iptables中增加/删除/查询/修改的基本操作

Posted 2020-10-08 Jim

虽然在Ubuntu使用了UFW来简化iptables的操作，但是UFW只针对防火墙方面，转发方面没有涉及，所以要弄懂其中的原理，还是必须回归到iptables中。CentOS也是如此。下面是针对iptables的基本操作，无论CentOS还是Ubuntu都是一致的。

前提：先熟悉iptables的基本命令参数：http://www.cnblogs.com/EasonJim/p/6847874.html

说明：经过测试，一些OUTPUT的规则使用下面命令是查看不到的，但是可以通过sudo iptables-save命令进行查看，是因为一些nat表的没给出来，可以使用sudo iptables -t tablename去查询，对于要知道哪些tablename时，可以使用man iptables进行查询。

操作：

1、查看

sudo iptables -nvL –line-number

-L 查看当前表的所有规则，默认查看的是filter表，如果要查看NAT表，可以加上-t NAT参数
-n 不对ip地址进行反查，加上这个参数显示速度会快很多
-v 输出详细信息，包含通过该规则的数据包数量，总字节数及相应的网络接口
–line-number 显示规则的序列号，这个参数在删除或修改规则时会用到

2、添加

添加规则有两个参数：-A和-I。其中-A是添加到规则的末尾；-I可以插入到指定位置，没有指定位置的话默认插入到规则的首部。

当前规则：

sudo iptables -nL --line-number

Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    DROP       all  --  192.168.1.1          0.0.0.0/0
2    DROP       all  --  192.168.1.2          0.0.0.0/0
3    DROP       all  --  192.168.1.4          0.0.0.0/0

添加一条规则到尾部：

sudo iptables -A INPUT -s 192.168.1.5 -j DROP

再插入一条规则到第三行，将行数直接写到规则链的后面：

sudo iptables -I INPUT 3 -s 192.168.1.3 -j DROP

查看：

sudo iptables -nL --line-number

Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    DROP       all  --  192.168.1.1          0.0.0.0/0
2    DROP       all  --  192.168.1.2          0.0.0.0/0
3    DROP       all  --  192.168.1.3          0.0.0.0/0
4    DROP       all  --  192.168.1.4          0.0.0.0/0
5    DROP       all  --  192.168.1.5          0.0.0.0/0

可以看到192.168.1.3插入到第三行，而原来的第三行192.168.1.4变成了第四行。

3、删除

删除用-D参数

删除之前添加的规则（sudo iptables -A INPUT -s 192.168.1.5 -j DROP）：

iptables -D INPUT -s 192.168.1.5 -j DROP

有时候要删除的规则太长，删除时要写一大串，既浪费时间又容易写错，这时我们可以先使用–line-number找出该条规则的行号，再通过行号删除规则。

sudo iptables -nL --line-number

Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    DROP       all  --  192.168.1.1          0.0.0.0/0
2    DROP       all  --  192.168.1.2          0.0.0.0/0
3    DROP       all  --  192.168.1.3          0.0.0.0/0

删除第二行规则

sudo iptables -D INPUT 2

删除所有规则（慎用）

sudo iptables -F 
sudo iptables -X
sudo iptables -Z
#针对某张表（nat）进行删除
sudo iptables -F -t nat
sudo iptables -X -t nat
sudo iptables -Z -t nat

说明：要知道是哪张表时，可以使用sudo iptables-save输出全部规则，# Generated by下一行开头带星号的就是表面。

技巧：比如一些nat转发的规则不会展示，则查询时可以使用sudo iptables -nL --line-number -t nat查询，然后通过sudo iptables -D INPUT 2 -t nat进行删除。

4、修改

修改使用-R参数

先看下当前规则：

sudo iptables -nL --line-number

Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    DROP       all  --  192.168.1.1          0.0.0.0/0
2    DROP       all  --  192.168.1.2          0.0.0.0/0
3    DROP       all  --  192.168.1.5          0.0.0.0/0

将第三条规则改为ACCEPT：

sudo iptables -R INPUT 3 -j ACCEPT

再查看下：

sudo iptables -nL --line-number

Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    DROP       all  --  192.168.1.1          0.0.0.0/0
2    DROP       all  --  192.168.1.2          0.0.0.0/0
3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0

第三条规则的target已改为ACCEPT。

 

参考：

http://blog.csdn.net/l241002209/article/details/43987933（以上内容转自此篇文章）