iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
" l9 q: t( L: \3 \8 I; @3 \CentOS执行：yum install iptables
  f  V4 N! g; |, C0 \, z$ F Debian/Ubuntu执行：apt-get install iptables
; s4 y1 D0 I! [6 L
, E: k- p( b6 J; h9 J; x! p+ J2、清除已有iptables规则
iptables -F
iptables -X
iptables -Z
( V, v5 Z& T" \; J+ o/ m5 N. }6 F
3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
+ `, ~' L2 V5 J4 A3 E1 fiptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
" c) |3 U- z. T4 ]: b0 I # 允许已建立的或相关连的通行
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
iptables -A OUTPUT -j ACCEPT
8 H" J' ^  D* n  \- q9 Q+ C # 允许访问22端口
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
#允许访问80端口
iptables -A INPUT -p tcp –dport 80 -j ACCEPT
& ]+ S* r8 S# U8 Z5 t, G #允许FTP服务的21和20端口
' l1 Y% R- \$ @$ A0 Q6 |iptables -A INPUT -p tcp –dport 21 -j ACCEPT
iptables -A INPUT -p tcp –dport 20 -j ACCEPT
- [6 k8 X( c+ L( b( \ #如果有其他端口的话，规则也类似，稍微修改上述语句就行
8 S1 ?7 h5 A& L  Q0 q) e#禁止其他未允许的规则访问
iptables -A INPUT -j REJECT
iptables -A FORWARD -j REJECT
$ Z7 X4 Q3 I3 v9 J  |. x
4、屏蔽IP
#如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
#屏蔽单个IP的命令是
iptables -I INPUT -s 123.45.6.7 -j DROP
! f  z  n7 b" Y3 u #封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP
9 d. }8 a" `6 y) R7 \6 i+ ]4 g #封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP
8 G6 X- [. ?/ A, n& ? #封IP段即从123.45.6.1到123.45.6.254的命令是
4 N0 {0 {) F0 Z% y2 Yiptables -I INPUT -s 123.45.6.0/24 -j DROP
( Q2 \# f* a5 p: d; r$ B8 }
+ K& w1 m" q# G' i: f4 a4、查看已添加的iptables规则
6 ?* L8 ~. n4 N* X" ciptables -L -n
v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
( d; m3 _! t& ?6 E! X9 @+ bn：只显示IP地址和端口号，不将ip解析为域名

7 u) n1 C6 b: h# N0 J5、删除已添加的iptables规则
; @7 ^' D. c9 J) n5 s6 F# A 将所有iptables以序号标记显示，执行：
iptables -L -n –line-numbers
* u! F4 ?  g/ {- |- V6 D& F比如要删除INPUT里序号为1的规则，执行：
iptables -D INPUT 1
2 _% Z. u& k" S
6、iptables的开机启动及规则保存
chkconfig –level 345 iptables on
CentOS上可以执行：service iptables save保存规则
  X) g+ E  A  v( S; m9 ylinux下使用iptables封ip段的一些常见命令：
  D* D) w( a7 D 封单个IP的命令是：
iptables -I INPUT -s 211.1.0.0 -j DROP
封IP段的命令是：
, o- H/ s* Y) jiptables -I INPUT -s 211.1.0.0/16 -j DROP
3 i0 i' j. n# n. C7 a! \ iptables -I INPUT -s 211.2.0.0/16 -j DROP
iptables -I INPUT -s 211.3.0.0/16 -j DROP

" z4 U( v% {" o9 b8 k封整个段的命令是：
! G" R. N8 X0 G* e1 E" \iptables -I INPUT -s 211.0.0.0/8 -j DROP

+ `* g/ D2 p2 C2 P' o+ N封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP
1 w! U5 H& z3 _! ~0 S' v$ D+ p9 x
2 g9 T, b4 ?  }+ t解封的话：
) C3 ]; Y  c+ Xiptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了

8 q: Y2 S* m+ Z! r  y& Y关闭： /etc/rc.d/init.d/iptables stop
启动： /etc/rc.d/init.d/iptables start
" h' `/ i4 j9 t$ x重启： /etc/rc.d/init.d/iptables restart
) D- Z3 L% J4 V% w, I! n# ]6 ~
3 ]+ D& Q1 ]) N& j  j1、重启后生效
开启：chkconfig iptables on
0 ~# x: l) H% P, S关闭：chkconfig iptables off
2、即时生效，重启后失效
) h4 V7 Q+ B6 P* V 开启：service iptables start
4 j! g8 }* M& X2 o) e* Y# s( {关闭：service iptables stop