iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
CentOS执行：yum install iptables
- R; h* n7 d: r& s+ D" k Debian/Ubuntu执行：apt-get install iptables

# |% n; V: s" h* i7 n: \2、清除已有iptables规则
iptables -F
8 x$ X3 G  V- B: c4 @7 u iptables -X
" M# |5 [$ n' F+ a7 X6 f" j iptables -Z
, K3 b% D2 B% K) N1 H% w3 F
3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
# 允许已建立的或相关连的通行
" Z9 v; C! t8 k" \iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
) S6 z6 P/ C: w- A9 M& k7 }" Ciptables -A OUTPUT -j ACCEPT
- J0 N6 ^# a) I% Y3 L* m0 z8 C# V/ U # 允许访问22端口
1 X1 g% @3 L$ s+ u8 Biptables -A INPUT -p tcp –dport 22 -j ACCEPT
" t, Q& e3 J/ m #允许访问80端口
( m+ M/ u4 p% `, P1 Giptables -A INPUT -p tcp –dport 80 -j ACCEPT
#允许FTP服务的21和20端口
: K! m5 B3 u/ e4 X, d" Y0 o6 oiptables -A INPUT -p tcp –dport 21 -j ACCEPT
8 _8 L. V) F2 `; L( x iptables -A INPUT -p tcp –dport 20 -j ACCEPT
% P( _4 K* T; ~) E8 o #如果有其他端口的话，规则也类似，稍微修改上述语句就行
#禁止其他未允许的规则访问
iptables -A INPUT -j REJECT
iptables -A FORWARD -j REJECT

' T+ u7 U1 |' K+ q' r- _" A6 ~4、屏蔽IP
#如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
. e0 P/ w6 T. p4 k7 ?/ c/ @8 r, t#屏蔽单个IP的命令是
$ ]( b1 s/ a3 i5 j2 `% `* Piptables -I INPUT -s 123.45.6.7 -j DROP
#封整个段即从123.0.0.1到123.255.255.254的命令
/ N4 E8 y0 g7 {iptables -I INPUT -s 123.0.0.0/8 -j DROP
#封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP
#封IP段即从123.45.6.1到123.45.6.254的命令是
iptables -I INPUT -s 123.45.6.0/24 -j DROP
& C2 b( g. \8 D7 `2 g* _
* j" g$ d' u* ~( m# q, I/ j7 `4、查看已添加的iptables规则
iptables -L -n
, I+ d! P; E0 i; G( H, k5 z v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示IP地址和端口号，不将ip解析为域名

5、删除已添加的iptables规则
0 U; i) z5 F5 a( ^6 l 将所有iptables以序号标记显示，执行：
iptables -L -n –line-numbers
比如要删除INPUT里序号为1的规则，执行：
iptables -D INPUT 1
" A& X0 o" V8 P" x1 D. Z  n  O8 d! b
0 F" ^; P* ]" M$ L' g, B! t& n6、iptables的开机启动及规则保存
5 z$ }) d8 J# u& F% L+ Echkconfig –level 345 iptables on
CentOS上可以执行：service iptables save保存规则
; U7 Q0 C- E" Klinux下使用iptables封ip段的一些常见命令：
封单个IP的命令是：
! b2 _9 ?/ u5 F  I: f. x! m+ h* u$ @iptables -I INPUT -s 211.1.0.0 -j DROP
8 \& [/ _9 k+ b* F# x# E$ c封IP段的命令是：
8 ~5 G' j! X( w: M0 Biptables -I INPUT -s 211.1.0.0/16 -j DROP
$ Q9 o5 k3 o: w iptables -I INPUT -s 211.2.0.0/16 -j DROP
iptables -I INPUT -s 211.3.0.0/16 -j DROP

封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP
, q! P, i, i$ e; d6 F6 v
封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
  q& W1 v9 j/ z, ? iptables -I INPUT -s 61.37.81.0/24 -j DROP
* `/ o1 @1 z) r, t6 ~7 T5 M
" o5 M7 a9 W$ U" l3 D* {解封的话：
iptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了
* C: B# r: n- p. y! M
( C, N+ [& ~4 P% X' U; S" F关闭： /etc/rc.d/init.d/iptables stop
! M3 b/ q4 E. c0 T8 W启动： /etc/rc.d/init.d/iptables start
' q! {% i% h; V- Z6 O1 ^重启： /etc/rc.d/init.d/iptables restart
+ o' C. P' }( Y5 }: _6 z" C" ^) l
1、重启后生效
  ^7 V  ~4 k$ W& z6 P% D 开启：chkconfig iptables on
. W1 |$ ^; `! h. J3 Q- E' ^4 q关闭：chkconfig iptables off
& F9 ?) i+ f/ E9 W 2、即时生效，重启后失效
开启：service iptables start
关闭：service iptables stop