iptables命令
admin
- 2 minutes read - 300 words详细教程参考： https://blog.haohtml.com/archives/13649
语法
iptables [-t 要操作的表]
<操作命令>
[要操作的链]
[规则号码]
[匹配条件]
[-j 匹配到以后的动作]
操作命令（-A、-I、-D、-R、-P、-F）
查看命令（-[vnx]L）
如以下命令，其中-t filter为可选项，一般情况下省略不写:
iptables-t filter-AINPUT-j DROP
iptables命令参数
-A 添加规则到规则链表 iptables -A INPUT
-D 从规则链表中删除规则，可是完整规则，也可以是规则编号
-R 取代现行规则，不改变在链中的顺序如：iptables -R INPUT 1 -s 193.168.0.1 -j DROP
-I 插入一条规则 如：iptables -I INPUT 1 –dport 80 -j DROP
-L 列出某规则链中所有规则
-F 删除某规则链中所有规则
-Z 将封包计数器清零
-N 定义新的规则链
-X 删除某个规则链
-P 定义过滤政策
-E 修改自定义规则链名字
常用处理动作（用j参数指定）：
ACCEPT：放行。直接跳往下一个规则链；
REJECT：阻拦。处理后不再对比其他规则，直接中断过滤程序并传送消息（ICMP port-unreachable、
ICMP echo-reply tcp-reset）给对方。如： -j REJECT –reject-with tcp-reset
DROP：丢弃包。直接中断过滤程序；
REDIRECT：将包重新导向另一个端口。处理完后继续后续规则比对。如：-j REDIRECT –to-ports 80
MASQUERADE：改写包来源为防火墙NIC IP。可以指定port对应范围，进行完处理后，直接跳往下一个规
则链。如 -j MASQUERADE –to-ports 1024-31000
LOG：将包信息记录在/var/log中，之后继续对比其他规则。 -j LOG –log-prefix “testing”
SNAT：改写封包来源IP为某IP或IP范围。可指定port对应范围。之后跳往下一链表；
DNAT：改写封包目的IP为某IP或IP范围，可指定port对定范围，之后跳往下一链表；
-j SNAT –to-source 194.236.50.155-194.236.50.160:1024-32000
-j DNAT –to-destination 192.168.1.1-192.168.1.10:80-100
MIRROR：对调包的源和目的地址并返回，之后中断过滤程序；
QUEUE：中断过滤程序。将包放入队列，交给其他程序处理；
RETURN：结束在目前规则链中的过滤程序。返回主规则链继续过滤，若把自定义规则链看成是一个子程序，
那么这个动作就相当于提前结束子程序并返回主程序中；
MARK：将封包标上某个代号，以便提供作为后续过滤的条件判断依据，进行完处理动作后，将会继续对比其
他规则iptables -t mangle -A PREROUTING -p tcp –dport 22 -j MARK –set mark 2
常用封包对比参数：
-p:协议，可以用!运算子，全部用all（后可跟–SYN、ACK、RST、FIN、URG、PSH）
-s -d：源、目的地址；
-i:用来对比包是从哪个网卡进入，可用通配符+，如-i eth+表示所有网卡；
-o：用来表示包从哪片网卡出；
–sport –dport：源和目的端口，可指定范围；
-m(–multiport):指定多个端口；例
iptables -A INPUT -p tcp -m multiport –source-port 22,53,80
iptables -A INPUT -p tcp -m multiport –destination-port 22,53,80
iptables -A INPUT -p tcp -m multiport –port 22,53,80
–icmp-type：跟在ICMP协议后面，如
iptables -A INPUT -p icmp –imcp-type 8
-m limit
–limit：设置某段时间内包的流量，单位如/second，/minute等；
–limit-burst：设置瞬涌入包的数量上限；
-m mac –mac-source：包来源的硬件地址；
-m mark –mark：检查包是否被标记成某个号码，执行mark动作；
-m owner –uid-owner/gid-owner/sid-owner/pid-owner匹配包的所有者；
-m state –state:匹配联机状态，有四种状态INVALID、ESTEBLISHED、NEW、RELATED如ftp的数据
传输连接和控制连接就是一个RELATED关系；
iptables规则配置保存：
(1) 方法一： # service iptables save
(2) 方法二： # iptables-save > /etc/sysconfig/iptables
iptables规则的删除-怎么删除一条已有的iptables规则
在学习IPTABLES命令时，往往只有怎么往链里添加规则，并没有说怎么删除规则，而在实际的使用时。删除规则也很常用的。
在网上找了一下，删除规则的命令方法：
语法是： iptables -D chain rulenum [options]
其中： chain 是链的意思，就是INPUT FORWARD 之类的定语
rulenum 是该条规则的编号。从1开始。可以使用iptables -L INPUT –line-numbers列出指定的链的规则的编号来。所以，例如上面要删除一个INPUT链的规则的话可以这样：
iptables -D INPUT 3
意思是删除第3条规则。
还有第二种方法
第二种办法是 -A 命令的映射，不过用-D替换-A。当你的链中规则很复杂，而你不想计算它们的编号的时候这就十分有用了。
也就是说，你如何一开始时用iptables -A…. 语句定义了一个规则，那么删除此条规则时直接用 -D 来代替- A， 其余的都不变即可，而不需要什么编号了。
======================
说一下上面的 –line-numbers 选项，如下面的命令：
iptables -L INPUT –line-numbers 列出INPUT 链所有的规则
num target prot opt source destination
1 REJECT tcp — anywhere anywhere tcp dpt:microsoft-ds reject-with icmp-port-unreachable
2 REJECT tcp — anywhere anywhere tcp dpt:135 reject-with icmp-port-unreachable
3 REJECT tcp — anywhere anywhere tcp dpt:netbios-ssn reject-with icmp-port-unreachable
4 REJECT udp — anywhere anywhere udp dpt:microsoft-ds reject-with icmp-port-unreachable
5 REJECT udp — anywhere anywhere udp dpt:135 reject-with icmp-port-unreachable
…
…
删除指定的第4行规则：
iptables -D INPUT 4