iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
4 S9 [8 M4 T+ S) f1 ?7 yCentOS执行：yum install iptables
Debian/Ubuntu执行：apt-get install iptables

2 l1 a: H6 f; O# f1 I3 ~2、清除已有iptables规则
8 ]; o8 n. ~0 c+ c( }iptables -F
iptables -X
+ u$ N4 E/ f1 Q( D/ M iptables -Z

3、开放指定的端口
2 R6 `# c+ O4 K' R* ?#允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
1 I- U( A; Z2 f: h # 允许已建立的或相关连的通行
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
- J7 e7 P, s& d. S #允许所有本机向外的访问
iptables -A OUTPUT -j ACCEPT
# 允许访问22端口
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
" T1 k# |* `9 b" S  L- U #允许访问80端口
, F5 g2 F/ g9 C& K# e* \iptables -A INPUT -p tcp –dport 80 -j ACCEPT
#允许FTP服务的21和20端口
iptables -A INPUT -p tcp –dport 21 -j ACCEPT
iptables -A INPUT -p tcp –dport 20 -j ACCEPT
# \! k) \+ V; V& Z7 n #如果有其他端口的话，规则也类似，稍微修改上述语句就行
3 k/ Z& @+ ^: k& k$ l#禁止其他未允许的规则访问
5 d) K1 P5 L7 @+ M- u" a1 ?iptables -A INPUT -j REJECT
iptables -A FORWARD -j REJECT

4、屏蔽IP
/ \! h6 v; x% N0 A: G+ q #如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
1 c% S. k/ y+ p2 P: A7 h: L#屏蔽单个IP的命令是
iptables -I INPUT -s 123.45.6.7 -j DROP
. F5 P7 `: D( U5 q* q #封整个段即从123.0.0.1到123.255.255.254的命令
9 w1 I/ X, ?8 _  l2 miptables -I INPUT -s 123.0.0.0/8 -j DROP
9 \; C9 }1 i  ]* _* w# s #封IP段即从123.45.0.1到123.45.255.254的命令
9 F7 m2 |7 o2 R5 I1 N, uiptables -I INPUT -s 124.45.0.0/16 -j DROP
#封IP段即从123.45.6.1到123.45.6.254的命令是
iptables -I INPUT -s 123.45.6.0/24 -j DROP
; j, z! z0 t5 C+ B
4、查看已添加的iptables规则
* Q) O  s- a' n5 l( }! g+ ]) W( yiptables -L -n
v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示IP地址和端口号，不将ip解析为域名
$ s5 B- U4 Z) |$ X1 t
5、删除已添加的iptables规则
将所有iptables以序号标记显示，执行：
4 G# {% M# ]. Q- X8 l2 jiptables -L -n –line-numbers
比如要删除INPUT里序号为1的规则，执行：
! @& `% v1 ^' n" \& aiptables -D INPUT 1

3 t! F# }* P- b% j% E, M$ B6、iptables的开机启动及规则保存
* C. \9 a0 f4 y- ^! Uchkconfig –level 345 iptables on
2 e, g' P7 U! V" D6 x) w CentOS上可以执行：service iptables save保存规则
linux下使用iptables封ip段的一些常见命令：
" F- K: ]- ]9 l8 S9 n 封单个IP的命令是：
4 R- n$ a6 k  y- k$ tiptables -I INPUT -s 211.1.0.0 -j DROP
封IP段的命令是：
5 E' l) N: p. t+ G7 Siptables -I INPUT -s 211.1.0.0/16 -j DROP
) \0 [" J8 h% P) m( ]4 ~8 L4 o+ U iptables -I INPUT -s 211.2.0.0/16 -j DROP
2 c& K7 F1 c, O* \- A iptables -I INPUT -s 211.3.0.0/16 -j DROP
- `8 l3 e6 r$ P' z+ B
$ j5 K$ `3 N* r7 y" l封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP
0 N# n9 s8 k2 }" V+ y& I# t$ \
5 X5 s- `% }) L3 h1 m封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP

解封的话：
iptables -D INPUT -s IP地址 -j REJECT
2 p: S9 U( _: W9 n iptables -F 全清掉了
0 @0 ^+ s5 K; X" S! z
: X! L6 H; a/ q  ]0 |' k2 @4 P% E关闭： /etc/rc.d/init.d/iptables stop
启动： /etc/rc.d/init.d/iptables start
重启： /etc/rc.d/init.d/iptables restart

1、重启后生效
2 m! f+ G+ H5 ^ 开启：chkconfig iptables on
关闭：chkconfig iptables off
5 {% q8 L- U4 _* j4 i0 Z 2、即时生效，重启后失效
8 a8 n/ z6 r) J: h; H 开启：service iptables start
$ W2 N. p( [8 |# d7 J关闭：service iptables stop