Iptables 设置

时间 2019-11-17

标签 iptables 设置栏目系统网络繁體版

原文原文链接

NetFilter规定的五个规则链sql
PREROUTING (路由前)、INPUT (数据包流入口)、FORWARD (转发管卡)、OUTPUT(数据包出口)、POSTROUTING（路由后）网络
任何一个数据包，只要通过本机，必将通过这五个链中的其中一个链；tcp
NAT: Network Address Transition (网络地址转换)oop
防火墙策略spa
filter 定义容许或者不容许的、nat 定义地址转换的、mangle功能:修改报文原数据rest
filter来说通常只能作在3个链上：INPUT ，FORWARD ，OUTPUTorm
nat来说通常也只能作在3个链上：PREROUTING ，OUTPUT ，POSTROUTING接口
mangle则是5个链均可以作：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
ip
iptables -L -n 或 iptables -nL -- 查看规则表路由
iptables -t nat -L -n -- 查看网络地址转换表
iptables -F -- 清除预设表filter中的全部规则链的规则
iptables -X -- 清除预设表filter中使用者自定链中的规则
/etc/rc.d/init.d/iptables save -- 保存设置
cat /etc/sysconfig/iptables -- 查看规则设置保存文件
service iptables restart -- 重启规则表
设置预设规则
iptables -p INPUT DROP
iptables -p OUTPUT DROP
iptables -p FORWARD DROP
开启FORWARD转发，需修改内核配置文件
/proc/sys/net/ipv4/ip_forward 默认0（0：关闭 1：打开）
开启是 iptables -p OUTPUT ACCEPT 才起做用
开启SSH远程登陆
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
iptables -I INPUT -p tcp --dport 22 -m mac --mac-source XX:XX:XX:XX:XX:XX -j ACCEPT -- 限制mac地址访问
iptables -D INPUT -p tcp --dport 22 -m mac --mac-source XX:XX:XX:XX:XX:XX -j ACCEPT -- 删除MAC地址访问设置
iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT -- 指定IP访问
iptables -A OUTPUT -d 192.168.0.3 -p tcp --sport 22 -j ACCEPT -- 指定输出到指定IP经过
iptables -A INPUT -s 192.168.0.0/24 -p tcp --dport 22 -j ACCEPT -- 指定IP段 192.168.0.1-255访问
iptables -A OUTPUT -d 192.168.0.0/24 -p tcp --sport 22 -j ACCEPT -- 指定输出到指定IP段经过
iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j DROP-- 限制IP访问
iptables -A OUTPUT -d 192.168.0.3 -p tcp --sport 22 -j DROP -- 限制到目的IP得输出
iptables -D INPUT -p tcp --dport 22 -j ACCEPT
iptables -D OUTPUT -p tcp --sport 22 -j ACCEPT
开始本机8080端口访问
iptables -A INPUT -p tcp --dport 8080 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 8080 -j ACCEPT
容许icmp包经过(注：容许ping)
iptables -A OUTPUT -p icmp -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -D OUTPUT -p icmp -j ACCEPT
iptables -D INPUT -p icmp -j ACCEPT
容许loopback 会致使DNS没法正常关闭
IPTABLES -A INPUT -i lo -p all -j ACCEPT
-- -i 表明输入接口（不指定-i参数，将处理进入全部接口的数据包，! -i eth0 ：将处理全部经由eth0之外的接口进入的数据包，-i eth+ ：将处理全部经由eth开头的接口进入的数据包）
IPTABLES -A OUTPUT -o lo -p all -j ACCEPT
-- -o 表明输出接口（! -o eth0 : 从eth0之外的接口输出，-i eth+ ：从eth开头的接口输出）
DNS服务开启
DNS占用TCP、UDP两个协议端口、通常状况下使用UDP 53
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT-p udp --sport 53 -j ACCEPT
容许创建链接的包经过
iptables-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
开启本机访问外部80端口
iptables -A INPUT -p tcp --sport 80 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
开启、删除Mysql(3306)端口
iptables -I INPUT -p tcp --dport 3306 -j ACCEPT -- 在行首添加输入目的端口3306 访问经过
iptables -I OUTPUT -p tcp --sport 3306 -j ACCEPT -- 在行首添加输出原端口3306 访问经过
iptables -D INPUT -p tcp --dport 3306 -j ACCEPT -- 删除输入目的3306端口访问
iptables -D OUTPUT -p tcp --sport 3306 -j ACCEPT -- 删除输出原端口3306端口访问
iptables -I INPUT -s 192.168.0.3 -p tcp --dport 3306 -j ACCEPT -- 指定IP访问
iptables -I OUTPUT -d 192.168.0.3 -p tcp --sport 3306 -j ACCEPT -- 指定输出到指定IP经过
iptables -D INPUT -s 192.168.0.3 -p tcp --dport 3306 -j ACCEPT
iptables -D OUTPUT -d 192.168.0.3 -p tcp --sport 3306 -j ACCEPT
开启、删除SendMail(25)端口
iptables -I INPUT -p tcp --sport 25 -j ACCEPT -- 不开启此项也能发送
iptables -I OUTPUT -p tcp --dport 25 -j ACCEPT
iptables -D INPUT -p tcp --sport 25 -j ACCEPT
iptables -D OUTPUT -p tcp --dport 25 -j ACCEPT
经常使用端口
22 -- SSH 23 -- telnet 25 -- smtp 53 -- DNS
已创建链接状态包经过
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -- 添加已创建链接状态包经过
iptables -D INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -- 添加已创建链接状态包经过