Linux 命令（215）—— iptables 命令

Posted 2022-12-21 恋喵大鲤鱼

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Linux 命令（215）—— iptables 命令相关的知识，希望对你有一定的参考价值。

文章目录

1.命令简介
2.命令格式
3.选项说明
4.常用示例
参考文献

1.命令简介

iptables/ip6tables 是 IPv4/IPv6 包过滤和 NAT 的管理工具。

iptables/ip6tables 命令是 Linux 上常用的防火墙软件，是 netfilter 项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。

iptables/ip6tables 均是 xtables-multi 的软链。

2.命令格式

iptables [-t table] -A|-C|-D chain rule-specification

ip6tables [-t table] -A|-C|-D chain rule-specification

iptables [-t table] -I chain [rulenum] rule-specification

iptables [-t table] -R chain rulenum rule-specification

iptables [-t table] -D chain rulenum

iptables [-t table] -S [chain [rulenum]]

iptables [-t table] -F|-L|-Z [chain [rulenum]] [options...]

iptables [-t table] -N chain

iptables [-t table] -X [chain]

iptables [-t table] -P chain target

iptables [-t table] -E old-chain-name new-chain-name

rule-specification = [matches...] [target]

match = -m matchname [per-match-options]

target = -j targetname [per-target-options]

表名包括：
raw：高级功能，如：网址过滤。
mangle：数据包修改（QOS），用于实现服务质量。
nat：地址转换，用于网关路由器。
filter：包过滤，用于防火墙规则。
security：该表用于 MAC (Mandatory Access Control)组网规则，例如由 SECMARK 和 CONNSECMARK 目标启用的规则。

规则链名包括：
INPUT链：处理输入数据包。
OUTPUT链：处理输出数据包。
PORWARD链：处理转发数据包。
PREROUTING链：用于目标地址转换（DNAT）。
POSTOUTING链：用于源地址转换（SNAT）。

动作包括：
ACCEPT：接收数据包。
DROP：丢弃数据包。
REDIRECT：重定向、映射、透明代理。
SNAT：源地址转换。
DNAT：目标地址转换。
MASQUERADE：IP 伪装（NAT），用于 ADSL。
LOG：日志记录。

3.选项说明

-t, --table <table>
	指定要操纵的表。

命令选项。

这些选项指定要执行的所需操作。这些在命令行上只能同时指定一个除非另有说明。对于长版本的命令和选项名称，可以只要能够和其他选项区别开来即可。

-A, --append <chain> <rule-specification>
	向规则链中添加条目。
-D, --delete <chain> <rule-specification>
-D, --delete <chain> <rulenum>
	从规则链中删除条目。
-I, --insert <chain> [rulenum] <rule-specification>
	向规则链中插入条目；
-R, --replace <chain> <rulenum> <rule-specification>
	替换规则链中的条目。
-L, --list [chain]
	显示规则链中已有的条目。
-F, --flush [chain]
	清除规则链中所有条目。
-Z, --zero [chain [rulenum]]
	清空规则链中的数据包计算器和字节计数器。
-N, --new-chain <chain>
	创建新的用户自定义规则链。
-P, --policy <chain> <target>
	定义规则链中的默认目标。
-X, --delete-chain [chain]
	删除用户定义的链。如果未指定链，则尝试删除表中的每个非内置链。
-h
	显示帮助信息；

参数型选项。

下面的参数组成了规则规范(在添加、删除、插入、替换和追加命令中使用)。

-p, --protocol <protocol>
	指定要匹配的数据包协议类型；
[!] -s, --source <address>[/<mask>][,...]
	指定要匹配的数据包源 IP 地址。
[!] -d, --destination <address>[/<mask>][,...]
	指定要匹配的数据包目的 IP 地址。
-m, --match <match>
	指定要使用的匹配项，即测试特定属性的扩展模块。匹配集构成了调用目标的条件。匹配将按照命令行中指定的顺序从前到后计算，并以短路方式工作，即如果一个扩展产生 false，则计算将停止。
-j, --jump <target>
	指定要跳转的目标。目标可以是用户定义的链(除了这个规则所在的链)，可以是一个特殊的内置目标，它可以立即决定数据包的命运，也可以是一个扩展。如果在规则中省略了该选项(并且没有使用-g)，那么匹配该规则将对数据包的命运没有影响，但规则上的计数器将增加。
-i, --in-interface <name>
	指定数据包进入本机的网络接口。
-o, --out-interface <name>
	指定数据包要离开本机所使用的网络接口。
-c, --set-counters <packets> <bytes>
	这使得管理员可以初始化数据包和规则的字节计数器（在 INSERT, APPEND，REPLACE 操作时）。

其他选项。

-v, --verbose
	详细的输出。如该选项使 list 命令显示接口名称、规则选项(如果有的话)和 TOS 掩码。
-n, --numeric
	数字输出。IP地址和端口号将以数字格式打印。默认情况下，程序将尝试将它们显示为主机名、网络名或服务(只要适用)。
--line-numbers
	列出规则时，在每条规则的开头添加行号，对应于该规则在链中的位置。

4.常用示例

（1）清除已有 iptables 规则。

iptables -F

（2）删除指定的用户自定义链。

iptables -X

删除指定的用户自定义链。这个链必须没有被引用，如果被引用，在删除之前你必须删除或者替换与之有关的规则。如果没有给出参数，这条命令将试着删除每个非内建的链。

（3）把所有链的包及字节的计数器清空。

iptables -Z

（4）允许本地回环接口，即运行本机访问本机。

iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

（5）允许已建立的或相关链的通行。

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

（6）允许所有本机向外的访问。

iptables -A OUTPUT -j ACCEPT

（7）允许访问 22 端口。

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

（8）禁止其他未允许的规则访问。

iptables -A INPUT -j REJECT

（9）禁止其他未允许的规则转发。

iptables -A FORWARD -j REJECT

（10）屏蔽单个 IP 数据包。

iptables -I INPUT -s 172.16.0.88 -j DROP

（11）封整个段即从 172.16.0.1 到 172.16.0.254 的数据包。

iptables -I INPUT -s 172.16.0.0/24 -j DROP

（12）查看已添加的 iptables 规则。

iptables -L -n -v
Chain INPUT (policy ACCEPT 8385K packets, 1772M bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 8434K packets, 1290M bytes)
 pkts bytes target     prot opt in     out     source               destination