对于linux用户来说,iptable是必不可少的必备技能之一! 可能跟多人都会感觉iptables很难,一点都不熟悉!感觉乱七八糟的!其实iptables(防火墙)难得不是命令多么复杂。而是你把逻辑关系搞懂了!剩下的命令也就是有点手生的感觉!但是都能看懂是干嘛的了!下边这张图说明了五个链的作用!
网络A 路由选择入站到出站
数据 INPUT(入站) ---> OUTPUT(出站)
↓ ↑ ↓
路由选择让数据入站 出站到路由后 网络B
PREROUTING(路由前) POSTROUTING(路由后) → 出站数据
路由选择不入站
↓ 因为转发,没有入站 ↑
FORWARD(转发) →→→→ ↑
看完这个有点烂的拓扑图,是不是对防火墙工作的运转有了个大概的了解呢!下边说一下四个表的作用
表之间的匹配顺序是raw →→mangle →→nat →→filter表!下边说一下那个表中包含了什么链!
raw表 mangle表 nat表 filter表
路由前 路由前 路由前 入站
PREROUTING PREROUTING PREOUTING INPUT
出站 路由后 路由后 转发
OUTPUT POSTROUTING POSTROUTING FORWARD
入站 出站 出站
INPUT OUTPUT OUTPUT
出站
OUTPUT
转发
FORWARD
这是四个表中包含的链,默认情况下,一般对filter表操作的最多!下面说下处理动作,
ACCEPT:允许通过 DROP:直接丢弃,不给回应 REJECT:拒绝通过,会给回应 LOG:记录日志,然后传给下一条规则。iptables是匹配到就执行匹配到的操作,停止向下匹配LOG是匹配规则之外的!
查看表规则
iptables -nL
修改默认表规则
iptables -P INPUT DROP
插入表规则
iptables -I INPUT -p tcp --dport 80 -j ACCEPT #开放本机80端口
iptables -I INPUT -p tcp --dport 80 -j REJECT #关闭本机80端口
iptables -I INPUT -s 192.168.1.1 -j ACCEPT #允许这个IP访问本机
iptables -I INPUT -p tcp --dport 80 -s 192.168.1.1 -j DROP #拒绝这个IP访问本机80端口
iptables -t filter -I INPUT -p icmp -j REGECT #拒绝ping本机
iptables -t nat -A PREROUTING -p tcp -i eth0 -d 192.168.1.1 --dport 80 -j DNAT --to 192.168.1.1:8080 #将访问本机的80端口转到8080端口上去
保存防火墙规则
service iptables save
查看防火墙规则
service iptables status
iptables -nL --line-numbers #显示规则行号
删除防火墙规则
iptables -D INPUT 2 #删除INPUT中的第二条规则
好了,关于防火墙的简单介绍就说到这了!有很多都没有说,包括一些参数也没有解释!因为iptables看着看着就懂那些参数是干嘛的了!希望大家有所收获!明白防火墙的工作流程之后,自己写防火墙规则的话也不会是不知道该怎么下手了!
希望大家又说收获!在此祝福大家生活愉快!
本文出自 “linux服务” 博客，请务必保留此出处http://9239489.blog.51cto.com/9229489/1640127
原文地址：http://9239489.blog.51cto.com/9229489/1640127
