iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
CentOS执行：yum install iptables
* f3 |. U5 w+ @& G0 I3 v4 N Debian/Ubuntu执行：apt-get install iptables
, t' A# x( B! `& T$ U4 ^
2、清除已有iptables规则
$ c, W0 U7 e! r) E; B! e- v. Jiptables -F
6 B, ]4 G$ c1 M6 Z iptables -X
2 r2 Z' U# Q  r% S iptables -Z
- J3 l# ~3 ?1 C5 d: K
. w5 S( G8 V9 ]) c6 O$ W7 u3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
% u$ ~5 M  O2 }  v; h) G # 允许已建立的或相关连的通行
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
3 L% m$ ]9 H$ }# T+ } #允许所有本机向外的访问
iptables -A OUTPUT -j ACCEPT
' b, _" e) z- v7 ]9 ~, Y! G7 u  E # 允许访问22端口
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
#允许访问80端口
iptables -A INPUT -p tcp –dport 80 -j ACCEPT
#允许FTP服务的21和20端口
: F$ T* ^- @% M$ D0 C+ w/ jiptables -A INPUT -p tcp –dport 21 -j ACCEPT
9 K1 z! z6 B9 h; t iptables -A INPUT -p tcp –dport 20 -j ACCEPT
) D# X+ g# V) j8 R5 T: Z #如果有其他端口的话，规则也类似，稍微修改上述语句就行
#禁止其他未允许的规则访问
iptables -A INPUT -j REJECT
" |+ N: c5 G3 G( v iptables -A FORWARD -j REJECT

( w/ {3 [1 Z; L- p/ m0 c1 D( u4、屏蔽IP
0 v% h( o+ {: H #如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
; ~- _* \* o( O/ f; d#屏蔽单个IP的命令是
- m! H9 @+ F0 v8 R, j8 ~iptables -I INPUT -s 123.45.6.7 -j DROP
/ O3 [' T2 Z) ^' | #封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP
#封IP段即从123.45.0.1到123.45.255.254的命令
4 D5 Z8 A0 c/ e! H3 biptables -I INPUT -s 124.45.0.0/16 -j DROP
#封IP段即从123.45.6.1到123.45.6.254的命令是
iptables -I INPUT -s 123.45.6.0/24 -j DROP
; ?! f1 W, A9 t
4、查看已添加的iptables规则
iptables -L -n
7 N1 s# o; U( v3 ^; _: ? v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
- A2 Q6 g3 V+ p0 |x：在 v 的基础上，禁止自动单位换算（K、M）
7 N3 L7 K% C! ^; C2 _- `n：只显示IP地址和端口号，不将ip解析为域名

; g# {( }& E/ ~% H" c; g5、删除已添加的iptables规则
5 B7 e0 n2 M/ F+ ?8 l! o6 T 将所有iptables以序号标记显示，执行：
: n# ^1 p7 e* T' _iptables -L -n –line-numbers
/ w; i# Q5 X9 H$ h6 c4 Y比如要删除INPUT里序号为1的规则，执行：
0 c- S. B, q  iiptables -D INPUT 1
# f( z6 Z- i  G. T
0 C: f3 ^5 S4 S, C6 v, Z! a6、iptables的开机启动及规则保存
chkconfig –level 345 iptables on
CentOS上可以执行：service iptables save保存规则
# |2 I; ~  G7 l6 p- F0 F  e- jlinux下使用iptables封ip段的一些常见命令：
5 G  u7 y# ~( ]& O. ^ 封单个IP的命令是：
5 `3 Q* L+ c! p' T5 iiptables -I INPUT -s 211.1.0.0 -j DROP
# I4 g8 D, o2 u0 q' t* D封IP段的命令是：
0 a5 L1 e7 \9 z$ c6 Liptables -I INPUT -s 211.1.0.0/16 -j DROP
iptables -I INPUT -s 211.2.0.0/16 -j DROP
' }0 V3 }3 J8 v/ `4 |  B$ W iptables -I INPUT -s 211.3.0.0/16 -j DROP

  V8 u4 r) L+ `6 j7 F+ K封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP

6 u# _5 o6 T; m封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP

解封的话：
5 J9 B. F5 D' C! Hiptables -D INPUT -s IP地址 -j REJECT
9 [% Z: O# M* c iptables -F 全清掉了

关闭： /etc/rc.d/init.d/iptables stop
启动： /etc/rc.d/init.d/iptables start
重启： /etc/rc.d/init.d/iptables restart

; |: s5 l" y( N1、重启后生效
开启：chkconfig iptables on
" K& [# q. m3 Q4 E3 B关闭：chkconfig iptables off
2、即时生效，重启后失效
开启：service iptables start
( b7 K6 Y9 h' I% V0 g关闭：service iptables stop