防火墙和iptables

iptables的基本语法格式

iptables [-t 表名] 命令选项 ［链名］ ［条件匹配］ ［-j 目标动作或跳转］

说明：表名、链名用于指定 iptables命令所操作的表和链，命令选项用于指定管理iptables规则的方式（比如：插入、增加、删除、查看等；条件匹配用于指定对符合什么样 条件的数据包进行处理；目标动作或跳转用于指定数据包的处理方式（比如允许通过、拒绝、丢弃、跳转（Jump）给其它链处理。

注意：-t 表名 不指定的话 默认为filter表。

 iptables命令选项

-A 在指定链的末尾添加（append）一条新的规则
-D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除
-I 在指定链中插入（insert）一条新的规则，默认在第一行添加

-i 指定数据包流入接口，若接口名后加"+"，表示匹配该接口开头的所有接口

-R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换
-L 列出（list）指定链中所有的规则进行查看
-E 重命名用户定义的链，不改变链本身
-F 清空（flush）
-N 新建（new-chain）一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链（delete-chain）
-P 设置指定链的默认策略（policy）
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式（numeric）显示输出结果
-v 查看规则表详细信息（verbose）的信息
-V 查看版本(version)
-h 获取帮助（help）

Options:
[!] --proto  -p proto                      指定要检查哪个协议的数据包：可以是协议代码也可以是协议名称，
                                           如tcp,udp,icmp等。协议名和代码对应关系存放在/etc/protocols中
                                           省略该选项时默认检查所有协议的数据包，等价于all和协议代码0
[!] --source -s address[/mask][...]        指定检查数据包的源地址，或者使用"--src"
[!] --destination -d address[/mask][...]   指定检查数据包的目标地址，或者使用"--dst"
[!] --in-interface  -i input name[+]       指定数据包流入接口，若接口名后加"+"，表示匹配该接口开头的所有接口
[!] --out-interface -o output name[+]      指定数据包流出接口，若接口名后加"+"，表示匹配该接口开头的所有接口
  --jump        -j target                  为规则指定要做的target动作，例如数据包匹配上规则时将要如何处理
  --goto        -g chain                   直接跳转到自定义链上
  --match       -m match                   指定扩展模块
  --numeric     -n                         输出数值格式的ip地址和端口号。默认会尝试反解为主机名和端口号对应的服务名
  --table       -t table                   指定要操作的table，默认table为filter
  --verbose     -v                         输出更详细的信息
  --line-numbers                           当list规则时，同时输出行号
  --exact       -x                         默认统计流量时是以1000为单位的，使用此选项则使用1024为单位

防火墙处理数据包的四种方式

ACCEPT 允许数据包通过
DROP 直接丢弃数据包，不给任何回应信息
REJECT 拒绝数据包通过，必要时会给数据发送端一个响应的信息。
LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则

添加规则

#iptables -I INPUT -p icmp -j REJECT  //向链中插入一条规则（默认插入在第一条），对流入的所有icmp数据包，进行拒绝通过。

#iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP  //向链的尾部插入一条规则，对流入eth1网卡的所有源地址为192.168.0.0/16的数据包，进行丢弃。

封堵网段

# iptables -I INPUT -s 10.20.30.0/24 -j DROP   //对流入的 源地址属于10.20.30.0/24网段的所有数据包，进行丢弃。

# iptables -I FORWARD -s 10.20.30.0/24 -j DROP  //对转发链 源地址属于10.20.30.0/24网段的所有数据包，进行丢弃。

#iptables -I INPUT -s 192.168.1.3 -j DROP  //丢弃指定IP的数据包。

#iptables -A INPUT -i eth2 -s 192.168.1.2 -j  

限制ssh远程登录

#iptables -A INPUT -p tcp --dport 22 -s 202.13.0.0/16 -j ACCEPT  //入方向，对属于202.13.0.0/16网段的SSH数据包，允许通过。

#iptables -A INPUT -p tcp --dport 22 -j DROP  //入方向，拒绝所有ssh数据包通过。

限制端口开放

#iptables -A INPUT -p tcp --dport 20:1024 -j ACCEPT   //入方向，允许TCP开启20到1024提供服务。
#iptables -A OUTPUT -p tcp --sport 20:1024 -j ACCEP  //出方向，允许TCP开启20到1024提供服务。

#iptables -A INPUT -i eth1 -p tcp --dport 21 -j DROP  //丢弃所有通过 tcp 协议访问本机 21 端口的数据包

#iptables -A INPUT -i eth1 -p tcp -s 192.168.1.0/24 --sport 1024:65535 --dport ssh -j DROP //丢弃来自192.168.1.0/24网段的1024:65535 端口的访问本机 ssh 端口的数据包

允许转发来自192.168.0.0/24局域网段的DNS解析请求数据包

#iptables -A FORWARD -s 192.168.0.0/24 -p udp --dport 53 -j ACCEPT 
#iptables -A FORWARD -d 192.168.0.0/24 -p udp --sport 53 -j ACCEPT

限制ping 

iptables -I INPUT -p icmp --icmp-type Echo-Request -j DROP  //禁止所有主机ping本机

iptables -I INPUT -p icmp --icmp-type Echo-Reply -j ACCEPT 
iptables -I INPUT -p icmp --icmp-type destination-Unreachable -j ACCEPT   //允许本机ping其他主机

查看iptables的链和规则

#iptables -L  //列出filter表中所有链的规则（默认为filter表）

#iptables -L  INPUT //列出filter表中INPUT链的规则

#iptables -L -V  //查看更详细的信息

 红框中的内容为链的名称及其默认策略，filter 表中所有链的默认策略都是 ACCEPT。红框下面的行代表什么呢？
target：代表进行的动作，ACCEPT 是放行，REJECT 是拒绝，DROP 则是丢弃数据包。
port：代表使用的协议，主要有 tcp、udp 和 icmp 三种。
opt：额外的选项说明。
source：规则针对的来源 IP。
destination：规则针对的目标 IP。
因为默认情况下没有添加自定义的规则，所以上图中这些行下面都是空的。

 清除本机防火墙规则

#iptables -F  //清空所有制定的规则

#iptables -X  //删除指定表中用户自定义的规则链（delete-chain）

#iptables -Z  //将所有表的所有链的字节和数据包计数器清零

保存iptables规则

#iptables-save > /etc/sysconfig/iptables

 或者

#service iptables save

参考资料：

1.iptables详解 - 永志 - 博客园 (cnblogs.com)

2.防火墙和iptables - 骏马金龙 - 博客园 (cnblogs.com)