iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
" l5 I: s( h$ i/ hCentOS执行：yum install iptables
Debian/Ubuntu执行：apt-get install iptables

1 ~- l5 c; N4 A9 D7 Q7 _2、清除已有iptables规则
( ]6 e! k. k  d: Y$ E6 Q) J# p. ciptables -F
% E; N2 s5 L5 \) ]& I  U: u iptables -X
: L) ^. r1 b. d5 }8 t iptables -Z
- k2 L6 D. {( z$ D
% A) k, M8 N; D9 u5 x3、开放指定的端口
! X8 ?& J' k' S( Z#允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
# 允许已建立的或相关连的通行
+ {3 y: H0 J5 o0 M, E9 ^iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
/ J) p  X! d! N #允许所有本机向外的访问
# N6 J# N$ s  P7 h5 qiptables -A OUTPUT -j ACCEPT
# 允许访问22端口
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
#允许访问80端口
iptables -A INPUT -p tcp –dport 80 -j ACCEPT
4 U" M: a( q9 K3 ~2 V# w8 h #允许FTP服务的21和20端口
iptables -A INPUT -p tcp –dport 21 -j ACCEPT
iptables -A INPUT -p tcp –dport 20 -j ACCEPT
#如果有其他端口的话，规则也类似，稍微修改上述语句就行
1 \, Y' p" a, R, y' R& f" `#禁止其他未允许的规则访问
: R+ n) q2 q, P) G  \( tiptables -A INPUT -j REJECT
: x7 m4 A6 A+ } iptables -A FORWARD -j REJECT
- B6 g8 P/ G# f1 L% z$ @+ {
* [) Q7 E; y# I; g& i5 O0 V7 {, v( C4、屏蔽IP
#如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
7 w* P5 r% w# v/ D$ D1 x#屏蔽单个IP的命令是
# t% l# _' X: |& d& ~  I! N7 jiptables -I INPUT -s 123.45.6.7 -j DROP
#封整个段即从123.0.0.1到123.255.255.254的命令
( `8 q; }' {3 R+ f& ?iptables -I INPUT -s 123.0.0.0/8 -j DROP
% _. H* P# D% c* R$ l% p #封IP段即从123.45.0.1到123.45.255.254的命令
* s  {$ @1 G7 P5 M' [6 o$ jiptables -I INPUT -s 124.45.0.0/16 -j DROP
6 D9 {2 \. g  n  x- O, l$ U3 ^; L #封IP段即从123.45.6.1到123.45.6.254的命令是
) ~! f7 T1 e( U2 O' q& iiptables -I INPUT -s 123.45.6.0/24 -j DROP

4、查看已添加的iptables规则
iptables -L -n
( Y1 R) z2 \8 I* q$ s* ` v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
) C  c, o" p; bx：在 v 的基础上，禁止自动单位换算（K、M）
% c3 L7 P1 _2 s$ ~# Yn：只显示IP地址和端口号，不将ip解析为域名

( H- i% T- X9 x: L) u' i9 n5、删除已添加的iptables规则
将所有iptables以序号标记显示，执行：
: N: T. _. i& ?5 n1 \/ siptables -L -n –line-numbers
8 l4 g3 R+ O( c# f2 `  a比如要删除INPUT里序号为1的规则，执行：
iptables -D INPUT 1

; X6 n( c: k9 G3 l  ^# [6、iptables的开机启动及规则保存
chkconfig –level 345 iptables on
: M* [2 x0 E; X6 B9 k- r+ o: b! D CentOS上可以执行：service iptables save保存规则
linux下使用iptables封ip段的一些常见命令：
3 I9 ^. v/ c6 P" Z  n" v 封单个IP的命令是：
  Q! m. e. f+ @3 h& diptables -I INPUT -s 211.1.0.0 -j DROP
封IP段的命令是：
iptables -I INPUT -s 211.1.0.0/16 -j DROP
iptables -I INPUT -s 211.2.0.0/16 -j DROP
iptables -I INPUT -s 211.3.0.0/16 -j DROP

封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP
! z: s0 k6 e2 Y4 r$ Y/ B( r' H8 P# `
封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP

# @6 V' b- P" V: Z; N7 @. F; S; @解封的话：
: l- U* T; U. C1 ]/ \3 |9 biptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了

3 T9 V1 _/ n3 L1 g/ x关闭： /etc/rc.d/init.d/iptables stop
  [' g9 ?: Q1 S5 }0 L启动： /etc/rc.d/init.d/iptables start
重启： /etc/rc.d/init.d/iptables restart

; p" X/ y+ B* \& {) W! s1、重启后生效
开启：chkconfig iptables on
  _: M- e, [$ C0 @关闭：chkconfig iptables off
2、即时生效，重启后失效
5 ~2 q+ F  K, A. \, [ 开启：service iptables start
关闭：service iptables stop