防火墙 之 iptables语法介绍

Posted 2020-10-11

 1  概述

---

本文主要对iptables命令的语句的语法进行简要介绍

.规则格式：iptables  [-t table] SUBCOMMAND chain [-m matchname  [per-match-options]]  -j  targetname[per-target-options]

其中，-t  指定表table：raw,mangle, nat, filter，默认是filter。-j是jump的意思

 通过man 8 iptables查看iptables的man帮助文档

iptables的命令主要有以下的格式

.iptables [-t table] {-A|-C|-D}chain rule-specification
#这里如果不指定表名，就是用默认的filter
.iptables [-t table] -I chain[rulenum] rule-specification
.iptables [-t table] -R chainrulenum rule-specification
.iptables [-t table] -D chainrulenum
.iptables [-t table] -S [chain[rulenum]]
.iptables [-t table] {-F|-L|-Z}[chain [rulenum]] [options...]
.iptables [-t table] -N chain
.iptables [-t table] -X [chain]
.iptables [-t table] -P chain target
.iptables [-t table] -Eold-chain-name new-chain-name
.rule-specification = [matches...][target]
.match = -m matchname[per-match-options]
.target = -j targetname[per-target-options]

---

2  iptables 命令格式介绍

---

2.1 SUBCOMMAND：

subcommand分为三个部分：1链管理，2查看，3规则管理

.1、链管理：

-N：new,自定义一条新的规则链，自定义链，这里动作如果是自定义链的话，表示和其他的链进行关联，达到灵活的控制

例子：

#定义一条新的链，名字为diy_chain

iptables -N diy_chain

#定义规则用于这条链上

iptables -A diy_chain -ptcp --tcp-flag ALL ALL -j REJECT

#将自定义的链和系统的默认的链做关联，这里可以把自定义的链当做是一个变量，这个变量里定义了一组规则。通过-j选项来关联。所以可以把常用的防火墙规则自定义为链。如果要使用，只需要调用该自定义链即可，使用时把自定义和现有系统默认的的链做关联，

iptables -A INPUT -jdiy_chain

或者,表示来说192.168.32.75的ip的包都关联到INPUT链，调用diy_chain这条自定义的链

iptables -A INPUT -s192.168.32.75  -j diy_chain

-X：delete，删除自定义的空的规则链，要先清空规则后才能删除，如果有调用关系，也要把调用的关系清掉，然后才能用-X删除自定义的链

例子

先清空自定义链上的规则

iptables -F diy_chain

然后清空调用的系统链的绑定，

iptables -D INPUT -jdiy_chain

最后才能删除自定义链

iptables -X diy_chain

-P：Policy，设置默认策略；对filter表中的链而言，其默认策略有：

           ACCEPT：接受

          DROP：丢弃

这个不修改这个策略。这个策略用iptables-F清空不了。需要用该命令用iptables -A INPUTACCEPT来修改策略。

例子

iptables -A INPUT DROP

-E：重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除

.2、查看：

-L：list,列出指定鏈上的所有规则，本选项须置后，如果有dns，则会把ip解析成url。加-n就不会解析

-n：numberic，以数字格式显示地址和端口号

-v：verbose，详细信息

-vv更详细

-x：exactly，显示计数器结果的精确值,而非单位转换后的易读值

--line-numbers：显示规则的序号，默认编号不显示，需要自己加，顺序对防火墙来说很关键

常用组合：

--vnL

--vvnxL  --line-numbers

-S selected,以iptables-save 命令格式显示链上规则

注意系统默认的防火墙规则是放在文件/etc/sysconfig/iptables里，写入这个文件的防火墙策略是可以被保存的，当启动防火墙服务的时候，默认就会添加这些防火墙策略

3、规则管理：

-A：append，追加

-I：insert,插入，要指明插入至的规则编号，默认为第一条，注意，这里-I如果要指定数字，不能比当前防火墙规则最大的数字还大，但是可以等于最大的编号，因为这个-I选项默认是插入中间的规则，往前插入。

-D：delete，删除

(1) 指明规则序号

如  iptables -D INPUT 3

删掉第三条规则

(2) 指明规则本身

iptables -D INPUT -s1.1.1.7 -j ACCEPT

-R：replace，替换指定链上的指定规则编号

#替换掉变化为3的策略

iptables -R INPUT 3 -s1.1.1.8 -j ACCEPT

-F：flush，清空指定的规则链

#清空FORWARD链的策略，如果不指定。默认是清空INPUT链

iptables -F FORWARD

-Z：zero，置零

iptables的每条规则都有两个计数器，-Z会将这两个计数器都清零

(1) 匹配到的报文的个数

(2) 匹配到的所有报文的大小之和

.chain：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

2.2  匹配条件

基本：通用的，PARAMETERS，无需加载模块，由iptables/netfilter自行提供

扩展：需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效。其中扩展分为显示扩展和隐式扩展

关于匹配条件，参见博客：http://ghbsunny.blog.51cto.com/7759574/1973932

2.3  处理动作Target

.-j  targetname [per-target-options]

简单：

ACCEPT，DROP

扩展：

REJECT：--reject-with:icmp-port-unreachable默认

RETURN：返回调用链

REDIRECT：端口重定向

LOG：记录日志，dmesg，非中断target,本身不拒绝和允许,放在拒绝和允许规则前并将日志记录在/var/log/messages系统日志中

--log-level level 级别：emerg, alert, crit,error, warning, notice, info or debug

--log-prefix prefix 日志前缀，用于区别不同的日志，最多29个字符

.示例：

表示将172.18.50.73发过来的主机，访问端口80,21,22,23端口记录日志，同时给日志报头加上"cent7c tocent6E:这些关键字

iptables -A INPUT -s172.18.50.73 -p tcp -m multiport --dports 80,21,22,23 -m state --state NEW -jLOG --log-prefix "cent7c to cent6E:"

MARK：做防火墙标记

DNAT：目标地址转换

SNAT：源地址转换

MASQUERADE：地址伪装

...

自定义链

---

本文出自 “阳光运维” 博客，请务必保留此出处http://ghbsunny.blog.51cto.com/7759574/1973940