配置与管理防火墙.ppt

4．动作/目标选项 动作/目标决定符合条件的数据包将如何处理，其中最为基本的有ACCEPT和DROP。 介绍常用的动作/目标如表 9.3.2 任务2 认识iptables的基本语法 9.3.3 任务3 设置默认策略 在iptables中，所有的内置链都会有一个默认策略。当通过iptables的数据包不符合链中的任何一条规则时，则按照默认策略来处理数据包。 定义默认策略的命令格式如下。 iptables [-t 表名] -P 链名 动作 【例9-1】 将filter表中INPUT链的默认策略定义为DROP（丢弃数据包）。 [root@server ～]# iptables -P INPUT -j DROP 【例9-2】 将nat表中OUTPUT链的默认策略定义为ACCEPT（接受数据包）。 [root@server ～]# iptables -t nat -P OUTPUT -j ACCEPT 9.3.4 任务4 配置iptables规则 【例9-4】 查看filter表中FORWARD链的规则。 9.3.4 任务4 配置iptables规则 2．添加、删除、修改规则 【例9-5】 为filter表的INPUT链添加一条规则，规则为拒绝所有使用ICMP协议的数据包。 9.3.4 任务4 配置iptables规则 9.3.4 任务4 配置iptables规则 【例9-6】 为filter表的INPUT链添加一条规则，规则为允许访问TCP协议的80端口的数据包通过。 9.3.4 任务4 配置iptables规则 【例9-7】 在filter表中INPUT链的第2条规则前插入一条新规则，规则为不允许访问TCP协议的53端口的数据包通过。 9.3.4 任务4 配置iptables规则 【例9-8】 在filter表中INPUT链的第一条规则前插入一条新规则，规则为允许源IP地址属于/16网段的数据包通过。 9.3.4 任务4 配置iptables规则 【例9-9】 删除filter表中INPUT链的第2条规则。 9.3.4 任务4 配置iptables规则 当某条规则过长时，可以使用数字代码来简化操作，如下所示。 使用-1ine-n参数来查看规则代码。 [root@server ～]# iptables -L INPUT --line -n Chain INPUT（policy ACCEPT） num target prot opt source destination 1ACCEPT all -- /16 anvwhere 2 DROP icmp -- anvwhere anvwhere 3 DROP tcp -- anvwhere anvwhere tcp dpt:domain 4 ACCEPT tcp -- anvwhere anvwhere tcp dpt:http 9.3.4 任务4 配置iptables规则 #直接使用规则代码进行删除 9.3.4 任务4 配置iptables规则 【例9-10】 清除filter表中INPUT链的所有规则。 [root@server ～]# iptables -F INPUT #查看规则列表 [root@ server ～]# iptables -L INPUT Chain INPUT（policy ACCEPT） target prot opt source destination 9.3.4 任务4 配置iptables规则 3．保存规则与恢复 iptables提供了两个很有用的工具来保存和恢复规则，这在规则集较为庞大的时候非常实用。它们分别是iptables-save和iptables-restore。 iptables-save用来保存规则，它的用法比较简单，命令格式如下。 iptables-save [-c] [-t 表名] -c：保存包和字节计数器的值。这可以使在重启防火墙后不丢失对包和字节的统计。 -t：用来选择保存哪张表的规则，如果不跟-t参数则保存所有的表。 9.3.4 任务4 配置iptables规则 当使用iptables-save命令后可以在屏幕上看到输出结果，其中*表示的是表的名字，它下面跟的是该表中的规则集。 9.3.4 任务4 配置iptables规则 9.3.4 任务4 配置iptables规则 可以使用重定向命令来保存这些规则集，如下所示。 [root@server ～