iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
' S1 |) v0 a$ F1 w. |) v8 FCentOS执行：yum install iptables
Debian/Ubuntu执行：apt-get install iptables

2 s1 o. M, G7 z) d2、清除已有iptables规则
iptables -F
iptables -X
iptables -Z

3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
$ [( E9 M- {& g' A" Q7 H # 允许已建立的或相关连的通行
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
) f" i) k0 u8 biptables -A OUTPUT -j ACCEPT
# 允许访问22端口
- e$ l: R$ i0 xiptables -A INPUT -p tcp –dport 22 -j ACCEPT
#允许访问80端口
* `: e! A; f$ p+ ]iptables -A INPUT -p tcp –dport 80 -j ACCEPT
#允许FTP服务的21和20端口
, M8 z' Q% }! N0 B' Miptables -A INPUT -p tcp –dport 21 -j ACCEPT
iptables -A INPUT -p tcp –dport 20 -j ACCEPT
#如果有其他端口的话，规则也类似，稍微修改上述语句就行
% y( h! n; h$ u( T, ~$ B6 @#禁止其他未允许的规则访问
  i6 ~- ~& x) O7 T* Q2 y5 b- P3 piptables -A INPUT -j REJECT
0 g5 _* d* L8 T2 N% {& G( d iptables -A FORWARD -j REJECT
" G" y2 P4 A; E* X; R# T% `
* d8 m+ D9 l4 |7 n4、屏蔽IP
% x2 R, N4 w* N4 i  V# L #如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
#屏蔽单个IP的命令是
iptables -I INPUT -s 123.45.6.7 -j DROP
#封整个段即从123.0.0.1到123.255.255.254的命令
6 I/ y  ~( h0 |4 r7 q9 Z; Biptables -I INPUT -s 123.0.0.0/8 -j DROP
) q8 _  v1 M* }$ i' { #封IP段即从123.45.0.1到123.45.255.254的命令
4 i- F3 y& e6 t2 D+ r4 x' [  Qiptables -I INPUT -s 124.45.0.0/16 -j DROP
% ?% q+ o5 Z: m4 R* }3 t% D* D #封IP段即从123.45.6.1到123.45.6.254的命令是
iptables -I INPUT -s 123.45.6.0/24 -j DROP

4、查看已添加的iptables规则
iptables -L -n
* c. C4 _) O! I9 @$ S% K# R* I' b, n v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
" m# a( o* p0 V7 h; j5 h6 hx：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示IP地址和端口号，不将ip解析为域名
5 p" V% _3 h; W( `- S' l( t, }' r$ c
5、删除已添加的iptables规则
4 m, r  l% ~- Y5 n2 p1 o 将所有iptables以序号标记显示，执行：
iptables -L -n –line-numbers
1 n7 k5 a: {7 A/ [+ _7 m比如要删除INPUT里序号为1的规则，执行：
' C2 P8 L" U( Tiptables -D INPUT 1

  N8 d/ h* B5 Z; A/ e( G- }2 E& X2 i6、iptables的开机启动及规则保存
chkconfig –level 345 iptables on
CentOS上可以执行：service iptables save保存规则
0 j' c" C& G1 R' Q" u) @+ hlinux下使用iptables封ip段的一些常见命令：
封单个IP的命令是：
iptables -I INPUT -s 211.1.0.0 -j DROP
封IP段的命令是：
5 t9 _. x7 y0 c; Piptables -I INPUT -s 211.1.0.0/16 -j DROP
9 ]* N1 t3 i) S/ P8 e% ^" G iptables -I INPUT -s 211.2.0.0/16 -j DROP
iptables -I INPUT -s 211.3.0.0/16 -j DROP
( t% {& ^& p+ n. k- M) T5 D) _' t7 x; x6 u
封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP
4 p7 f; H) @3 r$ y4 R
8 B+ R- u% K- o1 D$ m0 {6 I) z$ F封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP
3 D2 t: ]' q& i, [
解封的话：
iptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了

关闭： /etc/rc.d/init.d/iptables stop
启动： /etc/rc.d/init.d/iptables start
( w. n, K5 O- f% }3 z( L重启： /etc/rc.d/init.d/iptables restart

1、重启后生效
开启：chkconfig iptables on
关闭：chkconfig iptables off
  j8 k% d. n% l* o 2、即时生效，重启后失效
! D) p( k+ h1 f9 C! A* H 开启：service iptables start
" E. f( l1 k0 E2 a关闭：service iptables stop