iptables的端口映射

iptables -A INPUT -p tcp --dport 22 -j DROP  新增规则
iptables -D INPUT -P tcp --dport 22 -j DROP  删除规则
iptables -A INPUT -i eth0 -s 10.0.0/24 -j DROP   源地址10.0.0.0/24网段，且从etho0进入，直接过滤（若是没有写接口，就是全部接口）
iptables -A INPUT -i eth1 -s ! 10.0.0.102 -j DROP(源地址非10.0.0.102通过eth1的直接drop)
iptables -L -n                     查看iptables的列表
iptables -F
iptables -X
iptables 默认用filter表
ACCEPT DROP   REJECT(安全隐患，不用这样，只用前面2个)
生产环境经常使用服务的iptables的规则实例
如下服务是以默认规则为拒绝设计的：
1\仅容许内部合法的IP地址访问服务器
iptables -A INPUT -s 203.81.19.0/24 -p all -j ACCEPT
iptables -A INPUT -s 124.42.60.96/24 -p all -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -p all -j ACCEPT
iptables -A INPUT -s 10.0.0.0/24 -p all -j ACCEPT

2\仅容许内部合法的IP段访问监控服务器nagios
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 5666 -j ACCEPT
3\仅容许内部合法的IP段访问mysql数据库和oracle数据库
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 3306 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 3307 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 1521 -j ACCEPT
4\仅容许内部合法的IP段访问ssh远程链接服务
iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 50718 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.2.0/24 --dport 50718 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.3.0/24 --dport 50718 -j ACCEPT
5\对内提供http服务的业务，通常用特殊端口，而且限制合法IP链接或***链接
iptables -A INPUT -s 192.168.1.10/24 -p tcp -m multiport --dport 8080,8081,8082 -j ACCEPT
6\snmp限制
iptables -A INPUT -s 192.168.2.0/24 -p UDP --dport 161 -j ACCEPT
iptables -A INPUT -s 203.82.11.0/24 -p UDP --dport 161 -j ACCEPT
iptables -A INPUT -s 203.81.18.0/24 -p UDP --dport 161 -j ACCEPT
七、rsync服务的限制策略
iptables -A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 873 -j ACCEPT
8\nfs服务的限制
iptables -A INPUT -s 192.168.1.0/24 -p TCP -m multiport --dport 111,892,2049 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -p udp -m multiport --dport 111,892,2049 -j ACCEPT
9\ftp服务的限制
#iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
提示：上面内容表示对已经创建链接的数据包，或者发出去的数据包容许经过
十、ICMP的限制
iptables -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
iptables -A INPUT -p icmp -s 10.10.10.0/24 -m icmp --icmp-type any -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
11\容许SSH
iptables -A INPUT -p tcp --dport 22 -s 10.0.0.0/24 -j ACCEPT
12\配置容许lo接口的进入 流出，本地环回接口
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
13\电影院模式,一旦敲入下面的命令，服务器会链接不上，因此敲入下列命令前要加入访问的网段：iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT   #必定要先加这条，不然执行下面语句后不能正常的链接服务器
iptables --policy OUTPUT ACCEPT
iptables --policy FORWARD DROP
iptables --policy INPUT DROP
1四、开启信任的IP段
容许IDC机房和办公网IP的访问
iptables -A INPUT -s 124.43.62.96/27 -p all -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -p all -j ACCEPT
iptables -A INPUT -s 10.0.0.-0/24 -p all -j ACCEPT
容许http服务运行
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
容许ICMP
iptables -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
容许关联的状态包经过
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT



永久保存成配置文件
/etc/init.d/iptables save
备份Iptables的配置文件
cp /etc/sysconfig/iptables /etc/sysconfig/iptables.bak



nat：
一、PC1配置2个网桥网卡，一个和局域网同网段（192.168.1.0、24），另一个自定义个网段（172.16.1.3）
   准备一台PC2，网卡设置为网桥模式，确保手动配置网络段172.16.1.17 网关：172.16.1.3
   新网卡的只设置IP：172.16.1.3，不设置网关。若是设置网关，则有2个网关，形成不能上网
   在PC1上“开启内核转发”：net.ipv4.ip_forward = 1  修改后使用sysctl -p生效，并将PC2网关设置成172.16.1.3
   开启转发后，真机能ping通172.16.1.17，若是没有开启转发功能，测不能ping通172。16.1.17
二、在PC1的iptables开启转发：Chain FORWARD (policy ACCEPT)
三、加载模块

作源地址转换：
iptables -t nat -A POSTROUTING -s 172.16.1.0/255.255.255.0 -o eth0 -j SNAT --to-source 192.168.1.106  #静态IP
iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -j MASQUERADE  ###拨号上网
作完上面的操做后，内网的机器PC2就能够上网了