iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
0 m4 }2 ]( I. s6 G) bCentOS执行：yum install iptables
Debian/Ubuntu执行：apt-get install iptables
7 e* H( @( z) d
2、清除已有iptables规则
1 a& R. e& d7 b, ^iptables -F
2 k$ b1 r; D4 d# a7 U# w iptables -X
. r9 Q9 ?4 S- {& j iptables -Z
8 z% u: {+ |) Y- m8 M. N4 y
3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
) ]3 t8 k  h, Q& T) k6 F # 允许已建立的或相关连的通行
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
' M, f7 O; D$ J# n3 h1 W. _# b- \iptables -A OUTPUT -j ACCEPT
( R, }- L0 E$ [$ S) ~* W: ?8 x # 允许访问22端口
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
#允许访问80端口
% Z. q4 V0 [" B5 z( Oiptables -A INPUT -p tcp –dport 80 -j ACCEPT
8 K9 V3 ?3 e; P. m #允许FTP服务的21和20端口
8 k* f4 w, }; T; Miptables -A INPUT -p tcp –dport 21 -j ACCEPT
( \7 V% z: N( Q0 C iptables -A INPUT -p tcp –dport 20 -j ACCEPT
#如果有其他端口的话，规则也类似，稍微修改上述语句就行
6 [$ Z) w! K/ U. w7 L- N#禁止其他未允许的规则访问
# h' y! p; d0 G; \  @! i% [iptables -A INPUT -j REJECT
  s4 c; C: y2 s) ~5 j& J iptables -A FORWARD -j REJECT
. B+ q% ~; i) ], C
* H# N8 a1 ~& Q1 q) U6 a, s1 ~/ `4、屏蔽IP
/ m3 r; m, ?" f. x3 L2 b) X #如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
9 X$ ]* D: F5 H) ~0 Q2 B4 u! b' c#屏蔽单个IP的命令是
iptables -I INPUT -s 123.45.6.7 -j DROP
; E% ]# s+ ^, @6 m( {/ Q7 A$ F6 y #封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP
#封IP段即从123.45.0.1到123.45.255.254的命令
6 D6 M7 r9 m6 iiptables -I INPUT -s 124.45.0.0/16 -j DROP
#封IP段即从123.45.6.1到123.45.6.254的命令是
' K6 b. W3 W2 [, U, t1 {iptables -I INPUT -s 123.45.6.0/24 -j DROP

* M/ w  T" h1 t! x5 r4、查看已添加的iptables规则
iptables -L -n
# }; ^6 G8 q* V+ C; L v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
6 u8 r; q8 A: y+ K: Gn：只显示IP地址和端口号，不将ip解析为域名
7 g; `) A4 `3 Q4 f8 K: N
/ k- k  L3 Z# P& Z( W5 X+ y; V0 w5、删除已添加的iptables规则
$ J3 t! F" e6 F 将所有iptables以序号标记显示，执行：
iptables -L -n –line-numbers
' G( }( E2 @, L- m' D比如要删除INPUT里序号为1的规则，执行：
iptables -D INPUT 1
4 M+ b6 T- S. x/ r' w8 N
6、iptables的开机启动及规则保存
) [! X" r% F& r5 B! a- tchkconfig –level 345 iptables on
% k' r( s9 I' P" G5 e+ M5 `+ i( {; B CentOS上可以执行：service iptables save保存规则
  `# e! {4 v" ulinux下使用iptables封ip段的一些常见命令：
2 k( p6 Z1 R" l' @* o9 C 封单个IP的命令是：
( g7 P. W/ S) ^3 V4 oiptables -I INPUT -s 211.1.0.0 -j DROP
% S: {* z$ d$ ~2 b封IP段的命令是：
iptables -I INPUT -s 211.1.0.0/16 -j DROP
- _/ h, L* f5 J2 a( z# j. A iptables -I INPUT -s 211.2.0.0/16 -j DROP
& `6 ?  d5 F" Q. G4 X' a iptables -I INPUT -s 211.3.0.0/16 -j DROP
5 t5 o! z! H, O' T" J# O" F
封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP
0 E6 W" u- O1 R2 p/ M6 d2 }8 I- Y; U
2 _5 J  X- K6 V+ e封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
, E0 P4 h# R1 z6 S, { iptables -I INPUT -s 61.37.81.0/24 -j DROP

0 x0 W7 |2 v" l6 a0 W7 X) ?解封的话：
/ k" t/ `* I* G4 Yiptables -D INPUT -s IP地址 -j REJECT
. I- u# x" N- j/ q$ \" f iptables -F 全清掉了

4 W; H! F: I7 B# d! d关闭： /etc/rc.d/init.d/iptables stop
启动： /etc/rc.d/init.d/iptables start
重启： /etc/rc.d/init.d/iptables restart

1、重启后生效
6 y5 M% d9 ]9 O! l) z4 s' a 开启：chkconfig iptables on
+ @1 Q' ?$ @1 S关闭：chkconfig iptables off
2、即时生效，重启后失效
开启：service iptables start
关闭：service iptables stop