iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
" {! m! w7 S, E: O: dCentOS执行：yum install iptables
Debian/Ubuntu执行：apt-get install iptables
+ O& X1 s- A& S
1 H/ u4 S% Q' l0 {& B2、清除已有iptables规则
# j+ f. n- N: ], M9 t: _  Ciptables -F
+ h7 \. j8 C+ q( W' U( X iptables -X
iptables -Z
! I7 s' {" G9 g; `1 k) A& ?
/ W9 p: z' I/ W# s8 @" |3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
$ y; I1 \4 ^0 ?) `* s% o3 e( ciptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
# 允许已建立的或相关连的通行
# s! c8 j$ k: q& Biptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
/ Y7 Y* K" e1 z( ?iptables -A OUTPUT -j ACCEPT
# 允许访问22端口
iptables -A INPUT -p tcp –dport 22 -j ACCEPT
( N% R' E0 M3 Y5 d* ?! o #允许访问80端口
# ~1 ~9 R/ `) Z+ diptables -A INPUT -p tcp –dport 80 -j ACCEPT
#允许FTP服务的21和20端口
3 r4 o2 `- f7 N$ v; F+ yiptables -A INPUT -p tcp –dport 21 -j ACCEPT
; b( ^, C- E$ T- u( F& } iptables -A INPUT -p tcp –dport 20 -j ACCEPT
#如果有其他端口的话，规则也类似，稍微修改上述语句就行
8 p3 r3 E' ?& G#禁止其他未允许的规则访问
! |1 E  d1 \! R9 c8 F! e# iiptables -A INPUT -j REJECT
iptables -A FORWARD -j REJECT

# B# l; `3 Z- s  j4、屏蔽IP
#如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
7 Z( H- S% C( Y, C( D5 I9 }' `4 g#屏蔽单个IP的命令是
iptables -I INPUT -s 123.45.6.7 -j DROP
#封整个段即从123.0.0.1到123.255.255.254的命令
+ y) y- i& G5 o6 Niptables -I INPUT -s 123.0.0.0/8 -j DROP
#封IP段即从123.45.0.1到123.45.255.254的命令
4 K6 k- w! u2 y; ~# `' _5 piptables -I INPUT -s 124.45.0.0/16 -j DROP
! N& \0 d' A5 v5 k! H9 K #封IP段即从123.45.6.1到123.45.6.254的命令是
; F- B6 J6 I) ]# Siptables -I INPUT -s 123.45.6.0/24 -j DROP

4、查看已添加的iptables规则
0 S/ y. r2 A6 siptables -L -n
v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
# l% i9 A4 m7 b) h7 A! t$ [n：只显示IP地址和端口号，不将ip解析为域名

5、删除已添加的iptables规则
+ ]9 Y9 ?7 m! U' b: }3 L$ n0 U 将所有iptables以序号标记显示，执行：
! e- r# }0 O& piptables -L -n –line-numbers
3 W. q$ X3 f5 f; }2 B. K; A比如要删除INPUT里序号为1的规则，执行：
( J4 T* }' p% B8 w2 eiptables -D INPUT 1
4 ]( C4 v) [0 L% d7 V* ^' r
. e2 s7 T+ n5 a/ S6、iptables的开机启动及规则保存
chkconfig –level 345 iptables on
CentOS上可以执行：service iptables save保存规则
, W2 @0 c# f6 D: O+ h, d% U2 Ulinux下使用iptables封ip段的一些常见命令：
封单个IP的命令是：
& v* w# R2 c7 O$ ^; E" B- {' Fiptables -I INPUT -s 211.1.0.0 -j DROP
封IP段的命令是：
iptables -I INPUT -s 211.1.0.0/16 -j DROP
iptables -I INPUT -s 211.2.0.0/16 -j DROP
$ B& C7 Z( I# v; W; [ iptables -I INPUT -s 211.3.0.0/16 -j DROP
' s- V  o0 I# f; K
封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP

  B) c; P+ T' g3 x; w封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
1 `: I3 L, x( o- z9 j; z" ` iptables -I INPUT -s 61.37.81.0/24 -j DROP

解封的话：
0 O* D( C# U+ v6 g3 q3 _  A4 z' eiptables -D INPUT -s IP地址 -j REJECT
- i* X4 i$ W) W8 d iptables -F 全清掉了
! m4 b* D$ s4 C2 Q
+ W$ a/ M& h- o: G4 ^关闭： /etc/rc.d/init.d/iptables stop
启动： /etc/rc.d/init.d/iptables start
3 H+ O! L# u6 N: e重启： /etc/rc.d/init.d/iptables restart

1、重启后生效
! ^7 C- k7 [2 Z8 ^7 r 开启：chkconfig iptables on
# B' G1 u4 v, J关闭：chkconfig iptables off
2、即时生效，重启后失效
$ U# E: t9 a5 y* W 开启：service iptables start
关闭：service iptables stop