iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
* W9 F( ^) A3 M1 _' \4 }7 U7 \CentOS执行：yum install iptables
Debian/Ubuntu执行：apt-get install iptables

/ v+ D) W2 T0 X3 \! P* a8 @) k2、清除已有iptables规则
iptables -F
# F; E4 E( t1 _! R/ z; ~  Q  E iptables -X
iptables -Z
- n8 e, L5 x' ?# x: I
0 t7 D+ @8 i/ w' n& y/ B6 B3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
( }% `( U+ ^0 d5 [( i& Xiptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
2 `! ?& \, K  T: \2 w # 允许已建立的或相关连的通行
. |9 c$ k, ~4 }4 eiptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
( N% {4 g/ [8 Q* x1 v4 \- S4 I' F  V5 O #允许所有本机向外的访问
6 B9 ^( k- N6 x1 e* Diptables -A OUTPUT -j ACCEPT
& x2 p6 n$ M1 j& S( p$ ^* {$ ]  ]( T # 允许访问22端口
: U9 T4 o! P" D* I0 b' }  Niptables -A INPUT -p tcp –dport 22 -j ACCEPT
% T, _" D9 X! \6 Z* F& e- ~ #允许访问80端口
iptables -A INPUT -p tcp –dport 80 -j ACCEPT
1 I1 D7 _+ u$ B: P( Q #允许FTP服务的21和20端口
) \$ Z( h1 Z: Q, u7 kiptables -A INPUT -p tcp –dport 21 -j ACCEPT
6 y& `' j7 {* `. O5 k iptables -A INPUT -p tcp –dport 20 -j ACCEPT
#如果有其他端口的话，规则也类似，稍微修改上述语句就行
#禁止其他未允许的规则访问
' Z% E0 n. P& |* B4 g$ K6 yiptables -A INPUT -j REJECT
iptables -A FORWARD -j REJECT
6 i  e# v& z7 N9 v
) F; P2 @. V2 Y4 P4、屏蔽IP
* g- t" }+ b! \( ^" n7 m #如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
% W- @: A9 `8 Y4 A5 U6 ^# D#屏蔽单个IP的命令是
$ U$ Y. `/ A4 V% S3 U3 U7 ^/ b. w2 Ciptables -I INPUT -s 123.45.6.7 -j DROP
. A! c4 j5 m5 U9 w+ H1 j #封整个段即从123.0.0.1到123.255.255.254的命令
0 L) `$ p4 y( d- ~) h' diptables -I INPUT -s 123.0.0.0/8 -j DROP
, H6 e( n* ]9 u; e5 G9 M+ J$ u #封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP
6 d1 r4 ~0 p6 \/ r" v #封IP段即从123.45.6.1到123.45.6.254的命令是
iptables -I INPUT -s 123.45.6.0/24 -j DROP

4 `, u7 ^9 [4 a8 S! i) m7 |4、查看已添加的iptables规则
/ C- b% f* M! Fiptables -L -n
v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
5 \% U( ^6 o* E$ e! _x：在 v 的基础上，禁止自动单位换算（K、M）
+ N$ |: g9 Z$ u) J7 l) }; Bn：只显示IP地址和端口号，不将ip解析为域名

5、删除已添加的iptables规则
将所有iptables以序号标记显示，执行：
8 r/ P  c0 F7 h2 \. v. ^iptables -L -n –line-numbers
比如要删除INPUT里序号为1的规则，执行：
6 \2 `) t- B) `! V: p: Z1 ?& a- xiptables -D INPUT 1

0 g3 W9 D9 Y: f9 {4 n4 j3 g6、iptables的开机启动及规则保存
chkconfig –level 345 iptables on
CentOS上可以执行：service iptables save保存规则
linux下使用iptables封ip段的一些常见命令：
封单个IP的命令是：
iptables -I INPUT -s 211.1.0.0 -j DROP
封IP段的命令是：
+ l9 ~5 D$ z1 k2 N# riptables -I INPUT -s 211.1.0.0/16 -j DROP
2 o1 l9 K+ S: k5 z# `7 R: _ iptables -I INPUT -s 211.2.0.0/16 -j DROP
iptables -I INPUT -s 211.3.0.0/16 -j DROP

封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP
' f% l) u8 B% ~3 x' J+ ?" I# Y- Z
封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
. e' @6 L% j8 D* {: C% K iptables -I INPUT -s 61.37.81.0/24 -j DROP
" K+ a; b* K% s7 e
解封的话：
iptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了

! m3 D, p+ q) G/ {3 j( X3 i. w关闭： /etc/rc.d/init.d/iptables stop
启动： /etc/rc.d/init.d/iptables start
/ W& T% R7 ^$ _# a重启： /etc/rc.d/init.d/iptables restart
5 ~9 z* n) z) E7 _+ l) i% |
; k( H- _/ f8 n$ u+ `# U& E0 v1、重启后生效
* ]7 F! F+ v& V" A) [$ O# ~+ q  t0 i 开启：chkconfig iptables on
6 _# Y0 o8 D" O7 L关闭：chkconfig iptables off
2、即时生效，重启后失效
% J# u5 n  F( t( R8 e 开启：service iptables start
& y  b5 j' Y1 `! a, {关闭：service iptables stop