iptables常用的規則設定

iptables 4個表和5個漣

iptables 顯示相關的命令

iptables -L -n -x -v

查看iptables的status 為Firevall is stopped 解決： Linux命令行輸入 step --Firevall configuration--enable

清除默認的規則

iptables -F 等價于iptables --flush//清除所有的規則

iptables -X 等價于iptables --delete-chain//刪除用戶自定義規則

iptables -Z 等價于iptables --zero//鏈的計數器清零

提示:默認情況下，我們的清除規則實際是對filter表的操作，如果是nat表，需要iptables -t nat -F

ACCEPT(接受) DROP(丟棄) REJECT(拒絕)

iptables是在系統內核中運行的。檢查基本相關的內核模塊

modprobe ip_tables

modprobe iptable_filter

modprobe iptable_nat

modprobe ip_conntrack

modprobe conntrack_ftp

modprobe ip_nat_ftp

modprobe ipt_state

lsmod | grep ip

1.關閉ssh 的22 端口關閉

開啟關閉22端口

Iptables  -A INPUT –p tcp –dport 22 –j DROP

刪除22這條規則

iptables -D INPUT -p tcp --dport 22 -j DROP 

刪除根據行號(iptables -D INPUT 1)

iptables -L -n --line-numbers(顯示行號)

禁止10.0.0.0/24網段連入

 iptables -t filter -A INPUT -i eth0 -s 10.0.0.0/24 -j DROP

刪除禁止源地址10網段的命令

iptables -D INPUT -i eth0 -s 10.0.0.0/24 -y DROP

封一個ip 

iptables -I INPUT -p tcp  -s  10.0.0.101 -j DROP

禁止目的端口為22端口的數據包通過防火墻

iptables -I INPUT -p tcp --dport 22 -j DROP

配置一個合法的地址能ping

iptables -t filter -I INPUT -p icmp --icmp-type 8 -i eth0 -s ! 10.0.0.101 -j DROP

禁止一個網段

iptables -t filter -I INPUT -I eth0 -s ! 10.0.0.0/24 -j DROP 等價于

iptables -t filter -I INPUT -I eth0 -s 10.0.0.0/24 -j ACCEPT

封掉3306

iptables -A INPUT -p tcp --dport 3306 -j DROP

常用服務的iptables 規則實踐

允許合法的ip通過iptables

iptables -A INPUT -s 10.0.0.1/24 -p all -j ACCEPT

允許nagios

iptables -A INPUT -s 10.0.0.1/24 -p tcp --dport 5666 -j ACCEPT

允許MySQL和oracle ip訪問

iptables -A INPUT -s 10.0.0.1/24 -p tcp --dport 3306 -j ACCEPT

iptables -A INPUT -s 10.0.0.1/24 -p tcp --dport 1521 -j ACCEPT

允許合法的ip連接ssh

iptables -A INPUT -p tcp -s 10.0.0.1/24 --dport 5801 -j ACCEPT

對http請求的開通(一般不做限制)

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

對http服務企業，一般的特殊端口，并限制合法ip連接或×××連接

iptables -A INPUT -s 10.0.0.1/24 -p tcp -n unltiport --dport 8080,8888, -j ACCEPT

snmp 的限制

iptables -A INPUT -s 10.0.0.1/24 -p UDP --dport 161 -j ACCEPT

rsync 服務的限制策

iptables -A INPUT -s 10.0.0.1/24 -p tcp -m tcp --dport 873 -j ACCEPT

nfs 服務的限制

iptables -A INPUT -s 10.0.0.1/24 -p TCP -n multiport --dport 111,892,2049 -j ACCEPT

ftp服務限制

#iptables -A INPUT -p tcp --dport 21 -j ACCEPT

iptables -A INPUT -n state --state ESTABLSHED,RELATED -j ACCEPT

iptables -A OUTPUT -n state --state ESTABLSHED,RELATED -j ACCEPT

icmp的限制

iptables -A INPUT -p icmp -n icmp --icmp-type any -j ACCEPT

iptables -A INPUT -p icmp -s 10.0.0.1/24 -n icmp --icmp-type any -j ACCEPT

iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

高級模式

NAT模式的ip一對一映射（外網對應內網）

Iptables –t nat –A PREROUTING –d 201.10.10.11 –p tcp –n tcp –dport 80 –j DNAT –to-destination 10.10.10.12:80

SNAT（源網絡轉換）

Iptables –t nat –A POSTROUTING –s 10.0.0.0/255.255.255.0 –o eth0 –j SANT –to-source 203.21.9.1

映射多個外網ip上網

Iptables –t nat –A POSTROUTING –s 10.0.0.0/255.255.255.0 –o eth0 –j SANT –to-source 203.21.9.1-203.21.9.20

菜鳥寫文檔 ，請多多指教啊！