iptables的各种用法,各种的实例！

admin

1、安装iptables防火墙
CentOS执行：yum install iptables
Debian/Ubuntu执行：apt-get install iptables
5 I8 S0 t% t& u0 P$ S
: D1 l" d. ~) c& ]4 {! m2、清除已有iptables规则
iptables -F
/ m2 z5 ^7 ^& w4 E2 {( W iptables -X
iptables -Z

3 S1 O* H5 [) F4 M2 j; g/ g% u; y3、开放指定的端口
#允许本地回环接口(即运行本机访问本机)
) ?5 W: ?! L  h# d- J, g9 W6 ziptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
. p! y! O. g6 V; L # 允许已建立的或相关连的通行
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
/ H3 J( T5 M  i. q- h8 B; o" eiptables -A OUTPUT -j ACCEPT
# 允许访问22端口
3 u$ c3 i( F  l, l0 G  W' siptables -A INPUT -p tcp –dport 22 -j ACCEPT
& n* G9 ~! ~! g6 i+ j3 ~) U #允许访问80端口
iptables -A INPUT -p tcp –dport 80 -j ACCEPT
#允许FTP服务的21和20端口
iptables -A INPUT -p tcp –dport 21 -j ACCEPT
iptables -A INPUT -p tcp –dport 20 -j ACCEPT
3 Y* o' G& z8 P3 }+ a! G& e #如果有其他端口的话，规则也类似，稍微修改上述语句就行
#禁止其他未允许的规则访问
4 v8 a0 e" u. Niptables -A INPUT -j REJECT
, `: `4 z: h( Q8 R iptables -A FORWARD -j REJECT

) L" j, R* I, h) g4、屏蔽IP
#如果只是想屏蔽IP的话3、“开放指定的端口”可以直接跳过。
#屏蔽单个IP的命令是
- o' f# Y! r8 ^# S4 d1 F4 Fiptables -I INPUT -s 123.45.6.7 -j DROP
4 `6 n5 h/ O: |- S #封整个段即从123.0.0.1到123.255.255.254的命令
0 H' y4 q; v$ r6 Q# fiptables -I INPUT -s 123.0.0.0/8 -j DROP
( d' e0 p; S1 I2 X+ H& |' a" G #封IP段即从123.45.0.1到123.45.255.254的命令
' d6 v" s, R0 J5 wiptables -I INPUT -s 124.45.0.0/16 -j DROP
. W5 N" K- O0 h! W) f #封IP段即从123.45.6.1到123.45.6.254的命令是
" t9 H0 e; J' c- q: t) niptables -I INPUT -s 123.45.6.0/24 -j DROP
" n+ _' @6 M) A- {0 e7 K
4、查看已添加的iptables规则
iptables -L -n
' z; J; B  C- Q2 u$ i$ C v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
1 B+ a6 y% A- o0 e0 M; yx：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示IP地址和端口号，不将ip解析为域名

+ }; v' D% ]3 b5、删除已添加的iptables规则
0 Y0 q1 t* `$ [6 K; F; v% G9 x) x8 X 将所有iptables以序号标记显示，执行：
iptables -L -n –line-numbers
比如要删除INPUT里序号为1的规则，执行：
iptables -D INPUT 1
; X: g9 L7 p  |5 d: G5 n
6、iptables的开机启动及规则保存
chkconfig –level 345 iptables on
CentOS上可以执行：service iptables save保存规则
linux下使用iptables封ip段的一些常见命令：
封单个IP的命令是：
- P# _7 c! m- w" F% O* n( Xiptables -I INPUT -s 211.1.0.0 -j DROP
封IP段的命令是：
iptables -I INPUT -s 211.1.0.0/16 -j DROP
iptables -I INPUT -s 211.2.0.0/16 -j DROP
# Z  @$ U) l4 Z; r) v iptables -I INPUT -s 211.3.0.0/16 -j DROP
  g# @- U5 e8 g% v) H
封整个段的命令是：
iptables -I INPUT -s 211.0.0.0/8 -j DROP

封几个段的命令是：
) g% M: X5 G' H8 _9 K$ hiptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP
  b6 i# R: h9 d3 ~9 \
( T+ G2 t/ _2 K* R8 B2 `. ~. |解封的话：
iptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了
6 {6 D$ F: t* \- v7 V9 G
7 y; G! @9 T! N0 `- _关闭： /etc/rc.d/init.d/iptables stop
启动： /etc/rc.d/init.d/iptables start
重启： /etc/rc.d/init.d/iptables restart

6 y4 o3 J# I+ u) _1、重启后生效
开启：chkconfig iptables on
, K. V$ y* H  H' U关闭：chkconfig iptables off
2、即时生效，重启后失效
( w. P: y& h0 |) R 开启：service iptables start
' o1 W  s- D  f$ ~, Y7 s8 a关闭：service iptables stop