           (指定协议)      -p all   所有协议,  -p !tcp 去除tcp外的所有协议。

    说明 比对通讯协议类型是否相符,可以使用 ! 运算子进行反向比对,例如:-p ! tcp ,

    意思是指除 tcp 以外的其它类型,包含udp、icmp ...等。如果要比对所有类型,则可以使用 all 关键词,例如:-p all。

    参数          -s, --src, --source                  (指定源地址,指定源端口--sport)

    例如: iptables -A INPUT -s 192.168.1.1

    说明 用来比对封包的来源 IP,可以比对单机或网络,比对网络时请用数字来表示屏蔽,

    例如:-s 192.168.0.0/24,比对 IP 时可以使用 ! 运算子进行反向比对,

    例如:-s ! 192.168.0.0/24。

    参数         -d, --dst, --destination           (指定目的地址,指定目的端口--dport)

    例如: iptables -A INPUT -d 192.168.1.1

    说明 用来比对封包的目的地 IP,设定方式同上。

    参数         -i, --in-interface                      (指定入口网卡)      -i  eth+   所有网卡

    例如: iptables -A INPUT -i eth0

    说明 用来比对封包是从哪片网卡进入,可以使用通配字符 + 来做大范围比对,

    例如:-i eth+ 表示所有的 ethernet 网卡,也以使用 ! 运算子进行反向比对

    例如:-i ! eth0。

    参数        -o, --out-interface                   (指定出口网卡)

    例如: iptables -A FORWARD -o eth0

    说明 用来比对封包要从哪片网卡送出,设定方式同上。

    参数        --sport, --source-port              (源端口)

    例如: iptables -A INPUT -p tcp --sport 22

    说明 用来比对封包的来源端口号,可以比对单一埠,或是一个范围,

    例如:--sport 22:80,表示从 22 到 80 端口之间都算是符合件,

    如果要比对不连续的多个埠,则必须使用 --multiport 参数,详见后文。比对埠号时,可以使用 ! 运算子进行反向比对。

    参数        --dport, --destination-port     (目的端口)

    例如: iptables -A INPUT -p tcp --dport 22

    说明 用来比对封包的目的端口号,设定方式同上。

    参数       --tcp-flags                                  (只过滤TCP中的一些包,比如SYN包,ACK包,FIN包,RST包等等)

    例如: iptables -p tcp --tcp-flags SYN,FIN,ACK SYN

    说明  比对 TCP 封包的状态旗号,参数分为两个部分,第一个部分列举出想比对的旗号,

               第二部分则列举前述旗号中哪些有被设,未被列举的旗号必须是空的。TCP 状态旗号包括:SYN(同步)、ACK(应答)、

    FIN(结束)、RST(重设)、URG(紧急)PSH(强迫推送) 等均可使用于参数中,除此之外还可以使用关键词 ALL 和 

    NONE 进行比对。比对旗号时,可以使用 ! 运算子行反向比对。

    参数 --syn

    例如: iptables -p tcp --syn

    说明 用来比对是否为要求联机之 TCP 封包,与 iptables -p tcp --tcp-flags SYN,

    FIN,ACK SYN 的作用完全相同,如果使用 !运算子,可用来比对非要求联机封包。

    参数 -m multiport --source-port

    例如: iptables -A INPUT -p tcp -m multiport --source-port 22,53,80,110

    说明 用来比对不连续的多个来源埠号,一次最多可以比对 15 个埠,可以使用 ! 

    运算子进行反向比对。

    参数 -m multiport --destination-port

    例如: iptables -A INPUT -p tcp -m multiport --destination-port 22,53,80,110

    说明 用来比对不连续的多个目的地埠号,设定方式同上。

    参数 -m multiport --port

    例如: iptables -A INPUT -p tcp -m multiport --port 22,53,80,110

    说明 这个参数比较特殊,用来比对来源埠号和目的埠号相同的封包,设定方式同上。

    注意:在本范例中,如果来源端口号为 80目的地埠号为 110,这种封包并不算符合条件。

    参数 --icmp-type

    例如: iptables -A INPUT -p icmp --icmp-type 8

    说明 用来比对 ICMP 的类型编号,可以使用代码或数字编号来进行比对。

    请打 iptables -p icmp --help 来查看有哪些代码可用。

    参数 -m limit --limit

    例如: iptables -A INPUT -m limit --limit 3/hour

    说明 用来比对某段时间内封包的平均流量,上面的例子是用来比对:每小时平均流量是

    否超过一次 3 个封包。 除了每小时平均次外,也可以每秒钟、每分钟或每天平均一次,

    默认值为每小时平均一次,参数如后: /second、 /minute、/day。 除了进行封数量的

    比对外,设定这个参数也会在条件达成时,暂停封包的比对动作,以避免因骇客使用洪水

    攻击法,导致服务被阻断。

    参数 --limit-burst

    范例 iptables -A INPUT -m limit --limit-burst 5

    说明 用来比对瞬间大量封包的数量,上面的例子是用来比对一次同时涌入的封包是否超

    过 5 个(这是默认值),超过此上限的封将被直接丢弃。使用效果同上。

    参数 -m mac --mac-source

    范例 iptables -A INPUT -m mac --mac-source 00:00:00:00:00:01

    说明 用来比对封包来源网络接口的硬件地址,这个参数不能用在 OUTPUT 和 Postrouting规则炼上,这是因为封包要送出到网后,才能由网卡驱动程序透过 ARP 通讯协议查出目的地的 MAC 地址,所以 iptables 在进行封包比对时,并不知道封包会送到个网络接口去。

    参数 --mark

    范例 iptables -t mangle -A INPUT -m mark --mark 1

    说明 用来比对封包是否被表示某个号码,当封包被比对成功时,我们可以透过 MARK 处理动作,将该封包标示一个号码,号码最不可以超过 4294967296。

    参数 -m owner --uid-owner

    范例 iptables -A OUTPUT -m owner --uid-owner 500

    说明 用来比对来自本机的封包,是否为某特定使用者所产生的,这样可以避免服务器使用 

    root 或其它身分将敏感数据传送出,可以降低系统被骇的损失。可惜这个功能无法比对出

    来自其它主机的封包。

    参数 -m owner --gid-owner

    范例 iptables -A OUTPUT -m owner --gid-owner 0

    说明 用来比对来自本机的封包,是否为某特定使用者群组所产生的,使用时机同上。

    参数 -m owner --pid-owner

    范例 iptables -A OUTPUT -m owner --pid-owner 78

    说明 用来比对来自本机的封包,是否为某特定行程所产生的,使用时机同上。

    参数 -m owner --sid-owner

    范例 iptables -A OUTPUT -m owner --sid-owner 100

    说明 用来比对来自本机的封包,是否为某特定联机(Session ID)的响应封包,使用时

    机同上。

    参数 -m state --state

    范例 iptables -A INPUT -m state --state RELATED,ESTABLISHED

    说明 用来比对联机状态,联机状态共有四种:INVALID、ESTABLISHED、NEW 和 RELATED。

    INVALID 表示该封包的联机编号(Session ID)无法辨识或编号不正确。

    ESTABLISHED 表示该封包属于某个已经建立的联机。

    NEW 表示该封包想要起始一个联机(重设联机或将联机重导向)。

    RELATED 表示该封包是属于某个已经建立的联机,所建立的新联机。例如:FTP-DATA 联机必定是源自某个 FTP 联机。

    3、常用的处理动作: (-j  指定对满足条件包的处理,常用动作有ACCEPT接受报、DROP丢弃报、REJECT丢弃报并通知对方、REDIRECT重定向包等)

    -j   参数用来指定要进行的处理动作常用的处理动作包括:ACCEPTREJECTDROPREDIRECT、MASQUERADE、LOG、DNAT、SNAT、MIRROR、QUEUE、RETURN、MARK,分别说明如下:

    ACCEPT        将封包放行,进行完此处理动作后,将不再比对其它规则,直接跳往下一个规则链(natostrouting)。

    REJECT          拦阻该封包,并传送封包通知对方,可以传送的封包有几个选择:ICMP port-unreachable、ICMP echo-reply 或是 tcp-reset(这个封包会要求对方关闭联机),进行完此处理动作后,将不再比对其它规则,直接中断过滤程序。 

    例如:iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset

    DROP            丢弃封包不予处理,进行完此处理动作后,将不再比对其它规则,直接中断过滤程序。

    REDIRECT       封包重新导向到另一个端口(PNAT),进行完此处理动作后,将会继续比对其它规则。 

                           这个功能可以用来实作通透式porxy 或用来保护 web 服务器。

                    例如:iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

    MASQUERADE              改写封包来源 IP 为防火墙 NIC IP,可以指定 port 对应的范围,进行完此处理动作后,直接跳往下一个规则(mangleostrouting)。这个功能与 SNAT 略有不同,当进行 IP 伪装时,不需指定要伪装成哪个 IP,IP 会从网卡直接读,当使用拨接连线时,IP 通常是由 ISP 公司的 DHCP 服务器指派的,这个时候 MASQUERADE 特别有用。

                    例如:iptables -t nat -A POSTROUTING -p TCP -j MASQUERADE --to-ports 1024-31000

    LOG              将封包相关讯息纪录在 /var/log 中,详细位置请查阅 /etc/syslog.conf 组态档,进行完此处理动作后,将会继续比对其规则。

                    例如:iptables -A INPUT -p tcp -j LOG --log-prefix "INPUT packets"

    SNAT             改写封包来源 IP 为某特定 IP 或 IP 范围,可以指定 port 对应的范围,进行完此处理动作后,将直接跳往下一个规则(mangleostrouting)。

                    例如:iptables -t nat -A POSTROUTING -p tcp-o eth0 -j SNAT --to-source 194.236.50.155-194.236.50.160:1024-32000

    DNAT            改写封包目的地 IP 为某特定 IP 或 IP 范围,可以指定 port 对应的范围,进行完此处理动作后,将会直接跳往下一个规炼(filter:input 或 filter:forward)。

                   例如:iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination 192.168.1.1-192.168.1.10:80-100

    MIRROR        镜射封包,也就是将来源 IP 与目的地 IP 对调后,将封包送回,进行完此处理动作后,将会中断过滤程序。

    QUEUE          中断过滤程序,将封包放入队列,交给其它程序处理。透过自行开发的处理程序,可以进行其它应用,

                          例如:计算联机费......等。

    RETURN        结束在目前规则炼中的过滤程序,返回主规则炼继续过滤,如果把自订规则炼看成是一个子程序,那么这个动作,就相当提早结束子程序并返回到主程序中。

    MARK          将封包标上某个代号,以便提供作为后续过滤的条件判断依据,进行完此处理动作后,将会继续比对其它规则

                   例如:iptables -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 2


    四.拓展模块 
    1.按来源MAC地址匹配
    # iptables -t filter -A FORWARD -m --mac-source 00:02:b2:03:a5:f6 -j DROP
    拒绝转发来自该MAC地址的数据包
    2.按多端口或连续端口匹配
      20:  表示20以后的所有端口
      20:100  表示20到100的端口
    :20  表示20之前的所有端口 
       -m multiport [--prots, --sports,--dports]

    例子:

    # iptables -A INPUT -p tcp -m multiport --dports 21,20,25,53,80 -j ACCEPT 【多端口匹配】
    # iptables -A INPUT -p tcp --dport 20: -j ACCEPT
    # iptables -A INPUT -p tcp --sport 20:80 -j ACCEPT
    # iptables -A INPUT -p tcp --sport :80 -j ACCEPT


    3.还可以按数据包速率和状态匹配
    -m limit --limit 匹配速率 如: -m limit --limit 50/s -j ACCEPT
    -m state --state 状态 如: -m state --state INVALID,RELATED -j ACCEPT


    4.还可以限制链接数

    -m connlimit --connlimit-above n 限制为多少个              
            例如:
            iptables -I FORWARD -p tcp -m connlimit --connlimit-above 9 -j DROP        //表示限制链接数最大为9个

    5、模拟随机丢包率
           iptables -A FORWARD -p icmp -m statistic --mode random --probability 0.31  -j REJECT   //表示31%的丢包率
           或者
           -m random --average 5 -j DROP 表示模拟丢掉5%比例的包

    相关知识:

    Linux 中延时模拟

    设置延时 3s :

    tc qdisc add dev eth0 root netem delay 3000ms

    可以在 3000ms 后面在加上一个延时,比如 ’3000ms 200ms‘表示 3000ms ± 200ms ,延时范围 2800 – 3200 之间.
    结果显示如下

     

    Linux 中丢包模拟

    设置丢包 50% ,iptables 也可以模拟这个,但一下不记的命令了,下次放上来:

    tc qdisc change dev eth0 root netem loss 50%
    上面的设丢包,如果给后面的 50% 的丢包比率修改成 ’50% 80%’ 时,这时和上面的延时不一样,这是指丢包比率为 50-80% 之间。
    展开全文
  • Linux 防火墙iptables命令详解 https://www.cnblogs.com/blogforly/p/5997287.html 【转:原文链接】 iptables -F iptables -X iptables -F -t mangle iptables -t mangle -X iptables -F -t nat iptables -t nat...

    Linux 防火墙iptables命令详解

    https://www.cnblogs.com/blogforly/p/5997287.html

    转:原文链接

    iptables -F
    iptables -X
    iptables -F -t mangle
    iptables -t mangle -X
    iptables -F -t nat
    iptables -t nat -X
    首先,把三个表清空,把自建的规则清空。

    iptables -P INPUT DROP
    iptables -P OUTPUT DROP
    iptables -P FORWARD ACCEPT
    设定INPUT、OUTPUT的默认策略为DROP,FORWARD为ACCEPT。

    iptables -A INPUT -i lo -j ACCEPT
    iptables -A OUTPUT -o lo -j ACCEPT
    先把“回环”打开,以免有不必要的麻烦。

    iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j ACCEPT
    iptables -A OUTPUT -o eth+ -p icmp --icmp-type 0 -j ACCEPT
    在所有网卡上打开ping功能,便于维护和检测。

    iptables -A INPUT -i eth0 -s 192.168.100.250 -d 192.168.100.1 -p tcp --dport 22 -j ACCEPT
    iptables -A OUTPUT -o eth0 -d 192.168.100.250 -s 192.168.100.1 -p tcp --sport 22 -j ACCEPT
    打开22端口,允许远程管理。(设定了很多的附加条件:管理机器IP必须是250,并且必须从eth0网卡进入)

    iptables -A INPUT -i eth0 -s 192.168.100.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -o eth0 -d 192.168.100.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPT
    iptables -A INPUT -i eth1 -s 192.168.168.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -o eth1 -d 192.168.168.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPT
    iptables -A INPUT -i eth2 -p tcp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -o eth2 -p tcp --sport 32768:61000 -m state --state NEW,ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -o eth2 -p udp --dport 53 -j ACCEPT
    iptables -A INPUT -i eth2 -p udp --sport 53 -j ACCEPT
    上面这几句是比较头痛的,我做逐一解释。

    iptables -A INPUT -i eth0 -s 192.168.100.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPT
    允许192.168.100.0/24网段的机器发送数据包从eth0网卡进入。如果数据包是tcp协议,而且目的端口是3128(因为REDIRECT已经把80改为3128了。nat表的PREROUTING是在filter表的INPUT前面的。)的,再而且,数据包的状态必须是NEW或者ESTABLISHED的(NEW代表tcp三段式握手的“第一握”,换句话说就是,允许客户端机器向服务器发出链接申请。ESTABLISHED表示通过握手已经建立起链接),通过。

    iptables -A OUTPUT -o eth2 -p tcp --sport 32768:61000 -m state --state NEW,ESTABLISHED -j ACCEPT
    我们先来看这一句。现在你的数据包已经进入到linux服务器防火墙上来了。squid需要代替你去访问,所以这时,服务器就成了客户端的角色,所以它要使用32768到61000的私有端口进行访问。(大家会奇怪应该是1024到65535吧。其实CentOS版的linux所定义的私有端口是32768到61000的,你可以通过cat /proc/sys/net/ipv4/ip_local_port_range,查看一下。)再次声明:这里是squid以客户端的身份去访问其他的服务器,所以这里的源端口是32768:61000,而不是3128!

    iptables -A INPUT -i eth2 -p tcp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT
    当然了,数据有去就有回。

    iptables -A OUTPUT -o eth0 -d 192.168.100.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPT
    数据包还得通过服务器,转到内网网卡上。请注意,这里,是squid帮你去访问了你想要访问的网站。所以在内网中,你的机器是客户端角色,而squid是服务器角色。这与刚才对外访问的过程是不同的。所以在这里,源端口是3128,而不是32768:61000。

    iptables -A OUTPUT -o eth2 -p udp --dport 53 -j ACCEPT
    iptables -A INPUT -i eth2 -p udp --sport 53 -j ACCEPT
    当然,DNS是不可缺少的。

    iptables -A INPUT -i eth+ -p tcp --dport 80 -j LOG --log-prefix "iptables_80_alert" --log-level info
    iptables -A INPUT -i eth+ -p tcp --dport 21 -j LOG --log-prefix "iptables_21_alert" --log-level info
    iptables -A INPUT -i eth+ -p tcp --dport 22 -j LOG --log-prefix "iptables_22_alert" --log-level info
    iptables -A INPUT -i eth+ -p tcp --dport 25 -j LOG --log-prefix "iptables_25_alert" --log-level info
    iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j LOG --log-prefix "iptables_icmp8_alert" --log-level info
    当然了,来点日志记录会对网管员有所帮助。

    iptables 基本命令使用举例


          一、链的基本操作
    1、清除所有的规则。
    1)清除预设表filter中所有规则链中的规则。
    # iptables -F
    2)清除预设表filter中使用者自定链中的规则。
    #iptables -X
    #iptables -Z
    2、设置链的默认策略。一般有两种方法。
    1)首先允许所有的包,然后再禁止有危险的包通过放火墙。
    #iptables -P INPUT ACCEPT
    #iptables -P OUTPUT ACCEPT
    #iptables -P FORWARD ACCEPT
    2)首先禁止所有的包,然后根据需要的服务允许特定的包通过防火墙。
    #iptables -P INPUT DROP
    #iptables -P OUTPUT DROP
    #iptables -P FORWARD DROP
    3、列出表/链中的所有规则。默认只列出filter表。
    #iptables -L
    4、向链中添加规则。下面的语句用于开放网络接口:
    #iptables -A INPUT -i lo -j ACCEPT
    #iptables -A OUTPUT -o lo -j ACCEPT
    #iptables -A INPUT -i eth0 -j ACEPT
    #iptables -A OUTPUT -o eth1 -j ACCEPT
    #iptables -A FORWARD -i eth1 -j ACCEPT
    #iptables -A FORWARD -0 eth1 -j ACCEPT
    注意:由于本地进程不会经过FORWARD链,因此回环接口lo只在INPUT和OUTPUT两个链上作用。
    5、使用者自定义链。
    #iptables -N custom
    #iptables -A custom -s 0/0 -d 0/0 -p icmp -j DROP
    #iptables -A INPUT -s 0/0 -d 0/0 -j DROP
    二、设置基本的规则匹配
    1、指定协议匹配。
    1)匹配指定协议。
    #iptables -A INPUT -p tcp
    2)匹配指定协议之外的所有协议。
    #iptables -A INPUT -p !tcp
    2、指定地址匹配。
    1)指定匹配的主机。
    #iptables -A INPUT -s 192.168.0.18
    2)指定匹配的网络。
    #iptables -A INPUT -s 192.168.2.0/24
    3)匹配指定主机之外的地址。
    #iptables -A FORWARD -s !192.168.0.19
    4)匹配指定网络之外的网络。
    #iptables -A FORWARD -s ! 192.168.3.0/24
    3、指定网络接口匹配。
    1)指定单一的网络接口匹配。
    #iptables -A INPUT -i eth0
    #iptables -A FORWARD -o eth0
    2)指定同类型的网络接口匹配。
    #iptables -A FORWARD -o ppp+
    4、指定端口匹配。
    1)指定单一端口匹配。
    #iptables -A INPUT -p tcp --sport www
    #iptables -A INPUT -p udp –dport 53
    2)匹配指定端口之外的端口。
    #iptables -A INPUT -p tcp –dport !22
    3)匹配端口范围。
    #iptables -A INPUT -p tcp –sport 22:80
    4)匹配ICMP端口和ICMP类型。
    #iptables -A INOUT -p icmp –icimp-type 8
    5)指定ip碎片。

    个网络接口都有一个MTU(最大传输单元),这个参数定义了可以通过的数据包的最大尺寸。如果一个数据包大于这个参数值时,系统会将其划分成更小的数据包
    (称为ip碎片)来传输,而接受方则对这些ip碎片再进行重组以还原整个包。这样会导致一个问题:当系统将大数据包划分成ip碎片传输时,第一个碎片含有
    完整的包头信息(IP+TCP、UDP和ICMP),但是后续的碎片只有包头的部分信息(如源地址、目的地址)。因此,检查后面的ip碎片的头部(象有
    TCP、UDP和ICMP一样)是不可能的。假如有这样的一条规则:
    #iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.2.100 –dport 80 -j ACCEPT
    并且这时的FORWARD的policy为DROP时,系统只会让第一个ip碎片通过,而余下的碎片因为包头信息不完整而无法通过。可以通过—fragment/-f 选项来指定第二个及以后的ip碎片解决上述问题。
    #iptables -A FORWARD -f -s 192.168.1.0/24 -d 192.168.2.100 -j ACCEPT
    注意现在有许多进行ip碎片攻击的实例,如DoS攻击,因此允许ip碎片通过是有安全隐患的,对于这一点可以采用iptables的匹配扩展来进行限制。
    三、设置扩展的规则匹配(举例已忽略目标动作)
    1、多端口匹配。
    1)匹配多个源端口。
    #iptables -A INPUT -p tcp -m multiport –sport 22,53,80,110
    2)匹配多个目的端口。
    #iptables -A INPUT -p tcp -m multiport –dpoort 22,53,80
    3)匹配多端口(无论是源端口还是目的端口)
    #iptables -A INPUT -p tcp -m multiport –port 22,53,80,110
    2、指定TCP匹配扩展
    使用 –tcp-flags 选项可以根据tcp包的标志位进行过滤。
    #iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN
    #iptables -A FROWARD -p tcp –tcp-flags ALL SYN,ACK
    上实例中第一个表示SYN、ACK、FIN的标志都检查,但是只有SYN匹配。第二个表示ALL(SYN,ACK,FIN,RST,URG,PSH)的标志都检查,但是只有设置了SYN和ACK的匹配。
    #iptables -A FORWARD -p tcp --syn
    选项—syn相当于”--tcp-flags SYN,RST,ACK SYN”的简写。
    3、limit速率匹配扩展。
    1)指定单位时间内允许通过的数据包个数,单位时间可以是/second、/minute、/hour、/day或使用第一个子母。
    #iptables -A INPUT -m limit --limit 300/hour
    2 )指定触发事件的阀值。
    #iptables -A INPUT -m limit –limit-burst 10
    用来比对一次同时涌入的封包是否超过10个,超过此上限的包将直接丢弃。
    3)同时指定速率限制和触发阀值。
    #iptables -A INPUT -p icmp -m limit –-limit 3/m –limit-burst 3
    表示每分钟允许的最大包数量为限制速率(本例为3)加上当前的触发阀值burst数。任何情况下,都可保证3个数据包通过,触发阀值burst相当于允许额外的包数量。
    4)基于状态的匹配扩展(连接跟踪)
    每个网络连接包括以下信息:源地址、目标地址、源端口、目的端口,称为套接字对(socket pairs);协议类型、连接状态(TCP协议)
    和超时时间等。防火墙把这些信息称为状态(stateful)。状态包过滤防火墙能在内存中维护一个跟踪状态的表,比简单包过滤防火墙具有更大的安全性,命令格式如下:
    iptables -m state –-state [!]state [,state,state,state]
    其中,state表是一个逗号分割的列表,用来指定连接状态,4种:
    >NEW: 该包想要开始一个新的连接(重新连接或连接重定向)
    >RELATED:该包是属于某个已经建立的连接所建立的新连接。举例:
    FTP的数据传输连接和控制连接之间就是RELATED关系。
    >ESTABLISHED:该包属于某个已经建立的连接。
    >INVALID:该包不匹配于任何连接,通常这些包被DROP。
    例如:
    (1)在INPUT链添加一条规则,匹配已经建立的连接或由已经建立的连接所建立的新连接。即匹配所有的TCP回应包。
    #iptables -A INPUT -m state –state RELATED,ESTABLISHED
    (2)在INPUT链链添加一条规则,匹配所有从非eth0接口来的连接请求包。
    #iptables -A INPUT -m state -–state NEW -i !eth0
    又如,对于ftp连接可以使用下面的连接跟踪:
    (1)被动(Passive)ftp连接模式。
    #iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state –-state ESTABLISHED -j ACCEPT
    #iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m
    state -–state ESTABLISHED,RELATED -j ACCEPT
    (2)主动(Active)ftp连接模式
    #iptables -A INNPUT -p tcp --sport 20 -m state –-state ESTABLISHED,RELATED -j ACCEPT
    #iptables -A OUTPUT -p tcp –OUTPUT -p tcp –dport 20 -m state --state ESTABLISHED -j ACCEPT

    分类: Linux

    标签: Linux常用命令-防火墙iptables

    展开全文
  • Linux iptables命令详解

    千次阅读 2021-03-22 18:45:24
    下面良许小编就将从几个方面对于Linux iptables命令进行详述,希望对大家有所帮助。 iptables简介 iptables 是集成在 Linux 内核中的包过滤防火墙系统。使用 iptables 可以添加、删除具体的过滤规则,iptables ...

    iptables 是 Linux 防火墙系统的重要组成部分,iptables 的主要功能是实现对网络数据包进出设备及转发的控制。当数据包需要进入设备、从设备中流出或者由该设备转发、路由时,都可以使用 iptables 进行控制。下面良许小编就将从几个方面对于Linux iptables命令进行详述,希望对大家有所帮助。

    Linux命令

    iptables简介

    iptables 是集成在 Linux 内核中的包过滤防火墙系统。使用 iptables 可以添加、删除具体的过滤规则,iptables 默认维护着 4 个表和 5 个链,所有的防火墙策略规则都被分别写入这些表与链中。

    “四表”是指 iptables 的功能,默认的 iptable s规则表有 filter 表(过滤规则表)、nat 表(地址转换规则表)、mangle(修改数据标记位规则表)、raw(跟踪数据表规则表):

    1. filter 表:控制数据包是否允许进出及转发,可以控制的链路有 INPUT、FORWARD 和 OUTPUT。
    2. nat 表:控制数据包中地址转换,可以控制的链路有 PREROUTING、INPUT、OUTPUT 和 POSTROUTING。
    3. mangle:修改数据包中的原数据,可以控制的链路有 PREROUTING、INPUT、OUTPUT、FORWARD 和 POSTROUTING。
    4. raw:控制 nat 表中连接追踪机制的启用状况,可以控制的链路有 PREROUTING、OUTPUT。

    “五链”是指内核中控制网络的 NetFilter 定义的 5 个规则链。每个规则表中包含多个数据链:INPUT(入站数据过滤)、OUTPUT(出站数据过滤)、FORWARD(转发数据过滤)、PREROUTING(路由前过滤)和POSTROUTING(路由后过滤),防火墙规则需要写入到这些具体的数据链中。

    Linux 防火墙的过滤框架,如图 1 所示。

    Linux命令

    可以看出,如果是外部主机发送数据包给防火墙本机,数据将会经过 PREROUTING 链与 INPUT 链;如果是防火墙本机发送数据包到外部主机,数据将会经过 OUTPUT 链与 POSTROUTING 链;如果防火墙作为路由负责转发数据,则数据将经过 PREROUTING 链、FORWARD 链以及 POSTROUTING 链。

    iptables语法格式

    iptables 命令的基本语法格式如下:

    [root@liangxu ~]# iptables [-t table] COMMAND [chain] CRETIRIA -j ACTION

    各参数的含义为:

    • -t:指定需要维护的防火墙规则表 filter、nat、mangle或raw。在不使用 -t 时则默认使用 filter 表。
    • COMMAND:子命令,定义对规则的管理。
    • chain:指明链表。
    • CRETIRIA:匹配参数。
    • ACTION:触发动作。

    iptables 命令常用的选项及各自的功能如表 2 所示

    选 项功 能
    -A添加防火墙规则
    -D删除防火墙规则
    -I插入防火墙规则
    -F清空防火墙规则
    -L列出添加防火墙规则
    -R替换防火墙规则
    -Z清空防火墙数据表统计信息
    -P设置链默认规则

    iptables 命令常用匹配参数及各自的功能如表 3 所示。

    参 数功 能
    [!]-p匹配协议,! 表示取反
    [!]-s匹配源地址
    [!]-d匹配目标地址
    [!]-i匹配入站网卡接口
    [!]-o匹配出站网卡接口
    [!]--sport匹配源端口
    [!]--dport匹配目标端口
    [!]--src-range匹配源地址范围
    [!]--dst-range匹配目标地址范围
    [!]--limit四配数据表速率
    [!]--mac-source匹配源MAC地址
    [!]--sports匹配源端口
    [!]--dports匹配目标端口
    [!]--stste匹配状态(INVALID、ESTABLISHED、NEW、RELATED)
    [!]--string匹配应用层字串

    iptables 命令触发动作及各自的功能如表 4 所示。

    触发动作功 能
    ACCEPT允许数据包通过
    DROP丢弃数据包
    REJECT拒绝数据包通过
    LOG将数据包信息记录 syslog 曰志
    DNAT目标地址转换
    SNAT源地址转换
    MASQUERADE地址欺骗
    REDIRECT重定向

    内核会按照顺序依次检查 iptables 防火墙规则,如果发现有匹配的规则目录,则立刻执行相关动作,停止继续向下查找规则目录;如果所有的防火墙规则都未能匹配成功,则按照默认策略处理。使用 -A 选项添加防火墙规则会将该规则追加到整个链的最后,而使用 -I 选项添加的防火墙规则则会默认插入到链中作为第一条规则。

    注意,在 Linux CentOS 系统中,iptables 是默认安装的,如果系统中没有 iptables 工具,可以先进行安装。

    规则的查看与清除

    使用 iptables 命令可以对具体的规则进行查看、添加、修改和删除

    1) 查看规则

    对规则的查看需要使用如下命令:

    [root@liangxu ~]# iptables -nvL

    各参数的含义为:

    • -L 表示查看当前表的所有规则,默认查看的是 filter 表,如果要查看 nat 表,可以加上 -t nat 参数。
    • -n 表示不对 IP 地址进行反查,加上这个参数显示速度将会加快。
    • -v 表示输出详细信息,包含通过该规则的数据包数量、总字节数以及相应的网络接口。

    【例 1】查看规则。 首先需要使用 su 命令,切换当前用户到 root 用户。然后在终端页面输入命令如下:

    [root@liangxu ~]# iptables -L
    Chain INPUT (policy ACCEPT)
    target     prot opt source               destination        
    ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
    ACCEPT     icmp --  anywhere             anywhere           
    ACCEPT     all  --  anywhere             anywhere           
    ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ssh
    REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited
    复制代码

    2) 添加规则

    添加规则有两个参数分别是 -A 和 -I。其中 -A 是添加到规则的末尾;-I 可以插入到指定位置,没有指定位置的话默认插入到规则的首部。

    【例 2】查看当前规则。首先需要使用 su 命令,切换当前用户到 root 用户,然后在终端页面输入命令如下:

    [root@liangxu ~]# iptables -nL --line-number
    Chain INPUT (policy ACCEPT)
    num  target     prot opt source               destination        
    1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
    2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0          
    3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0          
    4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
    5    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
    ......
    复制代码

    【例 3】添加一条规则到尾部。 首先需要使用 su 命令,切换当前用户到 root 用户,然后在终端页面输入如下命令:

    [root@liangxu ~]# iptables -A INPUT -s 192.168.1.5 -j DROP
    [root@liangxu ~]# iptables -nL --line-number
    Chain INPUT (policy ACCEPT)
    num  target     prot opt source               destination        
    1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
    2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0          
    3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0          
    4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
    5    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
    6    DROP       all  --  192.168.1.5          0.0.0.0/0    
    复制代码

    3) 修改规则

    在修改规则时需要使用-R参数。 【例 4】把添加在第 6 行规则的 DROP 修改为 ACCEPT。首先需要使用 su 命令,切换当前用户到 root 用户,然后在终端页面输入如下命令:

    [root@liangxu ~]# iptables -R INPUT 6 -s 194.168.1.5 -j ACCEPT
    [root@liangxu ~]# iptables -nL --line-number
    Chain INPUT (policy ACCEPT)
    num  target     prot opt source               destination        
    1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
    2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0          
    3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0          
    4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
    5    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
    6    ACCEPT     all  --  194.168.1.5          0.0.0.0/0   
    复制代码

    对比发现,第 6 行规则的 target 已修改为 ACCEPT。

    4) 删除规则

    删除规则有两种方法,但都必须使用 -D 参数。 【例 5】删除添加的第 6 行的规则。首先需要使用su命令,切换当前用户到 root 用户,然后在终端页面输入如下命令:

    [root@liangxu ~]# iptables -D INPUT 6 -s 194.168.1.5 -j ACCEPT

    [root@liangxu ~]# iptables -D INPUT 6

    注意,有时需要删除的规则较长,删除时需要写一大串的代码,这样比较容易写错,这时可以先使用 -line-number 找出该条规则的行号,再通过行号删除规则。

    防火墙的备份与还原

    默认的 iptables 防火墙规则会立刻生效,但如果不保存,当计算机重启后所有的规则都会丢失,所以对防火墙规则进行及时保存的操作是非常必要的。

    iptables 软件包提供了两个非常有用的工具,我们可以使用这两个工具处理大量的防火墙规则。这两个工具分别是 iptables-save 和 iptables-restore,使用该工具可以实现防火墙规则的保存与还原。这两个工具的最大优势是处理庞大的规则集时速度非常快。

    CentOS 7 系统中防火墙规则默认保存在 /etc/sysconfig/iptables 文件中,使用 iptables-save 将规则保存至该文件中可以实现保存防火墙规则的作用,计算机重启后会自动加载该文件中的规则。如果使用 iptables-save 将规则保存至其他位置,可以实现备份防火墙规则的作用。当防火墙规则需要做还原操作时,可以使用 iptables-restore 将备份文件直接导入当前防火墙规则。

    1、iptables-save命令

    iptables-save 命令用来批量导出 Linux 防火墙规则,语法介绍如下:

    保存在默认文件夹中(保存防火墙规则): [root@liangxu ~]# iptables-save > /etc/sysconfig/iptables

    保存在其他位置(备份防火墙规则): [root@liangxu ~]# iptables-save > 文件名称

    1. 直接执行 iptables-save 命令:显示出当前启用的所有规则,按照 raw、mangle、nat、filter 表的顺序依次列出,如下所示:

    [root@liangxu ~]# iptables-save # Generated by iptables-save v1.4.7 on Thu Aug 27 07:06:36 2020 *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [602:39026] ....... COMMIT # Completed on Thu Aug 27 07:06:36 2020

    其中:

    • “#”号开头的表示注释;
    • “*filter”表示所在的表;
    • “:链名默认策略”表示相应的链及默认策略,具体的规则部分省略了命令名“iptables”;
    • 在末尾处“COMMIT”表示提交前面的规则设置。
    1. 备份到其他文件中。例如文件:text,如下所示:

    [root@liangxu ~]# iptables-save > test [root@liangxu ~]# ls test [root@bogon ~]# cat test # Generated by iptables-save v1.4.7 on Thu Aug 27 07:09:47 2020 *filter ......

    1. 列出nat表的规则内容,命令如下:

    [root@liangxu ~]# iptables-save -t nat

    “-t表名”:表示列出某一个表。

    2、iptables-restore命令

    iptables-restore 命令可以批量导入Linux防火墙规则,同时也需要结合重定向输入来指定备份文件的位置。命令如下:

    [root@liangxu ~]# iptables-restore < 文件名称

    注意,导入的文件必须是使用 iptables-save工具导出来的才可以。

    先使用 iptables-restore 命令还原 text 文件,然后使用 iptables -t nat -nvL 命令查看清空的规则是否已经还原,如下所示:

    [root@liangxu ~]# iptables-restore < test [root@liangxu ~]# iptables -t nat -nvL Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination

    Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination

    Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination


    作者:用户3026598806652
    链接:https://juejin.cn/post/6922354523826552846
    来源:掘金
    著作权归作者所有。商业转载请联系作者获得授权,非商业转载请注明出处。

    展开全文
  • iptables(三)iptables命令详解

    万次阅读 2020-09-30 23:45:31
    iptables [-t table] COMMAND [chain] CONDITION -j ACTION -t table 是指'操作的表',filter、nat、mangle或raw,'默认使用filter' COMMAND '子命令',定义'对规则的管理' chain 指明'链路' CONDITION 匹配的'条件...
  • Linux iptables 命令详解

    2020-01-16 14:43:45
    iptables命令选项输入顺序: iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作...
  • iptables防火墙详解   iptables常用命令 iptables -nv -L 查看iptables列表 iptables -F 清空iptables规则 iptables-save > /etc/sysconfig/iptables 保存iptables规则到文件 service iptables restart ...
  • Linux Iptables命令详解

    2009-12-08 09:33:00
    IPtables命令详解用iptables -ADC 来指定链的规则,-A添加 -D删除 -C 修改iptables - [RI] chain rule num rule-specification[option]用iptables - RI 通过规则的顺序指定iptables -D chain rule...
  • iptables命令详解和举例

    万次阅读 多人点赞 2018-03-27 10:25:47
    iptables的前身叫ipfirewall (内核1.x时代),这是一个作者从freeBSD上移植过来的,能够工作在内核当中的,对数据包进行检测的一款简易访问控制工具。但是ipfirewall工作功能极其有限(它需要将所有的规则都放进内核...
  • Linux防火墙iptables学习笔记(三)iptables命令详解和举例 网上看到这个配置讲解得还比较易懂,就转过来了,大家一起看下,希望对您工作能有所帮助。 网管员的安全意识要比空喊Linux安全重要得多。 ...
  • Linux-iptables命令详解

    2020-07-15 17:48:44
    iptables 命令 对网络上的一些包通过表的形式进行限定和一些规则的修改 表主要有三种: mangle:(用的少,只有在操作级别才会用) filter:对进入的包进行过滤(默认的表) nat:网络地址转换 filter: 查看filter表...
  • IPtables命令详解 用iptables -ADC 来指定链的规则,-A添加 -D删除 -C 修改 iptables - [RI] chain rule num rule-specification[option] 用iptables - RI 通过规则的顺序指定 iptables -D ...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 12,921
精华内容 5,168
关键字:

iptables命令详解