iptables实例学习.doc

iptables 实例 学习 ? iptables实例学习2010-06-01 22：06设定规则 iptables-p INPUT DROP iptables-p OUTPUT ACCEPT iptables-p FORWARD DROP1、防止外网用内网IP欺骗 iptables-t nat-A PREROUTING-i eth0-s /8-j DROP iptables-t nat-A PREROUTING-i eth0-s /12-j DROP iptables-t nat-A PREROUTING-i eth0-s /16-j DROP查看nat规则 iptables-t nat-L2、如果想取消上面所加的规则： iptables-F-t nat iptables-X-t nat iptables-Z-t nat3、阻止一个IP连接本机 iptables-t filter-A INPUT-s -i eth0-j DROP4、查看本机的IPTABLES的所填规则 iptables-L-n5、清除filter中所有的规则连接 iptables-F清除filter中使用者自定义连接中的规则 iptables-X6、保存所修改的iptables规则 /etc/rc.d/init.d/iptables save重新启动iptables服务 service iptables restart7、关闭不安全的端口连接本机 iptables-A OUTPUT-p tcp--sport 31337-j DROP iptables-A OUTPUT-p tcp--dport 31337-j DROP8、开启所需要的端口 22 iptables-A INPUT-p tcp--dport 22-j ACCEPT iptables-A OUTPUT-p tcp--sport 22-j ACCEPT 80 iptables-A OUTPUT-p tcp--sport 80-j ACCEPT iptables-A INPUT-p tcp--dport 80-j ACCEPT9、禁止一个IP或者一个IP段访问服务器端口服务 80端口iptabl es-t filter-I INPUT 2-s /24-p tcp--dport http-j DROPFTP端口iptables-t filter-I INPUT 2-s -p tcp--dport ftp-j DROP用iptables-ADC来指定链的规则，-A添加-D删除-C修改iptables-[RI]chain rule num rule-specification[option]用iptables-RI通过规则的顺序指定iptables-D chain rule num[option]删除指定规则iptables-[LFZ][chain][option]用iptables-LFZ链名[选项]iptables-[NX]chain用-NX指定链iptables-P chain target[options]指定链的默认目标iptables-E old-chain-name new-chain-name-E旧的链名新的链名用新的链名取代旧的链名说明Iptalbes是用来设置、维护和检查Linux内核的IP包过滤规则的。可以定义不同的表，每个表都包含几个内部的链，也能包含用户定义的链。每个链都是一个规则列表，对对应的包进行匹配：每条规则指定应当如何处理与之相匹配的包。这被称作target(目标)，也可以跳向同一个表内的用户定义的链。TARGETS防火墙的规则指定所检查包的特征，和目标。如果包不匹配，将送往该链中下一条规则检查；如果匹配,那么下一条规则由目标值确定.该目标值可以是用户定义的链名,或是某个专用值,如ACCEPT[通过],DROP[删除],QUEUE[排队],或者RETURN[返回]。ACCEPT表示让这个包通过。DROP表示将这个包丢弃。QUEUE表示把这个包传递到用户空间。RETURN表示停止这条链的匹配，到前一个链的规则重新开始。如果到达了一个内建的链(的末端)，或者遇到内建链的规则是RETURN，包的命运将由链准则指定的目标决定。TABLES当前有三个表(哪个表是当前表取决于内核配置选项和当前模块)。-t table这个选项指定命令要操作的匹配包的表。如果内核被配置为自动加载模块，这时若模块没有加载，(系统)将尝试(为该表)加载适合的模块。这些表如下：filter,这是默认的表，包含了内建的链INPUT(处理进入的包)、FORWORD(处理通过的包)和OUTPUT(处理本地生成的包)。nat,这个表被查询时表示遇到了产生新的连接的包,由三个内建的链构成：PREROUTING(修改到来的