iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
) e. q8 V# \6 O; {+ fCentOS执行：yum install iptables
Debian/Ubuntu执行：apt-get install iptables

2、清除已有iptables规则
7 ^+ S+ l8 E+ Viptables -F
" J6 ?8 N8 k2 K: N* k8 Q iptables -X
iptables -Z
8 ]+ }; \& T* a9 x$ t, L+ A
  E5 m6 o0 g+ _& @  w3、开放指定的端口
! Z* `  g% w% P#允许本地回环接口(即运行本机访问本机)
3 L, T9 S# v# A% d9 O7 y0 Wiptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
0 R  K' ~" P- |4 L( p% ?, e2 I # 允许已建立的或相关连的通行
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
" y& \; e7 j2 d* Qiptables -A OUTPUT -j ACCEPT
# 允许访问22端口
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
#允许访问80端口
% [  D9 r. ?9 \4 V& m! aiptables -A INPUT -p tcp –dport 80 -j ACCEPT
5 Z" J. L& u8 d# z #允许FTP服务的21和20端口
1 M% o1 l4 m3 Diptables -A INPUT -p tcp –dport 21 -j ACCEPT
iptables -A INPUT -p tcp –dport 20 -j ACCEPT
+ h: I  k+ v! b4 _ #如果有其他端口的话，规则也类似，稍微修改上述语句就行
5 t/ o- Z8 P# ^$ t# h3 e#禁止其他未允许的规则访问
  k; Y! d5 n5 F) j' O! Ziptables -A INPUT -j REJECT
iptables -A FORWARD -j REJECT
* N5 J2 @7 R/ A& V) Q  {% j
# t  h- L* X: _' q8 v4、屏蔽IP
#如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
" c8 a- p' p0 L+ d  i( b#屏蔽单个IP的命令是
3 L1 p7 m% [, w& ^- m1 \iptables -I INPUT -s 123.45.6.7 -j DROP
#封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP
4 p2 _" E. n4 i7 W( q* @# m #封IP段即从123.45.0.1到123.45.255.254的命令
) ^8 S( f$ ^! u6 U8 f- F& Jiptables -I INPUT -s 124.45.0.0/16 -j DROP
, V) i' G4 J* }# U9 C% Q #封IP段即从123.45.6.1到123.45.6.254的命令是
4 r5 F! z$ C4 H4 \- T) U' P8 w9 f- `! Piptables -I INPUT -s 123.45.6.0/24 -j DROP

' k* |# O( ]" n! Y+ B4、查看已添加的iptables规则
iptables -L -n
9 u, Y2 I% Y1 u3 ~ v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示IP地址和端口号，不将ip解析为域名
  f9 i# A! t6 q
6 V4 y/ N' g7 a- O8 T" K5、删除已添加的iptables规则
, H* I. G# C" u- }+ Y 将所有iptables以序号标记显示，执行：
' W2 @/ D7 P9 \  \# Jiptables -L -n –line-numbers
比如要删除INPUT里序号为1的规则，执行：
iptables -D INPUT 1
$ }, p0 t5 ^& v2 k  |
6、iptables的开机启动及规则保存
4 @" E$ q3 Q3 X8 X; Kchkconfig –level 345 iptables on
+ a: T  F: `5 W) E CentOS上可以执行：service iptables save保存规则
' s7 l3 ]  j, x+ Z( mlinux下使用iptables封ip段的一些常见命令：
封单个IP的命令是：
. Z6 ~8 P. Q; p. q5 Uiptables -I INPUT -s 211.1.0.0 -j DROP
" }; n* Z* ]  Z封IP段的命令是：
( [; W0 {! M* m5 g, f6 niptables -I INPUT -s 211.1.0.0/16 -j DROP
$ |2 ^- ^& L5 Z" h* G iptables -I INPUT -s 211.2.0.0/16 -j DROP
/ Z: q/ [1 \$ P1 e6 a. m% j. Z) J  c iptables -I INPUT -s 211.3.0.0/16 -j DROP
  h; \; T* b. I2 f4 n3 N
封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP

封几个段的命令是：
& D. i1 C' e) ~6 ^+ ?+ oiptables -I INPUT -s 61.37.80.0/24 -j DROP
" b1 h5 j7 x: M1 c$ t iptables -I INPUT -s 61.37.81.0/24 -j DROP
! l+ e& g0 c) h. }7 b( D; U+ a) G
解封的话：
' d6 O# T9 }3 p7 {8 g2 qiptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了

9 v& g0 D; v- W关闭： /etc/rc.d/init.d/iptables stop
- t' f% {. A- y; ?, [% W; ^启动： /etc/rc.d/init.d/iptables start
+ n3 X2 Z# C9 O; t0 l, R# {重启： /etc/rc.d/init.d/iptables restart
( L( k/ ]4 d; {0 ]$ @3 P4 ]
1、重启后生效
开启：chkconfig iptables on
! d- y8 y3 @) {0 _4 \0 f% Z关闭：chkconfig iptables off
2、即时生效，重启后失效
开启：service iptables start
. B2 n, |* G, W% g1 B关闭：service iptables stop