iptables [-t 表] -命令 匹配 操作
说明
（1） -t 表
表选项用于指定命令应用于哪个iptables内置表。
（2）命令
命令选项用于指定iptables的执行方式，包括插入规则，删除规则和添加规则，如下表所示
命令 说明
| -P | --policy 链名> | 定义默认策略 |
| -L | --list 链名> | 查看iptables规则列表 |
| -A | --append 链名> | 在规则列表的最后增加1条规则 |
| -I | --insert 链名> | 在指定的位置插入1条规则 |
| -D | --delete 链名> | 从规则列表中删除1条规则 |
| -R | --replace 链名> | 替换规则列表中的某条规则 |
| -F | --flush 链名> | 删除表中所有规则 |
| -Z | --zero 链名> | 将表中数据包计数器和流量计数器归零 |
| -X | --delete-chain 链名> | 删除自定义链 |
| -v | --verbose 链名> | 与-L它命令一起使用显示更多更详细的信息 |
（3） 匹配规则
匹配选项指定数据包与规则匹配所具有的特征，包括源地址，目的地址，传输协议和端口号，如下表所示
匹配 说明
-i --in-interface 网络接口名> 指定数据包从哪个网络接口进入，
-o --out-interface 网络接口名> 指定数据包从哪个网络接口输出
-p ---proto协议类型 指定数据包匹配的协议，如TCP、UDP和ICMP等
-s --source 源地址或子网> 指定数据包匹配的源地址
--sport 源端口号> 指定数据包匹配的源端口号
--dport 目的端口号> 指定数据包匹配的目的端口号
-m --match 匹配的模块 指定数据包
规则所使用的过滤模块
linux netfilter/Iptables包过滤防火墙
带状态检查的包过滤防火墙：状态：new,established，invalid,related
new：syn=1 新发起的请求
established ： syn<>1 ack=1 fyn<>1 已建立的连接
output：一般都是ESTABLISHED
related：关联到的状态. ftp 的连接
默认规则：
*filter # 使用 iptables -P INTPUT|OUTPUT|FORWARD DROP :INPUT DROP [41:5302] :FORWARD DROP [0:0] :OUTPUT DROP [0:0] iptables -A INPUT -s 172.16.0.0/16 -d 172.16.100.7/32 -p tcp -m tcp --dport 22 -j ACCEPT # 在input链上 -s指定源地址：172.16.0.0/16 -d 指定目标地址 172.16.100.7 (本机) -p 指定协议(tcp) -m 扩展选项(tcp) 允许172.16.0.0/16这个网段用户能够访问本地的sshd服务进行访问 iptables -A INPUT -d 172.16.100.7/32 -p tcp -m tcp --dport 80 -j ACCEPT # 在input链上 -d 指定目标地址 172.16.100.7 -s 忽略表示所有的,允许所有用户对本地的web服务进行访问 iptables -A INPUT -i lo -j ACCEPT # 允许本机对自己本地回环地址进行访问 iptables -A OUTPUT -s 172.16.100.7/32 -d 172.16.0.0/16 -p tcp -m tcp --sport 22 -j ACCEPT # 在output链上 -s指定源地址：172.16.100.7(本机) -d 制动目标地址 172.16.0.0/16 -p 指定协议(tcp) -m 扩展选项(tcp) 允许172.16.0.0/16这个网段用户能够访问本地的sshd服务进行访问 iptables -A OUTPUT -s 172.16.100.7/32 -p tcp -m tcp --sport 80 -j ACCEPT # 在output链上 -s指定：172.16.100.7(本机) -p 指定协议(tcp) -m 扩展选项 允许所有用户对本地的web服务进行访问 -j ：指定允许 或拒绝（ＡＣＣＥＰＴ ＤＲＯＰ） -A OUTPUT -o lo -j ACCEPT # 允许本机对自己本地回环地址进行访问
# iptables -P INPUT DROP # 将默认INPUT链策略改为拒绝,起初是ACCEPT # iptables -P OUTPUT DROP # 将默认OUTPUT链策略改为拒绝,起初是ACCEPT # iptables -L -v -n Chain INPUT (policy DROP 5 packets, 843 bytes) pkts bytes target prot opt in out source destination 247 17320 ACCEPT tcp -- * * 0.0.0.0/0 172.16.251.132 tcp dpt:22 state NEW,ESTABLISHED Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination Chain OUTPUT (policy DROP 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 146 14752 ACCEPT tcp -- * * 172.16.251.132 0.0.0.0/0 tcp spt:22 state ESTABLISHED # iptables -A INPUT -d 172.16.251.132 -p udp --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT # iptables -A OUTPUT -s 172.16.251.132 -p udp --dport 53 -m state --state ESTABLISHED -j ACCEPT # 开放所有用户对本机DNS服务器的请求 # iptables -A INPUT -d 172.16.251.132 -p tcp --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT # iptables -A OUTPUT -s 172.16.251.132 -p tcp --dport 53 -m state --state ESTABLISHED -j ACCEPT # 因为DNS主从复制的时候使用的就是TCP的53号端口,所以也要开放
规则优化：
# iptables -A INPUT -d 172.16.100.7/32 -m state --state ESTABLISHED -j ACCEPT # 所有用户所有的数据包只要是,只要是已连接的请求统统ACCEPT统统放行 # iptables -A INPUT 2 -d 172.16.251.132 -p tcp -m state --state NEW,ESTABLISHED -m multiport --destination-ports 22,53,80 -j ACCEPT # 使用-m multiport --destination-ports 22,53,80 指定多个目标端口 # iptables -A OUTPUT -s 172.16.100.7/32 -m state --state ESTABLISHED -j ACCEPT # 所有只要使用本机流出的数据包并且状态为established 统统放行