iptables使用方法
『鸟哥的私房菜』之笔记
iptables [-AI 链名] [-io 网卡界面] [-p 协议] [-s 来源IP/网段] [-d 目标IP/网段] [--sport 端口范围] [-dport 端口范围] --syn [-m state/mac] [--state 状态]/[-mac-source 00:00:00:00:00:00] -j [ACCEPT/DROP/REJECT]
iptables [-AI INPUT/OUTPUT/FORWARD] [-io eth0/eth1] [-p tcp/udp/icmp/all] [-s 192.168.1.10/192.168.1.0/24] [-d 192.168.2.10/192.168.2.0/24] [--sport 1024:65534] [-dport 21/ssh] --syn [-m state/mac] [--state ESTABLISHED/NEW/RELATED]/[-mac-source 00:00:00:00:00:00] -j [ACCEPT/DROP/REJECT]
解释：
-AI 链名：针对某的链进行规则的 "插入" 或 "累加"
-A ：新增加一条规则，该规则增加在原本规则的最后面。例如原本已经有四条规则，
使用 -A 就可以加上第五条规则！
-I ：插入一条规则。如果没有指定此规则的顺序，预设是插入变成第一条规则。
例如原本有四条规则，使用 -I 则该规则变成第一条，而原本四条变成 2~5 号
链 ：有 INPUT, OUTPUT, FORWARD 等，此链名称又与 -io 有关，请看底下。
-io 网路介面：设定封包进出的介面规范
-i ：封包所进入的那个网路介面，例如 eth0, lo 等介面。需与 INPUT 链配合；
-o ：封包所传出的那个网路介面，需与 OUTPUT 链配合；
-p 协定：设定此规则适用于哪种封包格式
主要的封包格式有： tcp, udp, icmp 及 all 。
-s 来源 IP/网域：设定此规则之封包的来源项目，可指定单纯的 IP 或包括网域，例如：
IP ：192.168.0.100
网域：192.168.0.0/24, 192.168.0.0/255.255.255.0 均可。
若规范为『不许』时，则加上 ! 即可，例如：
-s ! 192.168.100.0/24 表示不许 192.168.100.0/24 之封包来源；
-d 目标 IP/网域：同 -s ，只不过这里指的是目标的 IP 或网域。
--sport 埠口范围：限制来源的埠口号码，埠口号码可以是连续的，例如 1024:65535
--dport 埠口范围：限制目标的埠口号码。
-m ：一些 iptables 的外挂模组，主要常见的有：
state ：状态模组
mac ：网路卡硬体位址 (hardware address)
--state ：一些封包的状态，主要有：
INVALID ：无效的封包，例如资料破损的封包状态
ESTABLISHED：已经连线成功的连线状态；
NEW ：想要新建立连线的封包状态；
RELATED ：这个最常用！表示这个封包是与我们主机发送出去的封包有关
-j ：后面接动作，主要的动作有接受(ACCEPT)、丢弃(DROP)、拒绝(REJECT)及记录(LOG)