iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
CentOS执行：yum install iptables
Debian/Ubuntu执行：apt-get install iptables

+ ~4 o' p1 a, E* K6 ?5 n* l  U# Y2、清除已有iptables规则
4 C, E( ~: c. l% ?; X/ I3 Niptables -F
! u- v% v8 {  D8 |7 t* I- ? iptables -X
3 b! _1 c1 \9 n, `; \5 l) G iptables -Z
2 ^6 d1 J" c' M$ m: e- f+ ~# b
0 Z0 `1 w" P( w/ r3 Y1 p9 ~* o3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
7 Q, Y% R, B& Xiptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
( S0 T- X- Z) O! f4 g # 允许已建立的或相关连的通行
, O. X% ]0 C5 L6 h9 miptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
8 E2 }! e+ [& z- f# `; Aiptables -A OUTPUT -j ACCEPT
# 允许访问22端口
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
+ `! s' N  d' ~8 S' | #允许访问80端口
iptables -A INPUT -p tcp –dport 80 -j ACCEPT
8 C. G1 k- D, W; B; u' y9 J #允许FTP服务的21和20端口
$ [6 v) w1 I0 E9 Aiptables -A INPUT -p tcp –dport 21 -j ACCEPT
/ M7 O7 T9 m- Q& @; x" ^$ C iptables -A INPUT -p tcp –dport 20 -j ACCEPT
#如果有其他端口的话，规则也类似，稍微修改上述语句就行
/ s- ~3 {( L( I. T#禁止其他未允许的规则访问
" I' R9 p. n+ c. q8 |% O: ?iptables -A INPUT -j REJECT
$ H  k# b2 G" t, j iptables -A FORWARD -j REJECT

4、屏蔽IP
  u- W2 a7 V7 i% r2 R& q6 j: O #如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
8 v6 v3 u3 v! W#屏蔽单个IP的命令是
iptables -I INPUT -s 123.45.6.7 -j DROP
  T. b: Z+ |' H7 Q7 v #封整个段即从123.0.0.1到123.255.255.254的命令
4 w1 B# N, d0 o0 l; aiptables -I INPUT -s 123.0.0.0/8 -j DROP
! }5 ~! o% S+ K4 j# m& E$ b5 I #封IP段即从123.45.0.1到123.45.255.254的命令
7 a5 T2 V. [5 y: V: |, Aiptables -I INPUT -s 124.45.0.0/16 -j DROP
#封IP段即从123.45.6.1到123.45.6.254的命令是
& U8 s  ^' X0 @& V' Fiptables -I INPUT -s 123.45.6.0/24 -j DROP
$ l7 S; P7 ^/ u# }" W2 O/ l+ i, x
' r) F' R6 I$ q4 Z" X/ f* P4、查看已添加的iptables规则
iptables -L -n
  v, ]$ B; T& q5 B9 n3 }; Y v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示IP地址和端口号，不将ip解析为域名
0 S. |0 p' _+ c3 ]2 A( b6 W. X! `
5、删除已添加的iptables规则
将所有iptables以序号标记显示，执行：
* S& U" c5 [6 X8 d" u3 z0 P' Liptables -L -n –line-numbers
& v' k  H. _+ a+ f) c比如要删除INPUT里序号为1的规则，执行：
iptables -D INPUT 1

7 h, R1 h1 ~, x9 H+ m; ]% x- f6、iptables的开机启动及规则保存
; w- K3 F% m: p7 W8 O7 x, N5 @4 Jchkconfig –level 345 iptables on
CentOS上可以执行：service iptables save保存规则
& P5 B5 i3 ~% w2 y  m1 K5 S/ @9 D$ T7 \: \. Elinux下使用iptables封ip段的一些常见命令：
3 W* v, I+ q& z 封单个IP的命令是：
iptables -I INPUT -s 211.1.0.0 -j DROP
封IP段的命令是：
7 D' X6 [* z1 y) U6 Tiptables -I INPUT -s 211.1.0.0/16 -j DROP
) L1 v4 ?6 a( }9 B4 J iptables -I INPUT -s 211.2.0.0/16 -j DROP
. `1 q* \+ T# i9 s iptables -I INPUT -s 211.3.0.0/16 -j DROP
+ E+ I, r7 M% o3 Q, Q4 j- s
封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP

封几个段的命令是：
1 a5 W& w9 q  }$ V. H$ r2 |8 iiptables -I INPUT -s 61.37.80.0/24 -j DROP
% v6 x- `; i2 O iptables -I INPUT -s 61.37.81.0/24 -j DROP

- A6 r/ ]+ T$ P# v: q解封的话：
* j4 y9 h6 X: s" D/ ~) @iptables -D INPUT -s IP地址 -j REJECT
/ H5 c, B! v& P iptables -F 全清掉了

关闭： /etc/rc.d/init.d/iptables stop
7 Z+ n: m- T& ]: T7 b/ y3 f启动： /etc/rc.d/init.d/iptables start
& ]1 P/ R% k' \" H% V3 v9 L重启： /etc/rc.d/init.d/iptables restart
# G% M" ]; o+ j( V$ }$ j
8 U& Q# p9 q' L( ~- d% t1、重启后生效
开启：chkconfig iptables on
关闭：chkconfig iptables off
9 i& R6 j6 f2 ]) q. c7 Q 2、即时生效，重启后失效
* n7 h: P9 ^' [( f+ B 开启：service iptables start
) J; ]( D( t1 Q3 @: j6 c关闭：service iptables stop