iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
CentOS执行：yum install iptables
Debian/Ubuntu执行：apt-get install iptables
, l# \- W( Y5 j8 I. }# D9 z+ {
  W7 M/ E: h2 b# `% N7 H; ~) a2 o2、清除已有iptables规则
iptables -F
! H  a1 ?! u7 d iptables -X
' W2 V, D" C0 t/ n0 \ iptables -Z
! T" u6 f3 n. L0 b& G* H3 b$ x
3、开放指定的端口
) \) q1 g* R: j( b; }$ Y#允许本地回环接口(即运行本机访问本机)
. e3 i: R8 I& c3 e- c9 e" r5 Qiptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
# 允许已建立的或相关连的通行
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
+ s5 G  }# I9 m6 t# a# `: p5 viptables -A OUTPUT -j ACCEPT
# 允许访问22端口
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
- ~' i1 u' ^- q9 i. R3 N #允许访问80端口
/ n0 F; N* D; y# ~2 ziptables -A INPUT -p tcp –dport 80 -j ACCEPT
#允许FTP服务的21和20端口
2 i* f, Q! x5 i: k1 giptables -A INPUT -p tcp –dport 21 -j ACCEPT
8 D2 n1 |9 c( d$ x+ b' z2 g1 e9 k  j2 ~ iptables -A INPUT -p tcp –dport 20 -j ACCEPT
#如果有其他端口的话，规则也类似，稍微修改上述语句就行
* G) y/ i& J. n#禁止其他未允许的规则访问
iptables -A INPUT -j REJECT
$ z8 Q+ [$ d- b% O; j' Y iptables -A FORWARD -j REJECT
7 t  Z- Q5 J, {3 E/ b. y- ~
4、屏蔽IP
#如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
5 X" C5 A, u$ W5 v, j0 H1 w  `#屏蔽单个IP的命令是
iptables -I INPUT -s 123.45.6.7 -j DROP
#封整个段即从123.0.0.1到123.255.255.254的命令
0 b: Y; H* t# H  V* g* siptables -I INPUT -s 123.0.0.0/8 -j DROP
: |! Y2 W/ P2 \- k. Y #封IP段即从123.45.0.1到123.45.255.254的命令
* l8 ]4 e: Q4 O5 Yiptables -I INPUT -s 124.45.0.0/16 -j DROP
1 T% Z9 v7 |. m #封IP段即从123.45.6.1到123.45.6.254的命令是
iptables -I INPUT -s 123.45.6.0/24 -j DROP

4、查看已添加的iptables规则
iptables -L -n
/ u$ Q2 n7 i6 I# [& E$ { v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示IP地址和端口号，不将ip解析为域名

5、删除已添加的iptables规则
! `4 Q5 v; p0 A! q7 { 将所有iptables以序号标记显示，执行：
iptables -L -n –line-numbers
- c9 H5 ]" t/ a0 ^$ ]# I' R比如要删除INPUT里序号为1的规则，执行：
iptables -D INPUT 1
* b. H) \2 I- O8 A# \7 V+ d0 p" p3 ^! A  b
6、iptables的开机启动及规则保存
6 F! ~1 i3 r, `; C& kchkconfig –level 345 iptables on
7 e" z9 O8 V- t' d$ [* ^0 ?2 |& J  @ CentOS上可以执行：service iptables save保存规则
linux下使用iptables封ip段的一些常见命令：
0 [1 }8 g. E" V6 Z 封单个IP的命令是：
! B2 i- F3 R$ }iptables -I INPUT -s 211.1.0.0 -j DROP
# U. _! R7 o) r/ f7 t封IP段的命令是：
3 `- g/ A( V& ?! |iptables -I INPUT -s 211.1.0.0/16 -j DROP
: d% K1 h# R9 x) Q. p4 M5 M iptables -I INPUT -s 211.2.0.0/16 -j DROP
iptables -I INPUT -s 211.3.0.0/16 -j DROP

封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP
* I3 e/ t3 f/ Y* p8 L
封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP

解封的话：
3 n3 v9 z8 q' G( p/ c* [8 Tiptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了
6 e8 y$ P2 t. i  ~
1 u0 p* I# z2 r5 H2 W& H% ^关闭： /etc/rc.d/init.d/iptables stop
启动： /etc/rc.d/init.d/iptables start
" X/ V; J5 ]" q* S3 K重启： /etc/rc.d/init.d/iptables restart
3 @9 @  P- a. r5 T* @
/ y$ ]6 ]; ?$ e9 ^$ N8 m1、重启后生效
开启：chkconfig iptables on
关闭：chkconfig iptables off
2、即时生效，重启后失效
2 v" `4 q  v4 r9 ~- {6 T: h! Q 开启：service iptables start
. @: U- y$ T7 z, |关闭：service iptables stop