iptables 基操（基本操做）

经常使用命令

1. 清空当前的全部规则和计数

iptables -F  #清空全部的防火墙规则
iptables -X  #删除用户自定义的空链
iptables -Z #清空计数
复制代码

2. 配置容许ssh端口链接

iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT  #22为你的ssh端口， -s 192.168.1.0/24表示容许这个网段的机器来链接，其它网段的ip地址是登录不了你的机器的。 -j ACCEPT表示接受这样的请求
复制代码

3. 容许本地回环地址能够正常使用

iptables -A INPUT -i lo -j ACCEPT  #本地圆环地址就是那个127.0.0.1，是本机上使用的,它进与出都设置为容许
iptables -A OUTPUT -o lo -j ACCEPT
复制代码

4. 设置默认规格

iptables -P INPUT DROP #配置默认的不让进
iptables -P FORWARD DROP #默认的不容许转发
iptables -P OUTPUT ACCEPT #默认的能够出去
复制代码

5. 配置白名单

iptables -A INPUT -p all -s 192.168.1.0/24 -j ACCEPT  #容许机房内网机器能够访问
iptables -A INPUT -p all -s 192.168.140.0/24 -j ACCEPT  #容许机房内网机器能够访问
iptables -A INPUT -p tcp -s 183.121.3.7 --dport 3380 -j ACCEPT #容许183.121.3.7访问本机的3380端口
复制代码

6. 开启相应的服务端口

iptables -A INPUT -p tcp --dport 80 -j ACCEPT #开启80端口，由于web对外都是这个端口
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT #容许被ping
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #已经创建的链接得让它进来
复制代码

7. 保存规则

[root@zejin238 ~]# cp /etc/sysconfig/iptables /etc/sysconfig/iptables.bak #任何改动以前先备份，请保持这一优秀的习惯
[root@zejin238 ~]# iptables-save > /etc/sysconfig/iptables 
[root@zejin238 ~]# cat /etc/sysconfig/iptables
# Generated by iptables-save v1.4.7 on Wed Sep 28 18:06:07 2016
*filter
:INPUT DROP [8:632]  
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [4:416]
-A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -s 192.168.1.0/24 -j ACCEPT 
-A INPUT -s 192.168.140.0/24 -j ACCEPT 
-A INPUT -s 183.121.3.7/32 -p tcp -m tcp --dport 3380 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT 
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT -o lo -j ACCEPT 
COMMIT
# Completed on Wed Sep 28 18:06:07 2016
复制代码

理解iptables格式

咱们在上面的iptables文件中，最开始接触会发现格式蛮奇怪的，不知道什么回事

其实iptables就是定义一些规则，知足相应的规则则进行ACCEPT、DROP、REJECT、DNAT、SNAT......

那么怎么定义匹配规则：

通用匹配

-s 指定源地址

-d 指定目标地址

-p 指定协议

-i 指定数据报文流入接口

-o 指定数据报文流出接口

扩展匹配

指定-m选项，表示用什么模块来匹配，如：

-m state --state

NEW,ESTABLISHED,RELATED  表示用state模块来匹配当前链接状态为这三种状态的链接
复制代码

-m iprange

--src-range 用iprange模块匹配来源的ip地址范围

   --dst-range 用iprange模块匹配目的的ip地址范围
复制代码

-m multiport

--source-ports  用multiport模块来匹配来源的端口范围

    --destination-ports 用multiport模块来匹配目的的端口范围
复制代码

咱们看以下一条例子来解读：

-A INPUT -p tcp -m iprange --src-range 121.21.30.36-121.21.30.100 -m multiport --destination-ports 3326,3327,3328 -m state --state NEW -j ACCEPT

这表示来自121.21.30.36-121.21.30.100这个地址范围的，请求端口为3326,3327,3328而且是新建的链接，都给予放行。