iptables (一)

filter

这是默认表，过滤规则表，根据预定义的规则过滤符合条件的数据包

应用场景:主机防火墙

INPUT

过滤所有目标是本机地址的数据包

FORWARD

转发流经本机的数据包。起到转发的作用

OUTPUT

处理所有源地址是本机地址的数据包,就是处理从主机发出的数据包

nat

负责网络地址转换

应用场景:局域网共享上网

FREROUTING

在数据包到达防火墙时，进行路由判断之前执行的规则，

作用是改变数据包的目的地址、目的端口等

OUTPUT

与主机流出去的数据包有关，改变主机发出数据包的目的地址

POSTROUTING

在数据包离开防火墙时进行路由判断之后执行的规则，

作用改变数据包的源地址，源端口等。

mangle

这个表专门用于改变数据包的结构（一般改变数据包首部格式）

修改数据标记位规则表

INPUT

进入到设备本身的包

FORWARD

对路由后的数据包信息进行修改

FREROUTING

在路由之前更改传入的包

OUTPUT

本地创建的数据包在路由之前改变

POSTROUTING

在数据包即将离开时更改数据包信息

raw

关闭NAT表上启用的连接跟踪机制，加快封包穿越防火墙速度

PREROUTING

for packets arriving via any network interface

OUTPUT

for packets  generated by local processes

INPUT

FORWARD

OUTPUT

PREROUTING

POSTROUTING

filter

O

O

O

×

×

nat

×

×

O

O

O

mangle

O

O

O

O

O

raw

×

×

O

O

×

说明：O 表示有，× 表示无。

INPUT

FORWARD

OUTPUT

PREROUTING

POSTROUTING

filter

O

O

O

×

×

nat

O

×

O

O

O

manale

O

O

O

O

O

raw

×

×

O

O

×

说明：O 表示有，× 表示无。

显示相关参数

-n

以数字的方式显示地址或端口信息

-L

列出一个链或所有链中的规则信息

-S

以iptables-save 命令格式显示链上规则

--line-number

显示规则的序号

-v 或 -vv

显示详细信息

-x

显示计数器结果的精确值,而非单位转换后的易读值

链管理相关参数

iptables -X

删除自定义的空的规则链

iptables -Z

链的计数器清零（数据包计数器与数据包字节计数器）

iptables -N

创建新的用户定义链

iptables -P

设置默认策略；对filter表中的链而言，其默认策略有：

ACCEPT：接受

DROP：丢弃

iptables -E

重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除

规则管理常用参数(在前面加感叹号，表示是取反)

-t 表名称

指定配置哪个表（4表)，指定配置表名称。

-A 链名称

追加到指定链(链名称必须大写)，默认将配置的规则插入到当前规则最后一条。

-I 链名称

插入相应规则策略，到指定链上，默认将配置的规则插入到第一条

（可以根据规则序号插入到指定位置）

-D 链名称

删除指定的规则(可以根据以下方法删除

(1) 指明规则序号

(2) 指明规则本身)

-R 链名称 规则编号

替换指定链上的指定规则编号

例：iptables -R INPUT 2

-C

检查规则是否存在

-F

清除所有规则，不会处理默认的规则

-Z

置零计数器

iptables的每条规则都有两个计数器

(1) 匹配到的报文的个数

(2) 匹配到的所有报文的大小之和

[!] -p 协议名称

指定规则的协议名称,可以使用协议代表的数字表示

常见值为all ,tcp, udp, icmp,

参看：/etc/protocols

-j 动作

匹配数据包后的动作    

ACCEPT

允许

DROP

丢弃(没有响应)推荐使用

REJECT

拒绝(回应请求者明确的拒绝)

MASQUERADE

伪装上网时使用

SNAT

共享地址上网

DNAT

目的地址改写

[!] -i

报文流入的接口；只能应用于数据报文流入环节，

只应用于INPUT、FORWARD、PREROUTING链

[!] -o

报文流出的接口；只能应用于数据报文流出的环节，

只应用于FORWARD、OUTPUT、POSTROUTING链

[!] -s

指定源IP地址或源网段信息

address[/mask][,...]

[!] -d

指定目标IP地址或目标网段信息

address[/mask][,...]

扩展参数

需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效

查看帮助 man iptables-extensions

隐式扩展

在使用 -p 选项指明了特定的协议时，无需再用-m选项指明扩展模块的扩展机制，

不需要手动加载扩展模块

tcp协议的扩展选项

--dport

匹配报文目标端口,可为端口范围

--sport

匹配报文源端口,可为端口范围

显式扩展

必须使用-m选项指明要调用的扩展模块的扩展机制

要手动加载扩展模块

-m 模块

表示加载扩展功能的参数（可以加载扩展参数）

multiport

以离散方式定义多端口匹配,

最多指定15个端口

iprange

指明连续的ip地址范围

（但一般不是整个网络）

icmp

使用icmp的扩展

mac

指明源MAC地址

time

根据将报文到达的时间与指定的时间范围

进行匹配

string

对报文中的应用层数据做字符串模式匹配检测

connlimit

根据每客户端IP做并发连接数数量匹配

可防止CC(Challenge Collapsar挑战黑洞)攻击

limit

基于收发报文的速率做匹配

state

根据”连接追踪机制“去检查连接的状态，

较耗资源