iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
$ R9 @+ j: Y; k' Q+ @CentOS执行：yum install iptables
: m3 f2 ]( A' S9 z) m Debian/Ubuntu执行：apt-get install iptables
. A( E' b5 D1 Z. h, S7 T" _4 W7 F& v% k
2、清除已有iptables规则
6 n$ E& t; T' O# Jiptables -F
3 p( D/ |, B  } iptables -X
6 j0 p0 y$ Y5 Y5 I: C2 n iptables -Z

/ Z, O, S$ z  v$ Y5 P! i3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
' R' Z' n/ U: z- ^( D' C' ziptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
. a! b4 h# v3 g4 X1 i% e! q+ Q # 允许已建立的或相关连的通行
: i/ ?1 P' J$ C# f9 ?5 aiptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
3 v/ L7 X. {  l; h #允许所有本机向外的访问
6 \/ b: K$ {0 U+ i( }iptables -A OUTPUT -j ACCEPT
# 允许访问22端口
& j$ j: D, _8 e; k+ q3 V) siptables -A INPUT -p tcp –dport 22 -j ACCEPT
. p7 H, S1 U5 ^/ h5 j% U* h #允许访问80端口
6 g" W5 L$ o; }3 a( P( ]7 u4 X1 siptables -A INPUT -p tcp –dport 80 -j ACCEPT
0 y; G$ B, p2 M #允许FTP服务的21和20端口
: N. }( C2 T5 K& m' V4 `iptables -A INPUT -p tcp –dport 21 -j ACCEPT
0 _! A0 G& r5 ^. s3 s* z4 | iptables -A INPUT -p tcp –dport 20 -j ACCEPT
#如果有其他端口的话，规则也类似，稍微修改上述语句就行
#禁止其他未允许的规则访问
iptables -A INPUT -j REJECT
iptables -A FORWARD -j REJECT
" J7 Z8 i) T2 T/ b3 H/ R
4、屏蔽IP
4 {/ D: n% Y* v; V3 ]' E3 I1 r: n #如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
#屏蔽单个IP的命令是
$ P0 K3 J, d* x: h7 Hiptables -I INPUT -s 123.45.6.7 -j DROP
! m: ]4 |% C% v8 K0 z- l #封整个段即从123.0.0.1到123.255.255.254的命令
2 I$ f# ?8 m8 Niptables -I INPUT -s 123.0.0.0/8 -j DROP
8 S0 ^3 ^# [- K- K2 L% e #封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP
#封IP段即从123.45.6.1到123.45.6.254的命令是
8 E5 J4 V2 u, y% Giptables -I INPUT -s 123.45.6.0/24 -j DROP
" k" T4 d" E# ]6 {1 t
4、查看已添加的iptables规则
iptables -L -n
v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
: }7 H& Q8 K8 X3 |& l4 k5 ~x：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示IP地址和端口号，不将ip解析为域名
* ?, X: b* S  A4 Y# b9 H# A) E
5、删除已添加的iptables规则
将所有iptables以序号标记显示，执行：
) M! [# a# [* n1 s) B% }: e! t2 Jiptables -L -n –line-numbers
比如要删除INPUT里序号为1的规则，执行：
iptables -D INPUT 1
3 |, ]+ @6 ~% L, ~# `
/ ?8 ?- c/ _+ u; X! J; p( `6 m6、iptables的开机启动及规则保存
# |8 S; T+ z  @$ ?5 mchkconfig –level 345 iptables on
" x" ?5 D6 \8 Y% R7 \4 T- `2 P9 w* M CentOS上可以执行：service iptables save保存规则
1 Y! L0 c" W4 m" x6 I; Q1 n% Ilinux下使用iptables封ip段的一些常见命令：
4 a$ |2 g8 _( L1 p( v5 G* k8 s 封单个IP的命令是：
( b9 F$ h9 _- F! J# M) u' `1 {iptables -I INPUT -s 211.1.0.0 -j DROP
封IP段的命令是：
# d$ L' e6 K) Q2 E; V+ r& |+ {iptables -I INPUT -s 211.1.0.0/16 -j DROP
6 R* D: f# ?- r. S+ O5 ~1 Q2 l  i, t iptables -I INPUT -s 211.2.0.0/16 -j DROP
) a( u; r0 o! ?; d  N; Y$ s! M) f; V0 K iptables -I INPUT -s 211.3.0.0/16 -j DROP

4 i) K- {& D" R% R封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP
4 }. b  G' Z% s. v' y
封几个段的命令是：
iptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP
- {; |% A% H( L
$ Y; S5 ^. A- n% e" @解封的话：
# J" V- n) g$ O  ?* ciptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了
4 ^8 V* r5 h# A$ \
# o, Y4 a! ~& a! D5 [3 u5 s) y- ^1 p3 E关闭： /etc/rc.d/init.d/iptables stop
启动： /etc/rc.d/init.d/iptables start
7 V' S; K# ?/ v3 g# r重启： /etc/rc.d/init.d/iptables restart
, {7 r/ x! N0 I& W% T
4 X5 M/ k! V( N! e( {1、重启后生效
( X8 g3 {3 o! y; s8 ^3 M' ^ 开启：chkconfig iptables on
! Q& j- d. _5 v& t% y关闭：chkconfig iptables off
5 ?0 L4 b- @* _9 R7 s 2、即时生效，重启后失效
开启：service iptables start
关闭：service iptables stop