iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
CentOS执行：yum install iptables
+ u0 {' j9 v# e" E, l% @8 d0 A Debian/Ubuntu执行：apt-get install iptables
# P/ Z1 v0 [9 ?- c- d4 p
2、清除已有iptables规则
- G( G# I3 D* L# @) e% yiptables -F
8 w% Z: }3 ~  u iptables -X
6 _# |  I4 Y% U/ i iptables -Z
. j; W9 G5 G: b8 g2 V+ O
4 q5 @) O0 p, b8 s( m& x3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
# U5 d2 D/ _: j5 T9 \1 n # 允许已建立的或相关连的通行
: b( h& S# H( j: W& ziptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
- u4 S* W, X5 i) V  L #允许所有本机向外的访问
  r6 q/ y( X2 s; D$ Fiptables -A OUTPUT -j ACCEPT
# 允许访问22端口
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
8 s2 L9 q; F; t #允许访问80端口
iptables -A INPUT -p tcp –dport 80 -j ACCEPT
3 U+ v" k' s$ \7 p& M$ C #允许FTP服务的21和20端口
iptables -A INPUT -p tcp –dport 21 -j ACCEPT
; `, r0 K: m$ k0 J) I) ~ iptables -A INPUT -p tcp –dport 20 -j ACCEPT
. t3 u( L- W4 Y- g2 }" Z, A #如果有其他端口的话，规则也类似，稍微修改上述语句就行
#禁止其他未允许的规则访问
) r% ~4 Q; E: [% {/ |- `* Jiptables -A INPUT -j REJECT
iptables -A FORWARD -j REJECT
& H4 b8 G( o/ C" ]
$ f9 _  r$ z, `& b6 L4、屏蔽IP
#如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
% r0 ?8 j4 S; S/ c$ d  I' R#屏蔽单个IP的命令是
0 K8 T+ ?' m6 F0 B  d/ liptables -I INPUT -s 123.45.6.7 -j DROP
#封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP
#封IP段即从123.45.0.1到123.45.255.254的命令
$ ?+ {+ K7 M9 Z8 {. y3 F' K( T% M, D- Ziptables -I INPUT -s 124.45.0.0/16 -j DROP
# B# S! ^% q) C #封IP段即从123.45.6.1到123.45.6.254的命令是
; W8 W& n9 ^, j. }% miptables -I INPUT -s 123.45.6.0/24 -j DROP
  t* b* g/ L9 s3 x
# h( N6 p+ X( e$ o* P4、查看已添加的iptables规则
  W( y( z$ T) A! Yiptables -L -n
! `9 e* t  U, T+ F v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示IP地址和端口号，不将ip解析为域名
" D. U$ C/ Q! p) I5 A
5、删除已添加的iptables规则
将所有iptables以序号标记显示，执行：
" L9 z0 a* N, \9 r  Viptables -L -n –line-numbers
比如要删除INPUT里序号为1的规则，执行：
iptables -D INPUT 1

6、iptables的开机启动及规则保存
- {  n6 V) U4 `2 C% `! fchkconfig –level 345 iptables on
CentOS上可以执行：service iptables save保存规则
, K6 A3 l1 J& |) o* S4 Mlinux下使用iptables封ip段的一些常见命令：
封单个IP的命令是：
7 R( t6 U3 }) d" Q; i' Ziptables -I INPUT -s 211.1.0.0 -j DROP
  Y& F4 L- M5 J  d% J, h封IP段的命令是：
( H8 i! l6 k' K% f, xiptables -I INPUT -s 211.1.0.0/16 -j DROP
iptables -I INPUT -s 211.2.0.0/16 -j DROP
iptables -I INPUT -s 211.3.0.0/16 -j DROP

' t& K& M" k" C" ~& Q# @封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP

. Y" \# Q: q: f/ q, B) _封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
& y( P" v- c$ x& h iptables -I INPUT -s 61.37.81.0/24 -j DROP
6 X+ T4 v( }" x( d" {! f% i
# Q- }5 ^6 }2 o2 w- m5 k解封的话：
0 l& ^# D1 m& Eiptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了

/ h( a3 a4 j5 H关闭： /etc/rc.d/init.d/iptables stop
& M& o: Z, n' u* d9 `# k6 x启动： /etc/rc.d/init.d/iptables start
重启： /etc/rc.d/init.d/iptables restart

1、重启后生效
开启：chkconfig iptables on
关闭：chkconfig iptables off
5 z9 V% e: V* t: h; |  d2 Y 2、即时生效，重启后失效
开启：service iptables start
关闭：service iptables stop