iptables rule

原文 · 斜體

iptables -A OUTPUT -f -d 192.168.1.1 -j DROP //
# ping -c 1 127.0.0.1
PING 127.0.0.1 (127.0.0.1): 56 data bytes
64 bytes from 127.0.0.1: icmp_seq=0 ttl=64 time=0.2 ms

--- 127.0.0.1 ping statistics ---
1 packets transmitted, 1 packets received, 0% packet loss
round-trip min/avg/max = 0.2/0.2/0.2 ms
# iptables -A INPUT -s 127.0.0.1 -p icmp -j DROP
# ping -c 1 127.0.0.1
PING 127.0.0.1 (127.0.0.1): 56 data bytes

--- 127.0.0.1 ping statistics ---
1 packets transmitted, 0 packets received, 100% packet loss
#

        # iptables -D INPUT 1
        #

        # iptables -D INPUT -s 127.0.0.1 -p icmp -j DROP
        #
iptables -A INPUT -s 0/0 -j DROP //To specify any IP address at all `/0' can be used
[blueflux@work1 neigh]$ ls
default  eth0  lo
[blueflux@work1 neigh]$

這種字體
/usr/local/bin/iptables
/etc/rc.d/
CONFIG_PACKET
CONFIG_NETFILTER
CONFIG_IP_NF_CONNTRACK
CONFIG_IP_NF_FTP
CONFIG_IP_NF_IPTABLES
CONFIG_IP_NF_MATCH_LIMIT
CONFIG_IP_NF_MATCH_MAC
CONFIG_IP_NF_MATCH_MARK
CONFIG_IP_NF_MATCH_MULTIPORT
CONFIG_IP_NF_MATCH_TOS
CONFIG_IP_NF_MATCH_TCPMSS
CONFIG_IP_NF_MATCH_STATE
CONFIG_IP_NF_MATCH_UNCLEAN
CONFIG_IP_NF_MATCH_OWNER
CONFIG_IP_NF_FILTER
CONFIG_IP_NF_TARGET_REJECT
CONFIG_IP_NF_TARGET_MIRROR
CONFIG_IP_NF_NAT
CONFIG_IP_NF_TARGET_MASQUERADE
CONFIG_IP_NF_TARGET_REDIRECT
CONFIG_IP_NF_TARGET_LOG
CONFIG_IP_NF_TARGET_TCPMSS
CONFIG_IP_NF_COMPAT_IPCHAINS
CONFIG_IP_NF_COMPAT_IPFWADM
/usr/src/linux/ 
/etc/rc.d/
/etc/rc.d/init.d/ipchains
/etc/rc.d/init.d/iptables
/etc/rc.d/init.d/iptables
/etc/rc.d/init.d/iptables
/etc/sysconfig/iptables
/etc/sysconfig/iptables
/proc/net/ip_conntrack
/proc/net/ip_conntrack
tcp      6 117 SYN_SENT src=192.168.1.6 dst=192.168.1.9 sport=32775 \
     dport=22 [UNREPLIED] src=192.168.1.9 dst=192.168.1.6 sport=22 \
     dport=32775 use=2

linux/include/netfilter-ipv4/ip_conntrack*.h
linux/include/netfilter-ipv4/ip_conntrack.h
/proc/sys/net/ipv4/netfilter
/proc/sys/net/ipv4/netfilter/ip_ct_*
/proc/sys/net/ipv4/ip_conntrack_max
/proc/net/ip_conntrack
tcp      6 117 SYN_SENT src=192.168.1.5 dst=192.168.1.35 sport=1031 \
     dport=23 [UNREPLIED] src=192.168.1.35 dst=192.168.1.5 sport=23 \
     dport=1031 use=1

tcp      6 57 SYN_RECV src=192.168.1.5 dst=192.168.1.35 sport=1031 \
     dport=23 src=192.168.1.35 dst=192.168.1.5 sport=23 dport=1031 \
     use=1

tcp      6 431999 ESTABLISHED src=192.168.1.5 dst=192.168.1.35 \
     sport=1031 dport=23 src=192.168.1.35 dst=192.168.1.5 \
     sport=23 dport=1031 use=1

/proc/sys/net/ipv4/netfilter/ip_ct_tcp_*
udp      17 20 src=192.168.1.2 dst=192.168.1.5 sport=137 dport=1025 \
     [UNREPLIED] src=192.168.1.5 dst=192.168.1.2 sport=1025 \
     dport=137 use=1

udp      17 170 src=192.168.1.2 dst=192.168.1.5 sport=137 \
     dport=1025 src=192.168.1.5 dst=192.168.1.2 sport=1025 \
     dport=137 use=1

udp      17 175 src=192.168.1.5 dst=195.22.79.2 sport=1025 \
     dport=53 src=195.22.79.2 dst=192.168.1.5 sport=53 \
     dport=1025 [ASSURED] use=1

ip_conntrack
icmp     1 25 src=192.168.1.6 dst=192.168.1.10 type=8 code=0 \
     id=33029 [UNREPLIED] src=192.168.1.10 dst=192.168.1.6 \
     type=0 code=0 id=33029 use=1

type
code
id
type
code
id
/proc/sys/net/ipv4/netfilter/ip_ct_icmp_timeout
/proc/sys/net/ipv4/netfilter/ip_ct_generic_timeout
modprobe ip_conntrack_*

table
# Generated by iptables-save v1.2.6a on Wed Apr 24 10:19:17 2002
*filter
:INPUT ACCEPT [404:19766]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [530:43376]
COMMIT
# Completed on Wed Apr 24 10:19:17 2002
# Generated by iptables-save v1.2.6a on Wed Apr 24 10:19:17 2002
*mangle
:PREROUTING ACCEPT [451:22060]
:INPUT ACCEPT [451:22060]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [594:47151]
:POSTROUTING ACCEPT [594:47151]
COMMIT
# Completed on Wed Apr 24 10:19:17 2002
# Generated by iptables-save v1.2.6a on Wed Apr 24 10:19:17 2002
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [3:450]
:OUTPUT ACCEPT [3:450]
COMMIT
# Completed on Wed Apr 24 10:19:17 2002
*mangle
COMMIT
# Generated by iptables-save v1.2.6a on Wed Apr 24 10:19:55 2002
*filter
:INPUT DROP [1:229]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -i eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
COMMIT
# Completed on Wed Apr 24 10:19:55 2002
# Generated by iptables-save v1.2.6a on Wed Apr 24 10:19:55 2002
*mangle
:PREROUTING ACCEPT [658:32445]
:INPUT ACCEPT [658:32445]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [891:68234]
:POSTROUTING ACCEPT [891:68234]
COMMIT
# Completed on Wed Apr 24 10:19:55 2002
# Generated by iptables-save v1.2.6a on Wed Apr 24 10:19:55 2002
*nat
:PREROUTING ACCEPT [1:229]
:POSTROUTING ACCEPT [3:450]
:OUTPUT ACCEPT [3:450]
-A POSTROUTING -o eth0 -j SNAT --to-source 195.233.192.1 
COMMIT
# Completed on Wed Apr 24 10:19:55 2002
/etc/iptables-save
table
allowed
disallowed
ICMP host unreachable
network
http
iptables -N tcp_packets
iptables -A INPUT -p tcp -j tcp_packets

syslog.conf
/var/log/iptables
syslog.conf
Linux/ip.h
/usr/local/sbin/iptables
/usr/sbin/iptables
/sbin/insmod ipt_LOG
/sbin/insmod ipt_REJECT
/sbin/insmod ipt_MASQUERADE

ipt_owner
ipt_owner
ip_dynaddr
rc.firewall.txt
chain
 rc.firewall.txt
icmp_packets
tcp_packets
rc.firewall.txt
DNS_IP
$IPTABLES -t nat -A PREROUTING -p TCP -i $INET_IFACE -d 
$DNS_IP \
--dport 53 -j DNAT --to-destination $DMZ_DNS_IP

$INET_IFACE
$DNS_IP
$DMZ_DNS_IP
STATIC_IP
STATIC_IP
INET_IFACE
INET_IP
ip-up
rc.firewall.txt
INET_IP=`ifconfig $INET_IFACE | grep inet | cut -d : -f 2 | 
\
cut -d ' ' -f 1`

 rc.firewall.txt
ping -c 1 host.on.the.internet

/etc/services
192.168.1.1
192.168.0.0/16
/proc
rc.firewall.txt
 rc.flush-iptables.txt
insmod: iptable_filter: no module by 
that name found
iptables -t filter -L

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

iptables 
v1.2.5: can't initialize iptables table `filter': Table \
     does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

iptables: No chain/target/match by that name

$IPTABLES -A 
INPUT -p tcp ! --syn -m state --state NEW -j LOG \
     --log-prefix "New not syn:"
$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

rc.firewall.txt
iptables -A 
bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK \
-m state --state NEW -j REJECT --reject-with tcp-reset

/usr/local/sbin/iptables -t nat -I PREROUTING -i 
eth1 -s \
     10.0.0.1/32 -j ACCEPT

$IPTABLES  -I INPUT -i $LAN_IFACE -p udp --dport 67:68 --sport \
     67:68 -j ACCEPT

/etc/protocols
/etc/services
rc.firewall
#!/bin/sh
#
# rc.firewall - Initial SIMPLE IP Firewall script for Linux 2.4.x and iptables
#
# Copyright (C) 2001  Oskar Andreasson <bluefluxATkoffeinDOTnet>
#
# This program is free software; you can redistribute it and/or modify
# it under the terms of the GNU General Public License as published by
# the Free Software Foundation; version 2 of the License.
#
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with this program or from the site that you downloaded it
# from; if not, write to the Free Software Foundation, Inc., 59 Temple
# Place, Suite 330, Boston, MA  02111-1307   USA
#

###########################################################################
#
# 1. Configuration options.
#

#
# 1.1 Internet Configuration.
#

INET_IP="194.236.50.155"
INET_IFACE="eth0"
INET_BROADCAST="194.236.50.255"

#
# 1.1.1 DHCP
#

#
# 1.1.2 PPPoE
#

#
# 1.2 Local Area Network configuration.
#
# your LAN's IP range and localhost IP. /24 means to only use the first 24
# bits of the 32 bit IP address. the same as netmask 255.255.255.0
#

LAN_IP="192.168.0.2"
LAN_IP_RANGE="192.168.0.0/16"
LAN_IFACE="eth1"

#
# 1.3 DMZ Configuration.
#

#
# 1.4 Localhost Configuration.
#

LO_IFACE="lo"
LO_IP="127.0.0.1"

#
# 1.5 IPTables Configuration.
#

IPTABLES="/usr/sbin/iptables"

#
# 1.6 Other Configuration.
#

###########################################################################
#
# 2. Module loading.
#

#
# Needed to initially load modules
#

/sbin/depmod -a

#
# 2.1 Required modules
#

/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_nat
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_limit
/sbin/modprobe ipt_state

#
# 2.2 Non-Required modules
#

#/sbin/modprobe ipt_owner
#/sbin/modprobe ipt_REJECT
#/sbin/modprobe ipt_MASQUERADE
#/sbin/modprobe ip_conntrack_ftp
#/sbin/modprobe ip_conntrack_irc
#/sbin/modprobe ip_nat_ftp
#/sbin/modprobe ip_nat_irc

###########################################################################
#
# 3. /proc set up.
#

#
# 3.1 Required proc configuration
#

echo "1" > /proc/sys/net/ipv4/ip_forward

#
# 3.2 Non-Required proc configuration
#

#echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
#echo "1" > /proc/sys/net/ipv4/conf/all/proxy_arp
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr

###########################################################################
#
# 4. rules set up.
#

######
# 4.1 Filter table
#

#
# 4.1.1 Set policies
#

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

#
# 4.1.2 Create userspecified chains
#

#
# Create chain for bad tcp packets
#

$IPTABLES -N bad_tcp_packets

#
# Create separate chains for ICMP, TCP and UDP to traverse
#

$IPTABLES -N allowed
$IPTABLES -N tcp_packets
$IPTABLES -N udp_packets
$IPTABLES -N icmp_packets

#
# 4.1.3 Create content in userspecified chains
#

#
# bad_tcp_packets chain
#

$IPTABLES -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK \
-m state --state NEW -j REJECT --reject-with tcp-reset 
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG \
--log-prefix "New not syn:"
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP

#
# allowed chain
#

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP

#
# TCP rules
#

$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 21 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 22 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 80 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 113 -j allowed

#
# UDP ports
#

#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT
#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 123 -j ACCEPT
$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 2074 -j ACCEPT
$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 4000 -j ACCEPT

#
# In Microsoft Networks you will be swamped by broadcasts. These lines 
# will prevent them from showing up in the logs.
#

#$IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d $INET_BROADCAST \
#--destination-port 135:139 -j DROP

#
# If we get DHCP requests from the Outside of our network, our logs will 
# be swamped as well. This rule will block them from getting logged.
#

#$IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d 255.255.255.255 \
#--destination-port 67:68 -j DROP

#
# ICMP rules
#

$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

#
# 4.1.4 INPUT chain
#

#
# Bad TCP packets we don't want.
#

$IPTABLES -A INPUT -p tcp -j bad_tcp_packets

#
# Rules for special networks not part of the Internet
#

$IPTABLES -A INPUT -p ALL -i $LAN_IFACE -s $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LO_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LAN_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $INET_IP -j ACCEPT

#
# Special rule for DHCP requests from LAN, which are not caught properly
# otherwise.
#

$IPTABLES -A INPUT -p UDP -i $LAN_IFACE --dport 67 --sport 68 -j ACCEPT

#
# Rules for incoming packets from the internet.
#

$IPTABLES -A INPUT -p ALL -d $INET_IP -m state --state ESTABLISHED,RELATED \
-j ACCEPT
$IPTABLES -A INPUT -p TCP -i $INET_IFACE -j tcp_packets
$IPTABLES -A INPUT -p UDP -i $INET_IFACE -j udp_packets
$IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets

#
# If you have a Microsoft Network on the outside of your firewall, you may 
# also get flooded by Multicasts. We drop them so we do not get flooded by 
# logs
#

#$IPTABLES -A INPUT -i $INET_IFACE -d 224.0.0.0/8 -j DROP

#
# Log weird packets that don't match the above.
#

$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT INPUT packet died: "

#
# 4.1.5 FORWARD chain
#

#
# Bad TCP packets we don't want
#

$IPTABLES -A FORWARD -p tcp -j bad_tcp_packets

#
# Accept the packets we actually want to forward
#

$IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#
# Log weird packets that don't match the above.
#

$IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT FORWARD packet died: "

#
# 4.1.6 OUTPUT chain
#

#
# Bad TCP packets we don't want.
#

$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

#
# Special OUTPUT rules to decide which IP's to allow.
#

$IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $INET_IP -j ACCEPT

#
# Log weird packets that don't match the above.
#

$IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT OUTPUT packet died: "

######
# 4.2 nat table
#

#
# 4.2.1 Set policies
#

#
# 4.2.2 Create user specified chains
#

#
# 4.2.3 Create content in user specified chains
#

#
# 4.2.4 PREROUTING chain
#

#
# 4.2.5 POSTROUTING chain
#

#
# Enable simple IP Forwarding and Network Address Translation
#

$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP

#
# 4.2.6 OUTPUT chain
#

######
# 4.3 mangle table
#

#
# 4.3.1 Set policies
#

#
# 4.3.2 Create user specified chains
#

#
# 4.3.3 Create content in user specified chains
#

#
# 4.3.4 PREROUTING chain
#

#
# 4.3.5 INPUT chain
#

#
# 4.3.6 FORWARD chain
#

#
# 4.3.7 OUTPUT chain
#

#
# 4.3.8 POSTROUTING chain
#

#!/bin/sh
#
# rc.DMZ.firewall - DMZ IP Firewall script for Linux 2.4.x and iptables
#
# Copyright (C) 2001  Oskar Andreasson <bluefluxATkoffeinDOTnet>
#
# This program is free software; you can redistribute it and/or modify
# it under the terms of the GNU General Public License as published by
# the Free Software Foundation; version 2 of the License.
#
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with this program or from the site that you downloaded it
# from; if not, write to the Free Software Foundation, Inc., 59 Temple
# Place, Suite 330, Boston, MA  02111-1307   USA
#

###########################################################################
#
# 1. Configuration options.
#

#
# 1.1 Internet Configuration.
#

INET_IP="194.236.50.152"
HTTP_IP="194.236.50.153"
DNS_IP="194.236.50.154"
INET_IFACE="eth0"

#
# 1.1.1 DHCP
#

#
# 1.1.2 PPPoE
#

#
# 1.2 Local Area Network configuration.
#
# your LAN's IP range and localhost IP. /24 means to only use the first 24
# bits of the 32 bit IP address. the same as netmask 255.255.255.0
#

LAN_IP="192.168.0.1"
LAN_IFACE="eth1"

#
# 1.3 DMZ Configuration.
#

DMZ_HTTP_IP="192.168.1.2"
DMZ_DNS_IP="192.168.1.3"
DMZ_IP="192.168.1.1"
DMZ_IFACE="eth2"

#
# 1.4 Localhost Configuration.
#

LO_IFACE="lo"
LO_IP="127.0.0.1"

#
# 1.5 IPTables Configuration.
#

IPTABLES="/usr/sbin/iptables"

#
# 1.6 Other Configuration.
#

###########################################################################
#
# 2. Module loading.
#

#
# Needed to initially load modules
#
/sbin/depmod -a

#
# 2.1 Required modules
#

/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_nat
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_limit
/sbin/modprobe ipt_state

#
# 2.2 Non-Required modules
#

#/sbin/modprobe ipt_owner
#/sbin/modprobe ipt_REJECT
#/sbin/modprobe ipt_MASQUERADE
#/sbin/modprobe ip_conntrack_ftp
#/sbin/modprobe ip_conntrack_irc
#/sbin/modprobe ip_nat_ftp
#/sbin/modprobe ip_nat_irc

###########################################################################
#
# 3. /proc set up.
#

#
# 3.1 Required proc configuration
#

echo "1" > /proc/sys/net/ipv4/ip_forward

#
# 3.2 Non-Required proc configuration
#

#echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
#echo "1" > /proc/sys/net/ipv4/conf/all/proxy_arp
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr

###########################################################################
#
# 4. rules set up.
#

######
# 4.1 Filter table
#

#
# 4.1.1 Set policies
#

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

#
# 4.1.2 Create userspecified chains
#

#
# Create chain for bad tcp packets
#

$IPTABLES -N bad_tcp_packets

#
# Create separate chains for ICMP, TCP and UDP to traverse
#

$IPTABLES -N allowed
$IPTABLES -N icmp_packets

#
# 4.1.3 Create content in userspecified chains
#

#
# bad_tcp_packets chain
#

$IPTABLES -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK \
-m state --state NEW -j REJECT --reject-with tcp-reset
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG \
--log-prefix "New not syn:"
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP

#
# allowed chain
#

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP

#
# ICMP rules
#

# Changed rules totally
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

#
# 4.1.4 INPUT chain
#

#
# Bad TCP packets we don't want
#

$IPTABLES -A INPUT -p tcp -j bad_tcp_packets

#
# Packets from the Internet to this box
#

$IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets

#
# Packets from LAN, DMZ or LOCALHOST
#

#
# From DMZ Interface to DMZ firewall IP
#

$IPTABLES -A INPUT -p ALL -i $DMZ_IFACE -d $DMZ_IP -j ACCEPT

#
# From LAN Interface to LAN firewall IP
#

$IPTABLES -A INPUT -p ALL -i $LAN_IFACE -d $LAN_IP -j ACCEPT

#
# From Localhost interface to Localhost IP's
#

$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LO_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LAN_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $INET_IP -j ACCEPT

#
# Special rule for DHCP requests from LAN, which are not caught properly
# otherwise.
#

$IPTABLES -A INPUT -p UDP -i $LAN_IFACE --dport 67 --sport 68 -j ACCEPT

#
# All established and related packets incoming from the internet to the
# firewall
#

$IPTABLES -A INPUT -p ALL -d $INET_IP -m state --state ESTABLISHED,RELATED \
-j ACCEPT

#
# In Microsoft Networks you will be swamped by broadcasts. These lines
# will prevent them from showing up in the logs.
#

#$IPTABLES -A INPUT -p UDP -i $INET_IFACE -d $INET_BROADCAST \
#--destination-port 135:139 -j DROP

#
# If we get DHCP requests from the Outside of our network, our logs will
# be swamped as well. This rule will block them from getting logged.
#

#$IPTABLES -A INPUT -p UDP -i $INET_IFACE -d 255.255.255.255 \
#--destination-port 67:68 -j DROP

#
# If you have a Microsoft Network on the outside of your firewall, you may
# also get flooded by Multicasts. We drop them so we do not get flooded by
# logs
#

#$IPTABLES -A INPUT -i $INET_IFACE -d 224.0.0.0/8 -j DROP

#
# Log weird packets that don't match the above.
#

$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT INPUT packet died: "

#
# 4.1.5 FORWARD chain
#

#
# Bad TCP packets we don't want
#

$IPTABLES -A FORWARD -p tcp -j bad_tcp_packets

#
# DMZ section
#
# General rules
#

$IPTABLES -A FORWARD -i $DMZ_IFACE -o $INET_IFACE -j ACCEPT
$IPTABLES -A FORWARD -i $INET_IFACE -o $DMZ_IFACE -m state \
--state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $LAN_IFACE -o $DMZ_IFACE -j ACCEPT
$IPTABLES -A FORWARD -i $DMZ_IFACE -o $LAN_IFACE -m state \
--state ESTABLISHED,RELATED -j ACCEPT

#
# HTTP server
#

$IPTABLES -A FORWARD -p TCP -i $INET_IFACE -o $DMZ_IFACE -d $DMZ_HTTP_IP \
--dport 80 -j allowed
$IPTABLES -A FORWARD -p ICMP -i $INET_IFACE -o $DMZ_IFACE -d $DMZ_HTTP_IP \
-j icmp_packets

#
# DNS server
#

$IPTABLES -A FORWARD -p TCP -i $INET_IFACE -o $DMZ_IFACE -d $DMZ_DNS_IP \
--dport 53 -j allowed
$IPTABLES -A FORWARD -p UDP -i $INET_IFACE -o $DMZ_IFACE -d $DMZ_DNS_IP \
--dport 53 -j ACCEPT
$IPTABLES -A FORWARD -p ICMP -i $INET_IFACE -o $DMZ_IFACE -d $DMZ_DNS_IP \
-j icmp_packets

#
# LAN section
#

$IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#
# Log weird packets that don't match the above.
#

$IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT FORWARD packet died: "

#
# 4.1.6 OUTPUT chain
#

#
# Bad TCP packets we don't want.
#

$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

#
# Special OUTPUT rules to decide which IP's to allow.
#

$IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $INET_IP -j ACCEPT

#
# Log weird packets that don't match the above.
#

$IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT OUTPUT packet died: "

######
# 4.2 nat table
#

#
# 4.2.1 Set policies
#

#
# 4.2.2 Create user specified chains
#

#
# 4.2.3 Create content in user specified chains
#

#
# 4.2.4 PREROUTING chain
#

$IPTABLES -t nat -A PREROUTING -p TCP -i $INET_IFACE -d $HTTP_IP --dport 80 \
-j DNAT --to-destination $DMZ_HTTP_IP
$IPTABLES -t nat -A PREROUTING -p TCP -i $INET_IFACE -d $DNS_IP --dport 53 \
-j DNAT --to-destination $DMZ_DNS_IP
$IPTABLES -t nat -A PREROUTING -p UDP -i $INET_IFACE -d $DNS_IP --dport 53 \
-j DNAT --to-destination $DMZ_DNS_IP

#
# 4.2.5 POSTROUTING chain
#

#
# Enable simple IP Forwarding and Network Address Translation
#

$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP

#
# 4.2.6 OUTPUT chain
#

######
# 4.3 mangle table
#

#
# 4.3.1 Set policies
#

#
# 4.3.2 Create user specified chains
#

#
# 4.3.3 Create content in user specified chains
#

#
# 4.3.4 PREROUTING chain
#

#
# 4.3.5 INPUT chain
#

#
# 4.3.6 FORWARD chain
#

#
# 4.3.7 OUTPUT chain
#

#
# 4.3.8 POSTROUTING chain
#

#!/bin/sh
#
# rc.firewall - UTIN Firewall script for Linux 2.4.x and iptables
#
# Copyright (C) 2001  Oskar Andreasson <bluefluxATkoffeinDOTnet>
#
# This program is free software; you can redistribute it and/or modify
# it under the terms of the GNU General Public License as published by
# the Free Software Foundation; version 2 of the License.
#
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with this program or from the site that you downloaded it
# from; if not, write to the Free Software Foundation, Inc., 59 Temple
# Place, Suite 330, Boston, MA  02111-1307   USA
#

###########################################################################
#
# 1. Configuration options.
#

#
# 1.1 Internet Configuration.
#

INET_IP="194.236.50.155"
INET_IFACE="eth0"
INET_BROADCAST="194.236.50.255"

#
# 1.1.1 DHCP
#

#
# 1.1.2 PPPoE
#

#
# 1.2 Local Area Network configuration.
#
# your LAN's IP range and localhost IP. /24 means to only use the first 24
# bits of the 32 bit IP address. the same as netmask 255.255.255.0
#

LAN_IP="192.168.0.2"
LAN_IP_RANGE="192.168.0.0/16"
LAN_IFACE="eth1"

#
# 1.3 DMZ Configuration.
#

#
# 1.4 Localhost Configuration.
#

LO_IFACE="lo"
LO_IP="127.0.0.1"

#
# 1.5 IPTables Configuration.
#

IPTABLES="/usr/sbin/iptables"

#
# 1.6 Other Configuration.
#

###########################################################################
#
# 2. Module loading.
#

#
# Needed to initially load modules
#

/sbin/depmod -a

#
# 2.1 Required modules
#

/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_nat
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_limit
/sbin/modprobe ipt_state

#
# 2.2 Non-Required modules
#

#/sbin/modprobe ipt_owner
#/sbin/modprobe ipt_REJECT
#/sbin/modprobe ipt_MASQUERADE
#/sbin/modprobe ip_conntrack_ftp
#/sbin/modprobe ip_conntrack_irc
#/sbin/modprobe ip_nat_ftp
#/sbin/modprobe ip_nat_irc

###########################################################################
#
# 3. /proc set up.
#

#
# 3.1 Required proc configuration
#

echo "1" > /proc/sys/net/ipv4/ip_forward

#
# 3.2 Non-Required proc configuration
#

#echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
#echo "1" > /proc/sys/net/ipv4/conf/all/proxy_arp
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr

###########################################################################
#
# 4. rules set up.
#

######
# 4.1 Filter table
#

#
# 4.1.1 Set policies
#

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

#
# 4.1.2 Create userspecified chains
#

#
# Create chain for bad tcp packets
#

$IPTABLES -N bad_tcp_packets

#
# Create separate chains for ICMP, TCP and UDP to traverse
#

$IPTABLES -N allowed
$IPTABLES -N tcp_packets
$IPTABLES -N udp_packets
$IPTABLES -N icmp_packets

#
# 4.1.3 Create content in userspecified chains
#

#
# bad_tcp_packets chain
#

$IPTABLES -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK \
-m state --state NEW -j REJECT --reject-with tcp-reset
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG \
--log-prefix "New not syn:"
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP

#
# allowed chain
#

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP

#
# TCP rules
#

$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 21 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 22 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 80 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 113 -j allowed

#
# UDP ports
#

#$IPTABLES -A udp_packets -p UDP -s 0/0 --source-port 53 -j ACCEPT
#$IPTABLES -A udp_packets -p UDP -s 0/0 --source-port 123 -j ACCEPT
$IPTABLES -A udp_packets -p UDP -s 0/0 --source-port 2074 -j ACCEPT
$IPTABLES -A udp_packets -p UDP -s 0/0 --source-port 4000 -j ACCEPT

#
# In Microsoft Networks you will be swamped by broadcasts. These lines
# will prevent them from showing up in the logs.
#

#$IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d $INET_BROADCAST \
#--destination-port 135:139 -j DROP

#
# If we get DHCP requests from the Outside of our network, our logs will
# be swamped as well. This rule will block them from getting logged.
#

#$IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d 255.255.255.255 \
#--destination-port 67:68 -j DROP

#
# ICMP rules
#

$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

#
# 4.1.4 INPUT chain
#

#
# Bad TCP packets we don't want.
#

$IPTABLES -A INPUT -p tcp -j bad_tcp_packets

#
# Rules for special networks not part of the Internet
#

$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LO_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $LAN_IP -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -s $INET_IP -j ACCEPT

#
# Rules for incoming packets from anywhere.
#

$IPTABLES -A INPUT -p ALL -d $INET_IP -m state --state ESTABLISHED,RELATED \
-j ACCEPT
$IPTABLES -A INPUT -p TCP -j tcp_packets
$IPTABLES -A INPUT -p UDP -j udp_packets
$IPTABLES -A INPUT -p ICMP -j icmp_packets

#
# If you have a Microsoft Network on the outside of your firewall, you may
# also get flooded by Multicasts. We drop them so we do not get flooded by
# logs
#

#$IPTABLES -A INPUT -i $INET_IFACE -d 224.0.0.0/8 -j DROP

#
# Log weird packets that don't match the above.
#

$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT INPUT packet died: "

#
# 4.1.5 FORWARD chain
#

#
# Bad TCP packets we don't want
#

$IPTABLES -A FORWARD -p tcp -j bad_tcp_packets

#
# Accept the packets we actually want to forward
#

$IPTABLES -A FORWARD -p tcp --dport 21 -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -p tcp --dport 80 -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -p tcp --dport 110 -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#
# Log weird packets that don't match the above.
#

$IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT FORWARD packet died: "

#
# 4.1.6 OUTPUT chain
#

#
# Bad TCP packets we don't want.
#

$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

#
# Special OUTPUT rules to decide which IP's to allow.
#

$IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $INET_IP -j ACCEPT

#
# Log weird packets that don't match the above.
#

$IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT OUTPUT packet died: "

######
# 4.2 nat table
#

#
# 4.2.1 Set policies
#

#
# 4.2.2 Create user specified chains
#

#
# 4.2.3 Create content in user specified chains
#

#
# 4.2.4 PREROUTING chain
#

#
# 4.2.5 POSTROUTING chain
#

#
# Enable simple IP Forwarding and Network Address Translation
#

$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP

#
# 4.2.6 OUTPUT chain
#

######
# 4.3 mangle table
#

#
# 4.3.1 Set policies
#

#
# 4.3.2 Create user specified chains
#

#
# 4.3.3 Create content in user specified chains
#

#
# 4.3.4 PREROUTING chain
#

#
# 4.3.5 INPUT chain
#

#
# 4.3.6 FORWARD chain
#

#
# 4.3.7 OUTPUT chain
#

#
# 4.3.8 POSTROUTING chain
#

#!/bin/sh
#
# rc.firewall - DHCP IP Firewall script for Linux 2.4.x and iptables
#
# Copyright (C) 2001  Oskar Andreasson <bluefluxATkoffeinDOTnet>
#
# This program is free software; you can redistribute it and/or modify
# it under the terms of the GNU General Public License as published by
# the Free Software Foundation; version 2 of the License.
#
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with this program or from the site that you downloaded it
# from; if not, write to the Free Software Foundation, Inc., 59 Temple
# Place, Suite 330, Boston, MA  02111-1307   USA
#

###########################################################################
#
# 1. Configuration options.
#

#
# 1.1 Internet Configuration.
#

INET_IFACE="eth0"

#
# 1.1.1 DHCP
#

#
# Information pertaining to DHCP over the Internet, if needed.
#
# Set DHCP variable to no if you don't get IP from DHCP. If you get DHCP
# over the Internet set this variable to yes, and set up the proper IP
# address for the DHCP server in the DHCP_SERVER variable.
#

DHCP="no"
DHCP_SERVER="195.22.90.65"

#
# 1.1.2 PPPoE
#

# Configuration options pertaining to PPPoE.
#
# If you have problem with your PPPoE connection, such as large mails not
# getting through while small mail get through properly etc, you may set
# this option to "yes" which may fix the problem. This option will set a
# rule in the PREROUTING chain of the mangle table which will clamp
# (resize) all routed packets to PMTU (Path Maximum Transmit Unit).
#
# Note that it is better to set this up in the PPPoE package itself, since
# the PPPoE configuration option will give less overhead.
#

PPPOE_PMTU="no"

#
# 1.2 Local Area Network configuration.
#
# your LAN's IP range and localhost IP. /24 means to only use the first 24
# bits of the 32 bit IP address. the same as netmask 255.255.255.0
#

LAN_IP="192.168.0.2"
LAN_IP_RANGE="192.168.0.0/16"
LAN_IFACE="eth1"

#
# 1.3 DMZ Configuration.
#

#
# 1.4 Localhost Configuration.
#

LO_IFACE="lo"
LO_IP="127.0.0.1"

#
# 1.5 IPTables Configuration.
#

IPTABLES="/usr/sbin/iptables"

#
# 1.6 Other Configuration.
#

###########################################################################
#
# 2. Module loading.
#

#
# Needed to initially load modules
#

/sbin/depmod -a

#
# 2.1 Required modules
#

/sbin/modprobe ip_conntrack
/sbin/modprobe ip_tables
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_nat
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_limit
/sbin/modprobe ipt_MASQUERADE

#
# 2.2 Non-Required modules
#

#/sbin/modprobe ipt_owner
#/sbin/modprobe ipt_REJECT
#/sbin/modprobe ip_conntrack_ftp
#/sbin/modprobe ip_conntrack_irc
#/sbin/modprobe ip_nat_ftp
#/sbin/modprobe ip_nat_irc

###########################################################################
#
# 3. /proc set up.
#

#
# 3.1 Required proc configuration
#

echo "1" > /proc/sys/net/ipv4/ip_forward

#
# 3.2 Non-Required proc configuration
#

#echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
#echo "1" > /proc/sys/net/ipv4/conf/all/proxy_arp
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr

###########################################################################
#
# 4. rules set up.
#

######
# 4.1 Filter table
#

#
# 4.1.1 Set policies
#

$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

#
# 4.1.2 Create userspecified chains
#

#
# Create chain for bad tcp packets
#

$IPTABLES -N bad_tcp_packets

#
# Create separate chains for ICMP, TCP and UDP to traverse
#

$IPTABLES -N allowed
$IPTABLES -N tcp_packets
$IPTABLES -N udp_packets
$IPTABLES -N icmp_packets

#
# 4.1.3 Create content in userspecified chains
#

#
# bad_tcp_packets chain
#

$IPTABLES -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK \
-m state --state NEW -j REJECT --reject-with tcp-reset
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG \
--log-prefix "New not syn:"
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP

#
# allowed chain
#

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP

#
# TCP rules
#

$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 21 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 22 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 80 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 113 -j allowed

#
# UDP ports
#

$IPTABLES -A udp_packets -p UDP -s 0/0 --source-port 53 -j ACCEPT
if [ $DHCP == "yes" ] ; then
 $IPTABLES -A udp_packets -p UDP -s $DHCP_SERVER --sport 67 \
 --dport 68 -j ACCEPT
fi

#$IPTABLES -A udp_packets -p UDP -s 0/0 --source-port 53 -j ACCEPT
#$IPTABLES -A udp_packets -p UDP -s 0/0 --source-port 123 -j ACCEPT
$IPTABLES -A udp_packets -p UDP -s 0/0 --source-port 2074 -j ACCEPT
$IPTABLES -A udp_packets -p UDP -s 0/0 --source-port 4000 -j ACCEPT

#
# In Microsoft Networks you will be swamped by broadcasts. These lines
# will prevent them from showing up in the logs.
#

#$IPTABLES -A udp_packets -p UDP -i $INET_IFACE \
#--destination-port 135:139 -j DROP

#
# If we get DHCP requests from the Outside of our network, our logs will
# be swamped as well. This rule will block them from getting logged.
#

#$IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d 255.255.255.255 \
#--destination-port 67:68 -j DROP

#
# ICMP rules
#

$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

#
# 4.1.4 INPUT chain
#

#
# Bad TCP packets we don't want.
#

$IPTABLES -A INPUT -p tcp -j bad_tcp_packets

#
# Rules for special networks not part of the Internet
#

$IPTABLES -A INPUT -p ALL -i $LAN_IFACE -s $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A INPUT -p ALL -i $LO_IFACE -j ACCEPT

#
# Special rule for DHCP requests from LAN, which are not caught properly 
# otherwise.
#

$IPTABLES -A INPUT -p UDP -i $LAN_IFACE --dport 67 --sport 68 -j ACCEPT

#
# Rules for incoming packets from the internet.
#

$IPTABLES -A INPUT -p ALL -i $INET_IFACE -m state --state ESTABLISHED,RELATED \
-j ACCEPT
$IPTABLES -A INPUT -p TCP -i $INET_IFACE -j tcp_packets
$IPTABLES -A INPUT -p UDP -i $INET_IFACE -j udp_packets
$IPTABLES -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets

#
# If you have a Microsoft Network on the outside of your firewall, you may
# also get flooded by Multicasts. We drop them so we do not get flooded by
# logs
#

#$IPTABLES -A INPUT -i $INET_IFACE -d 224.0.0.0/8 -j DROP

#
# Log weird packets that don't match the above.
#

$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT INPUT packet died: "

#
# 4.1.5 FORWARD chain
#

#
# Bad TCP packets we don't want
#

$IPTABLES -A FORWARD -p tcp -j bad_tcp_packets

#
# Accept the packets we actually want to forward
#

$IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#
# Log weird packets that don't match the above.
#

$IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT FORWARD packet died: "

#
# 4.1.6 OUTPUT chain
#

#
# Bad TCP packets we don't want.
#

$IPTABLES -A OUTPUT -p tcp -j bad_tcp_packets

#
# Special OUTPUT rules to decide which IP's to allow.
#

$IPTABLES -A OUTPUT -p ALL -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -s $LAN_IP -j ACCEPT
$IPTABLES -A OUTPUT -p ALL -o $INET_IFACE -j ACCEPT

#
# Log weird packets that don't match the above.
#

$IPTABLES -A OUTPUT -m limit --limit 3/minute --limit-burst 3 -j LOG \
--log-level DEBUG --log-prefix "IPT OUTPUT packet died: "

######
# 4.2 nat table
#

#
# 4.2.1 Set policies
#

#
# 4.2.2 Create user specified chains
#

#
# 4.2.3 Create content in user specified chains
#

#
# 4.2.4 PREROUTING chain
#

#
# 4.2.5 POSTROUTING chain
#

if [ $PPPOE_PMTU == "yes" ] ; then
 $IPTABLES -t nat -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN \
 -j TCPMSS --clamp-mss-to-pmtu
fi
$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j MASQUERADE

#
# 4.2.6 OUTPUT chain
#

######
# 4.3 mangle table
#

#
# 4.3.1 Set policies
#

#
# 4.3.2 Create user specified chains
#

#
# 4.3.3 Create content in user specified chains
#

#
# 4.3.4 PREROUTING chain
#

#
# 4.3.5 INPUT chain
#

#
# 4.3.6 FORWARD chain
#

#
# 4.3.7 OUTPUT chain
#

#
# 4.3.8 POSTROUTING chain
#

#!/bin/sh
# 
# rc.flush-iptables - Resets iptables to default values. 
# 
# Copyright (C) 2001  Oskar Andreasson <bluefluxATkoffeinDOTnet>
#
# This program is free software; you can redistribute it and/or modify
# it under the terms of the GNU General Public License as published by
# the Free Software Foundation; version 2 of the License.
#
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with this program or from the site that you downloaded it
# from; if not, write to the Free Software Foundation, Inc., 59 Temple
# Place, Suite 330, Boston, MA  02111-1307   USA

#
# Configurations
#
IPTABLES="/usr/sbin/iptables"

#
# reset the default policies in the filter table.
#
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -P OUTPUT ACCEPT

#
# reset the default policies in the nat table.
#
$IPTABLES -t nat -P PREROUTING ACCEPT
$IPTABLES -t nat -P POSTROUTING ACCEPT
$IPTABLES -t nat -P OUTPUT ACCEPT

#
# reset the default policies in the mangle table.
#
$IPTABLES -t mangle -P PREROUTING ACCEPT
$IPTABLES -t mangle -P OUTPUT ACCEPT

#
# flush all the rules in the filter and nat tables.
#
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F
#
# erase all chains that's not default in filter and nat table.
#
$IPTABLES -X
$IPTABLES -t nat -X
$IPTABLES -t mangle -X

#!/bin/bash
#
# rc.test-iptables - test script for iptables chains and tables.
#
# Copyright (C) 2001  Oskar Andreasson <bluefluxATkoffeinDOTnet>
#
# This program is free software; you can redistribute it and/or modify
# it under the terms of the GNU General Public License as published by
# the Free Software Foundation; version 2 of the License.
#
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with this program or from the site that you downloaded it
# from; if not, write to the Free Software Foundation, Inc., 59 Temple
# Place, Suite 330, Boston, MA  02111-1307   USA
#

#
# Filter table, all chains
#
iptables -t filter -A INPUT -p icmp --icmp-type echo-request \
-j LOG --log-prefix="filter INPUT:"
iptables -t filter -A INPUT -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="filter INPUT:"
iptables -t filter -A OUTPUT -p icmp --icmp-type echo-request \
-j LOG --log-prefix="filter OUTPUT:"
iptables -t filter -A OUTPUT -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="filter OUTPUT:"
iptables -t filter -A FORWARD -p icmp --icmp-type echo-request \
-j LOG --log-prefix="filter FORWARD:"
iptables -t filter -A FORWARD -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="filter FORWARD:"

#
# NAT table, all chains except OUTPUT which don't work.
#
iptables -t nat -A PREROUTING -p icmp --icmp-type echo-request \
-j LOG --log-prefix="nat PREROUTING:"
iptables -t nat -A PREROUTING -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="nat PREROUTING:"
iptables -t nat -A POSTROUTING -p icmp --icmp-type echo-request \
-j LOG --log-prefix="nat POSTROUTING:"
iptables -t nat -A POSTROUTING -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="nat POSTROUTING:"
iptables -t nat -A OUTPUT -p icmp --icmp-type echo-request \
-j LOG --log-prefix="nat OUTPUT:"
iptables -t nat -A OUTPUT -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="nat OUTPUT:"

#
# Mangle table, all chains
#
iptables -t mangle -A PREROUTING -p icmp --icmp-type echo-request \
-j LOG --log-prefix="mangle PREROUTING:"
iptables -t mangle -A PREROUTING -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="mangle PREROUTING:"
iptables -t mangle -I FORWARD 1 -p icmp --icmp-type echo-request \
-j LOG --log-prefix="mangle FORWARD:"
iptables -t mangle -I FORWARD 1 -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="mangle FORWARD:"
iptables -t mangle -I INPUT 1 -p icmp --icmp-type echo-request \
-j LOG --log-prefix="mangle INPUT:"
iptables -t mangle -I INPUT 1 -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="mangle INPUT:"
iptables -t mangle -A OUTPUT -p icmp --icmp-type echo-request \
-j LOG --log-prefix="mangle OUTPUT:"
iptables -t mangle -A OUTPUT -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="mangle OUTPUT:"
iptables -t mangle -I POSTROUTING 1 -p icmp --icmp-type echo-request \
-j LOG --log-prefix="mangle POSTROUTING:"
iptables -t mangle -I POSTROUTING 1 -p icmp --icmp-type echo-reply \
-j LOG --log-prefix="mangle POSTROUTING:"

Step（步驟）	Table（表）	Chain（鏈）	Comment（註釋）
1			在線路上傳輸(好比，Internet)
2			進入接口 (好比， eth0)
3	mangle	PREROUTING	這個鏈用來mangle數據包，好比改變TOS等
4	nat	PREROUTING	這個鏈主要用來作DNAT。不要在這個鏈作過慮操做，由於某些狀況下包會溜過去。
5			路由判斷，好比，包是發往本地的，仍是要轉發的。
6	mangle	INPUT	在路由以後，被送往本地程序以前，mangle數據包。
7	filter	INPUT	全部以本地爲目的的包都要通過這個鏈，無論它們從哪兒來，對這些包的過濾條件就設在這裏。
8			到達本地程序了(好比，服務程序或客戶程序)

State（狀態）	Explanation（註釋）
NEW	NEW說明這個包是咱們看到的第一個包。意思就是，這是conntrack模塊看到的某個鏈接第一個包，它即將被匹配了。好比，咱們看到一個SYN 包，是咱們所留意的鏈接的第一個包，就要匹配它。第一個包也可能不是SYN包，但它仍會被認爲是NEW狀態。這樣作有時會致使一些問題，但對某些狀況是有很是大的幫助的。例如，在咱們想恢復某條從其餘的防火牆丟失的鏈接時，或者某個鏈接已經超時，但實際上並未關閉時。
ESTABLISHED	ESTABLISHED已經注意到兩個方向上的數據傳輸，並且會繼續匹配這個鏈接的包。處於ESTABLISHED狀態的鏈接是很是容易理解的。只要發送並接到應答，鏈接就是ESTABLISHED的了。一個鏈接要從NEW變爲ESTABLISHED，只須要接到應答包便可，無論這個包是發往防火牆的，仍是要由防火牆轉發的。ICMP的錯誤和重定向等信息包也被看做是ESTABLISHED，只要它們是我們所發出的信息的應答。
RELATED	RELATED是個比較麻煩的狀態。當一個鏈接和某個已處於ESTABLISHED狀態的鏈接有關係時，就被認爲是RELATED的了。換句話說，一個鏈接要想是RELATED的，首先要有一個ESTABLISHED的鏈接。這個ESTABLISHED鏈接再產生一個主鏈接以外的鏈接，這個新的鏈接就是RELATED的了，固然前提是conntrack模塊要能理解RELATED。ftp是個很好的例子，FTP-data 鏈接就是和FTP-control有RELATED的。還有其餘的例子，好比，經過IRC的DCC鏈接。有了這個狀態，ICMP應答、FTP傳輸、DCC等才能穿過防火牆正常工做。注意，大部分還有一些UDP協議都依賴這個機制。這些協議是很複雜的，它們把鏈接信息放在數據包裏，而且要求這些信息能被正確理解。
INVALID	INVALID說明數據包不能被識別屬於哪一個鏈接或沒有任何狀態。有幾個緣由能夠產生這種狀況，好比，內存溢出，收到不知屬於哪一個鏈接的ICMP 錯誤信息。通常地，咱們DROP這個狀態的任何東西。

State	Timeout value
NONE	30 minutes
ESTABLISHED	5 days
SYN_SENT	2 minutes
SYN_RECV	60 seconds
FIN_WAIT	2 minutes
TIME_WAIT	2 minutes
CLOSE	10 seconds
CLOSE_WAIT	12 hours
LAST_ACK	30 seconds
LISTEN>	2 minutes

Table （表名）	Explanation （註釋）
nat	nat表的主要用處是網絡地址轉換，即Network Address Translation，縮寫爲NAT。作過NAT操做的數據包的地址就被改變了，固然這種改變是根據咱們的規則進行的。屬於一個流的包只會通過這個表一次。若是第一個包被容許作NAT或Masqueraded，那麼餘下的包都會自動地被作相同的操做。也就是說，餘下的包不會再經過這個表，一個一個的被NAT，而是自動地完成。這就是咱們爲何不該該在這個表中作任何過濾的主要緣由，對這一點，後面會有更加詳細的討論。PREROUTING 鏈的做用是在包剛剛到達防火牆時改變它的目的地址，若是須要的話。OUTPUT鏈改變本地產生的包的目的地址。POSTROUTING鏈在包就要離開防火牆以前改變其源地址。
mangle	這個表主要用來mangle數據包。咱們能夠改變不一樣的包及包頭的內容，好比 TTL，TOS或MARK。注意MARK並無真正地改動數據包，它只是在內核空間爲包設了一個標記。防火牆內的其餘的規則或程序（如tc）能夠使用這種標記對包進行過濾或高級路由。這個表有五個內建的鏈： PREROUTING，POSTROUTING， OUTPUT，INPUT和 FORWARD。PREROUTING在包進入防火牆以後、路由判斷以前改變包，POSTROUTING是在全部路由判斷以後。 OUTPUT在肯定包的目的以前更改數據包。INPUT在包被路由到本地以後，但在用戶空間的程序看到它以前改變包。FORWARD在最初的路由判斷以後、最後一次更改包的目的以前mangle包。注意，mangle表不能作任何NAT，它只是改變數據包的 TTL，TOS或MARK，而不是其源目地址。NAT是在nat表中操做的。
filter	filter表是專門過濾包的，內建三個鏈，能夠毫無問題地對包進行DROP、LOG、ACCEPT和REJECT等操做。FORWARD 鏈過濾全部不是本地產生的而且目的地不是本地（所謂本地就是防火牆了）的包，而 INPUT偏偏針對那些目的地是本地的包。OUTPUT 是用來過濾全部本地生成的包的。

Command	-A, --append
Example	iptables -A INPUT ...
Explanation	在所選擇的鏈末添加規則。當源地址或目的地址是以名字而不是ip地址的形式出現時，若這些名字能夠被解析爲多個地址，則這條規則會和全部可用的地址結合。
Command	-D, --delete
Example	iptables -D INPUT --dport 80 -j DROP或iptables -D INPUT 1
Explanation	從所選鏈中刪除規則。有兩種方法指定要刪除的規則：一是把規則完完整整地寫出來，再就是指定規則在所選鏈中的序號（每條鏈的規則都各自從1被編號）。
Command	-R, --replace
Example	iptables -R INPUT 1 -s 192.168.0.1 -j DROP
Explanation	在所選中的鏈裏指定的行上（每條鏈的規則都各自從1被編號）替換規則。它主要的用處是試驗不一樣的規則。當源地址或目的地址是以名字而不是ip地址的形式出現時，若這些名字能夠被解析爲多個地址，則這條command會失敗。
Command	-I, --insert
Example	iptables -I INPUT 1 --dport 80 -j ACCEPT
Explanation	根據給出的規則序號向所選鏈中插入規則。若是序號爲1，規則會被插入鏈的頭部，其實默認序號就是1。
Command	-L, --list
Example	iptables -L INPUT
Explanation	顯示所選鏈的全部規則。若是沒有指定鏈，則顯示指定表中的全部鏈。若是什麼都沒有指定，就顯示默認表全部的鏈。精確輸出受其它參數影響，如-n 和-v等參數，下面會介紹。
Command	-F, --flush
Example	iptables -F INPUT
Explanation	清空所選的鏈。若是沒有指定鏈，則清空指定表中的全部鏈。若是什麼都沒有指定，就清空默認表全部的鏈。固然，也能夠一條一條地刪，但用這個command會快些。
Command	-Z, --zero
Example	iptables -Z INPUT
Explanation	把指定鏈（如未指定，則認爲是全部鏈）的全部計數器歸零。
Command	-N, --new-chain
Example	iptables -N allowed
Explanation	根據用戶指定的名字創建新的鏈。上面的例子創建了一個名爲allowed的鏈。注意，所用的名字不能和已有的鏈、target同名。
Command	-X, --delete-chain
Example	iptables -X allowed
Explanation	刪除指定的用戶自定義鏈。這個鏈必須沒有被引用，若是被引用，在刪除以前你必須刪除或者替換與之有關的規則。若是沒有給出參數，這條命令將會刪除默認表全部非內建的鏈。
Command	-P, --policy
Example	iptables -P INPUT DROP
Explanation	爲鏈設置默認的target（可用的是DROP 和ACCEPT，若是還有其它的可用，請告訴我），這個target稱做策略。全部不符合規則的包都被強制使用這個策略。只有內建的鏈才能夠使用規則。但內建的鏈和用戶自定義鏈都不能被做爲策略使用，也就是說不能象這樣使用：iptables -P INPUT allowed（或者是內建的鏈）。
Command	-E, --rename-chain
Example	iptables -E allowed disallowed
Explanation	對自定義的鏈進行重命名，原來的名字在前，新名字在後。如上，就是把`allowed`改成`disallowed`。這僅僅是改變鏈的名字，對整個表的結構、工做沒有任何影響。

Step	Table	Chain	Comment
1			本地程序（好比，服務程序或客戶程序）
2			路由判斷，要使用源地址，外出接口，還有其餘一些信息。
3	mangle	OUTPUT	在這兒能夠mangle包。建議不要在這兒作過濾，可能有副做用哦。
4	nat	OUTPUT	這個鏈對從防火牆自己發出的包進行DNAT操做。
5	filter	OUTPUT	對本地發出的包過濾。
6	mangle	POSTROUTING	這條鏈主要在包DNAT以後(譯者注：做者把這一次DNAT稱做實際的路由，雖然在前面有一次路由。對於本地的包，一旦它被生成，就必須通過路由代碼的處理，但這個包具體到哪兒去，要由NAT代碼處理以後才能肯定。因此把這稱做實際的路由。)，離開本地以前，對包 mangle。有兩種包會通過這裏，防火牆所在機子自己產生的包，還有被轉發的包。
7	nat	POSTROUTING	在這裏作SNAT。但不要在這裏作過濾，由於有反作用，並且有些包是會溜過去的，即便你用了DROP策略。
8			離開接口(好比： eth0)
9			在線路上傳輸(好比，Internet)

Step	Table	Chain	Comment
1			在線路上傳輸(好比，Internet)
2			進入接口（好比， eth0）
3	mangle	PREROUTING	mangle數據包，，好比改變TOS等。
4	nat	PREROUTING	這個鏈主要用來作DNAT。不要在這個鏈作過慮操做，由於某些狀況下包會溜過去。稍後會作SNAT。
5			路由判斷，好比，包是發往本地的，仍是要轉發的。
6	mangle	FORWARD	包繼續被髮送至mangle表的FORWARD鏈，這是很是特殊的情況纔會用到的。在這裏，包被mangle（還記得mangle的意思嗎）。此次mangle發生在最初的路由判斷以後，在最後一次更改包的目的以前（譯者注：就是下面的FORWARD鏈所作的，因其過濾功能，可能會改變一些包的目的地，如丟棄包）。
7	filter	FORWARD	包繼續被髮送至這條FORWARD鏈。只有須要轉發的包纔會走到這裏，而且針對這些包的全部過濾也在這裏進行。注意，全部要轉發的包都要通過這裏，無論是外網到內網的仍是內網到外網的。在你本身書寫規則時，要考慮到這一點。
8	mangle	POSTROUTING	這個鏈也是針對一些特殊類型的包（譯者注：參考第6步，咱們能夠發現，在轉發包時，mangle表的兩個鏈都用在特殊的應用上）。這一步mangle是在全部更改包的目的地址的操做完成以後作的，但這時包還在本地上。
9	nat	POSTROUTING	這個鏈就是用來作SNAT的，固然也包括Masquerade（僞裝）。但不要在這兒作過濾，由於某些包即便不知足條件也會經過。
10			離開接口(好比： eth0)
11			又在線路上傳輸了(好比，LAN)

Option（選項）	-v, --verbose（詳細的）
可用此選項的命令	--list, --append, --insert, --delete, --replace
Explanation（說明）	這個選項使輸出詳細化，常與--list 連用。與--list連用時，輸出中包括網絡接口的地址、規則的選項、TOS掩碼、字節和包計數器，其中計數器是以K、M、G（這裏用的是10的冪而不是2的冪哦）爲單位的。若是想知道到底有多少個包、多少字節，還要用到選項-x，下面會介紹。若是-v 和--append、--insert、--delete 或--replace連用，iptables會輸出詳細的信息告訴你規則是如何被解釋的、是否正確地插入等等。
Option	-x, --exact（精確的）
Commands used with	--list
Explanation	使--list輸出中的計數器顯示準確的數值，而不用K、M、G等估值。注意此選項只能和--list連用。
Option	-n, --numeric（數值）
Commands used with	--list
Explanation	使輸出中的IP地址和端口以數值的形式顯示，而不是默認的名字，好比主機名、網絡名、程序名等。注意此選項也只能和--list連用。
Option	--line-numbers
Commands used with	--list
Explanation	又是一個只能和--list連用的選項，做用是顯示出每條規則在相應鏈中的序號。這樣你能夠知道序號了，這對插入新規則頗有用哦。
Option	-c, --set-counters
Commands used with	--insert, --append, --replace
Explanation	在建立或更改規則時設置計數器，語法以下：--set-counters 20 4000，意思是讓內核把包計數器設爲20，把字節計數器設爲4000。
Option	--modprobe
Commands used with	All
Explanation	此選項告訴iptables探測並裝載要使用的模塊。這是很是有用的一個選項，萬一modprobe命令不在搜索路徑中，就要用到了。有了這個選項，在裝載模塊時，即便有一個須要用到的模塊沒裝載上，iptables也知道要去搜索。

Match	-p, --protocol
Example	iptables -A INPUT -p tcp
Explanation	匹配指定的協議。指定協議的形式有如下幾種：一、名字，不分大小寫，但必須是在/etc/protocols中定義的。二、能夠使用它們相應的整數值。例如，ICMP的值是1，TCP是6，UDP是17。三、缺省設置，ALL，相應數值是0，但要注意這隻表明匹配TCP、UDP、ICMP，而不是/etc/protocols中定義的全部協議。四、能夠是協議列表，以英文逗號爲分隔符，如：udp,tcp 五、能夠在協議前加英文的感嘆號表示取反，注意有空格，如: --protocol ! tcp 表示非tcp協議，也就是UDP和ICMP。能夠看出這個取反的範圍只是TCP、UDP和ICMP。
Match	-s, --src, --source
Example	iptables -A INPUT -s 192.168.1.1
Explanation	以IP源地址匹配包。地址的形式以下：一、單個地址，如192.168.1.1，也可寫成 192.168.1.1/255.255.255.255或192.168.1.1/32 二、網絡，如192.168.0.0/24，或 192.168.0.0/255.255.255.0 三、在地址前加英文感嘆號表示取反，注意空格，如--source ! 192.168.0.0/24 表示除此地址外的全部地址四、缺省是全部地址
Match	-d, --dst, --destination
Example	iptables -A INPUT -d 192.168.1.1
Explanation	以IP目的地址匹配包。地址的形式和 -- source徹底同樣。
Match	-i, --in-interface
Example	iptables -A INPUT -i eth0
Explanation	以包進入本地所使用的網絡接口來匹配包。要注意這個匹配操做只能用於INPUT，FORWARD和 PREROUTING這三個鏈，用在其餘任何地方都會提示錯誤信息。指定接口有一下方法：一、指定接口名稱，如：eth0、ppp0等二、使用通配符，即英文加號，它表明字符數字串。若直接用一個加號，即iptables -A INPUT -i +表示匹配全部的包，而不考慮使用哪一個接口。這也是不指定接口的默認行爲。通配符還能夠放在某一類接口的後面，如：eth+表示全部Ethernet接口，也就是說，匹配全部從Ethernet接口進入的包。三、在接口前加英文感嘆號表示取反，注意空格，如：-i ! eth0意思是匹配來自除eth0外的全部包。
Match	-o, --out-interface
Example	iptables -A FORWARD -o eth0
Explanation	以包離開本地所使用的網絡接口來匹配包。使用的範圍和指定接口的方法與--in-interface徹底同樣。
Match	-f, --fragment
Example	iptables -A INPUT -f
Explanation	用來匹配一個被分片的包的第二片或及之後的部分。由於它們不包含源或目的地址，或ICMP類型等信息，其餘規則沒法匹配到它，因此纔有這個匹配操做。要注意碎片攻擊哦。這個操做也能夠加英文感嘆號表示取反，但要注意位置，如：! -f 。取反時，表示只能匹配到沒有分片的包或者是被分片的包的第一個碎片，其後的片都不行。如今內核有完善的碎片重組功能，能夠防止碎片攻擊，因此沒必要使用取反的功能來防止碎片經過。若是你使用鏈接跟蹤，是不會看到任何碎片的，由於在它們到達任何鏈以前就被處理過了。

Match	--sport, --source-port
Example	iptables -A INPUT -p tcp --sport 22
Explanation	基於TCP包的源端口來匹配包，端口的指定形式以下：一、不指定此項，則暗示全部端口。二、使用服務名或端口號，但名字必須是在/etc/services 中定義的，由於iptables從這個文件裏查找相應的端口號。從這能夠看出，使用端口號會使規則裝入快一點兒，固然，可讀性就差些了。可是若是你想寫一個包含200條或更多規則的規則集，那你仍是老老實實地用端口號吧，時間是主要因素（在一臺稍微慢點兒地機子上，這最多會有10秒地不一樣，但要是1000條、10000 條呢）。三、能夠使用連續的端口，如：--source-port 22:80這表示從22到80的全部端口，包括22和80。若是兩個號的順序反了也不要緊，如：--source-port 80:22這和 --source-port 22:80的效果同樣。四、能夠省略第一個號，默認第一個是0，如：--source-port :80表示從0到80的全部端口。五、也能夠省略第二個號，默認是65535，如：--source-port 22:表示從22到 65535的全部端口六、在端口號前加英文感嘆號表示取反，注意空格，如：--source-port ! 22表示除22號以外的全部端口；--source-port ! 22:80表示從22到80（包括22和80）之外的全部端口。注意：這個匹配操做不能識別不連續的端口列表，如：--source-port ! 22, 36, 80 這樣的操做是由後面將要介紹的多端口匹配擴展來完成的。
Match	--dport, --destination-port
Example	iptables -A INPUT -p tcp --dport 22
Explanation	基於TCP包的目的端口來匹配包，端口的指定形式和--sport徹底同樣。
Match	--tcp-flags
Example
Explanation	匹配指定的TCP標記。有兩個參數，它們都是列表，列表內部用英文的逗號做分隔符，這兩個列表之間用空格分開。第一個參數指定咱們要檢查的標記（做用就象掩碼），第二個參數指定「在第一個列表中出現過的且必須被設爲1（即狀態是打開的）的」標記（第一個列表中其餘的標記必須置0）。也就是說，第一個參數提供檢查範圍，第二個參數提供被設置的條件（就是哪些位置1）。這個匹配操做能夠識別如下標記：SYN， ACK，FIN，RST ，URG，PSH。另外還有兩個詞也可以使用，就是ALL和NONE。顧名思義，ALL是指選定全部的標記，NONE是指未選定任何標記。這個匹配也可在參數前加英文的感嘆號表示取反。例如：一、iptables -p tcp --tcp-flags SYN,FIN,ACK SYN表示匹配那些SYN標記被設置而FIN和ACK標記沒有設置的包，注意各標記之間只有一個逗號而沒有空格。二、--tcp-flags ALL NONE匹配全部標記都未置1的包。三、iptables -p tcp --tcp-flags ! SYN,FIN,ACK SYN表示匹配那些FIN和ACK標記被設置而SYN標記沒有設置的包，注意和例1比較一下。
Match	--syn
Example	iptables -p tcp --syn
Explanation	這個匹配或多或少算是ipchains時代的遺留物，之因此還保留它，是爲了向後兼容，也是爲了方便規則在iptables和ipchains間的轉換。它匹配那些SYN標記被設置而 ACK和RST標記沒有設置的包，這和iptables -p tcp --tcp-flags SYN,RST,ACK SYN 的做用毫無二樣。這樣的包主要用在TCP鏈接初始化時發出請求。若是你阻止了這樣的包，也就阻止了全部由外向內的鏈接企圖，這在必定程度上防止了一些攻擊。但外出的鏈接不受影響，偏偏如今有不少攻擊就利用這一點。好比有些攻擊黑掉服務器以後安裝會一些軟件，它們可以利用已存的鏈接到達你的機子，而不要再新開一個端口。這個匹配也可用英文感嘆號取反，如：! --syn用來匹配那些 RST或ACK被置位的包，換句話說，就是狀態爲已創建的鏈接的包。
Match	--tcp-option
Example	iptables -p tcp --tcp-option 16
Explanation	根據匹配包。TCP選項是TCP頭中的特殊部分，有三個不一樣的部分。第一個8位組表示選項的類型，第二個8位組表示選項的長度（這個長度是整個選項的長度，但不包含填充部分所佔的字節，並且要注意不是每一個TCP選項都有這一部分的），第三部分固然就是選項的內容了。爲了適應標準，咱們沒必要執行全部的選項，但咱們能夠查看選項的類型，若是不是咱們所支持的，那就只是看看長度而後跳過數據部分。這個操做是根據選項的十進制值來匹配的，它也能夠用英文感嘆號取反。全部的選項均可在Internet Engineering Task Force裏找到。

Match	--icmp-type
Example	iptables -A INPUT -p icmp --icmp-type 8
Explanation	根據ICMP類型匹配包，類型的指定能夠使用十進制數值或相應的名字，數值在RFC792中有定義，名字能夠用iptables --protocol icmp --help 查看，或者在附錄ICMP類型中查找。這個匹配也可用英文感嘆號取反，如：--icmp-type ! 8就表示匹配除類型8以外的全部ICMP包。要注意有些ICMP 類型已經廢棄不用了，還有一些可能會對無防禦的主機帶來「危險」，由於它們可能把包重定向到錯誤的地方。

Match	--limit
Example	iptables -A INPUT -m limit --limit 3/hour
Explanation	爲limit match設置最大平均匹配速率，也就是單位時間內limit match能夠匹配幾個包。它的形式是一個數值加一個時間單位，能夠是/second /minute /hour /day 。默認值是每小時3次（用戶角度），即3/hour ，也就是每20分鐘一次（iptables角度）。
Match	--limit-burst
Example	iptables -A INPUT -m limit --limit-burst 5
Explanation	這裏定義的是limit match的峯值，就是在單位時間（這個時間由上面的--limit指定）內最多可匹配幾個包（由此可見，--limit-burst的值要比--limit的大）。默認值是5。爲了觀察它是如何工做的，你能夠啓動「只有一條規則的腳本」Limit- match.txt，而後用不一樣的時間間隔、發送不一樣數量的ping數據包。這樣，經過返回的 echo replies就能夠看出其工做方式了。

Match	--mac-source
Example	iptables -A INPUT -m mac --mac-source 00:00:00:00:00:01
Explanation	基於包的MAC源地址匹配包，地址格式只能是XX:XX:XX:XX:XX:XX，固然它也能夠用英文感嘆號取反，如--mac- source ! 00:00:00:00:00:01，意思很簡單了，就是除此以外的地址均可接受嘛。注意，由於 MAC addresses只用於Ethernet類型的網絡，因此這個match只能用於Ethernet接口。並且，它還只能在PREROUTING，FORWARD 和INPUT鏈裏使用。

Match	--mark
Example	iptables -t mangle -A INPUT -m mark --mark 1
Explanation	以包被設置的mark值來匹配包，這個值是是由下面將要介紹的 MARK target來設置的，它是一個無符號的整數。全部經過 Netfilter的包都會被分配一個相關聯的mark field 。但要注意mark值可不是在任何狀況下都能使用的，它只能在分配給它值的那臺機子裏使用，由於它只是由內核在內存裏分配的和包相關的幾個字節，並不屬於包自己，因此咱們不能在本機以外的路由器上使用。mark的格式是--mark value[/mask]，如上面的例子是沒有掩碼的，帶掩碼的例子如--mark 1/1。若是指定了掩碼，就先把mark值和掩碼取邏輯與，而後再和包的mark值比較。

Match	--source-port
Example	iptables -A INPUT -p tcp -m multiport --source-port 22,53,80,110
Explanation	源端口多端口匹配，最多能夠指定15個端口，以英文逗號分隔，注意沒有空格。使用時必須有-p tcp或-p udp爲前提條件。
Match	--destination-port
Example	iptables -A INPUT -p tcp -m multiport --destination-port 22,53,80,110
Explanation	目的端口多端口匹配，使用方法和源端口多端口匹配同樣，惟一的區別是它匹配的是目的端口。
Match	--port
Example	iptables -A INPUT -p tcp -m multiport --port 22,53,80,110
Explanation	同端口多端口匹配，意思就是它匹配的是那種源端口和目的端口是同一個端口的包，好比：端口80到端口80的包，110到110的包等。使用方法和源端口多端口匹配一樣。

Match	--uid-owner
Example	iptables -A OUTPUT -m owner --uid-owner 500
Explanation	按生成包的用戶的ID（UID）來匹配外出的包。使用這個匹配能夠作這樣一些事，好比，阻止除root外的用戶向防火牆外創建新鏈接，或阻止除用戶http外的任何人使用HTTP端口發送數據。
Match	--gid-owner
Example	iptables -A OUTPUT -m owner --gid-owner 0
Explanation	按生成包的用戶所在組的ID（GID）來匹配外出的包。比如，咱們能夠只讓屬於`network`組的用戶上Internet，而其餘用戶都不行；或者只容許`http`組的成員能從HTTP端口發送數據。
Match	--pid-owner
Example	iptables -A OUTPUT -m owner --pid-owner 78
Explanation	按生成包的進程的ID（GID）來匹配外出的包。好比，咱們能夠只容許PID爲94的進程（http進程固然不能是多線程的）使用http端口。這個匹配使用起來有一點難度，由於你要知道進程的ID號。固然，你也能夠寫一個小小的腳本，先從ps的輸出中獲得PID，再添加相應的規則，這兒有個例子Pid-owner.txt。
Match	--sid-owner
Example	iptables -A OUTPUT -m owner --sid-owner 100
Explanation	按生成包的會話的ID（SID）來匹配外出的包。一個進程以及它的子進程或它的多個線程都有同一個SID。好比，全部的HTTPD進程的SID和它的父進程同樣（最初的 HTTPD進程），即便HTTPD是多線程的（如今大部分都是，好比Apache和Roxen）也同樣。這裏有個腳本Sid-owner.txt能夠反映出這一點。

Match	--ttl
Example	iptables -A OUTPUT -m ttl --ttl 60
Explanation	根據TTL的值來匹配包，參數的形式只有一種，就是十進制數值。它能夠被用來調試你的局域網，好比解決LAN內的主機到Internet上的主機的鏈接問題，或找出 Trojan（Trojan）可能的入口。這個match的用處相對有限，但它實際上是頗有用的，這就看你的想象力如何了。好比能夠用它來發現那些TTL具備錯誤缺省值的機子（這多是實現TCP/IP棧功能的那個程序自己的錯誤，或者是配置有問題）。

Match	--state
Example	iptables -A INPUT -m state --state RELATED,ESTABLISHED
Explanation	指定要匹配包的的狀態，當前有4種狀態可用：INVALID，ESTABLISHED，NEW和RELATED。 INVALID意味着這個包沒有已知的流或鏈接與之關聯，也多是它包含的數據或包頭有問題。ESTABLISHED意思是包是徹底有效的，而且屬於一個已創建的鏈接，這個鏈接的兩端都已經有數據發送。NEW表示包將要或已經開始創建一個新的鏈接，或者是這個包和一個尚未在兩端都有數據發送的鏈接有關。RELATED說明包正在創建一個新的鏈接，這個鏈接是和一個已創建的鏈接相關的。比如，FTP data transfer，ICMP error 和一個TCP或UDP鏈接相關。注意NEW狀態並不在試圖創建新鏈接的TCP包裏尋找SYN標記，所以它不該該不加修改地用在只有一個防火牆或在不一樣的防火牆之間沒有啓用負載平衡的地方。具體如何使用，你就再看看章節狀態機制吧:)

Option	--to-destination
Example	iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination 192.168.1.1-192.168.1.10
Explanation	指定要寫入IP頭的地址，這也是包要被轉發到的地方。上面的例子就是把全部發往地址15.45.23.67的包都轉發到一段LAN使用的私有地址中，即192.168.1.1到 192.168.1.10。如前所述，在這種狀況下，每一個流都會被隨機分配一個要轉發到的地址，但同一個流老是使用同一個地址。咱們也能夠只指定一個IP地址做爲參數，這樣全部的包都被轉發到同一臺機子。咱們還能夠在地址後指定一個或一個範圍的端口。好比：--to-destination 192.168.1.1:80或 --to-destination 192.168.1.1:80-100。SNAT的語法和這個target的同樣，只是目的不一樣罷了。要注意，只有先用--protocol指定了TCP或 UDP協議，才能使用端口。

Option	--log-level
Example	iptables -A FORWARD -p tcp -j LOG --log-level debug
Explanation	告訴iptables和 syslog使用哪一個記錄等級。記錄等級的詳細信息能夠查看文件syslog.conf，通常來講有如下幾種，它們的級別依次是：debug，info，notice，warning，warn，err，error，crit，alert， emerg，panic。其中，error和err、warn和warning、panic和emerg分別是同義詞，也就是說做用徹底同樣的。注意這三種級別是不被同意使用的，換句話說，就是不要使用它們（由於信息量太大）。信息級別說明了被記錄信息所反映的問題的嚴重程度。全部信息都是經過內核的功能被記錄的，也就是說，先在文件 `syslog.conf`裏設置kern.=info /var/log/iptables，然後再讓全部關於iptables的LOG信息使用級別info，就能夠把全部的信息存入文件`/var/log/iptables`內。注意，其中也可能會有其餘的信息，它們是內核中使用info 這個等級的其餘部分產生的。有關日誌的詳細信息，我建議你看看syslog和`syslog.conf`的幫助，還有HOWTO，等等。
Option	--log-prefix
Example	iptables -A INPUT -p tcp -j LOG --log-prefix "INPUT packets"
Explanation	告訴iptables在記錄的信息以前加上指定的前綴。這樣和grep或其餘工具一塊兒使用時就容易追蹤特定的問題，並且也方便從不一樣的規則輸出。前綴最多能有29個英文字符，這已是包括空白字符和其餘特殊符號的總長度了。
Option	--log-tcp-sequence
Example	iptables -A INPUT -p tcp -j LOG --log-tcp-sequence
Explanation	把包的TCP序列號和其餘日誌信息一塊兒記錄下來。TCP序列號能夠惟一標識一個包，在重組時也是用它來肯定每一個分組在包裏的位置。注意，這個選項可能會帶來危險，由於這些記錄被未受權的用戶看到的話，可能會使他們更容易地破壞系統。其實，任何iptables的輸出信息都增長了這種危險。（譯者注：如今，我深入理解了什麼是「言多必失」，什麼是「沉默是金」）
Option	--log-tcp-options
Example	iptables -A FORWARD -p tcp -j LOG --log-tcp-options
Explanation	記錄TCP包頭中的字段大小不變的選項。這對一些除錯是很有價值的，經過它提供的信息，能夠知道哪裏可能出錯，或者哪裏已經出了錯。
Option	--log-ip-options
Example	iptables -A FORWARD -p tcp -j LOG --log-ip-options
Explanation	記錄IP包頭中的字段大小不變的選項。這對一些除錯是頗有價值的，還能夠用來跟蹤特定地址的包。

Option	--set-mark
Example	iptables -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 2
Explanation	設置mark值，這個值是一個無符號的整數。好比，咱們對一個流或從某臺機子發出的全部的包設置了mark值，就能夠利用高級路由功能來對它們進行流量控制等操做了。

Option	--to-ports
Example	iptables -t nat -A POSTROUTING -p TCP -j MASQUERADE --to-ports 1024-31000
Explanation	在指定TCP或UDP的前提下，設置外出包能使用的端口，方式是單個端口，如--to-ports 1025，或者是端口範圍，如--to- ports 1024-3000。注意，在指定範圍時要使用連字號。這改變了SNAT中缺省的端口選擇，詳情請查看 SNAT target。

Option	--reject-with
Example	iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset
Explanation	告訴REJECT target應向發送者返回什麼樣的信息。一旦包知足了設定的條件，就要發送相應的信息，而後再象DROP一樣無情地拋棄那些包。可用的信息類型有：一、icmp-net-unreachable 二、icmp-host-unreachable 三、 icmp-port-unreachable 四、icmp-proto-unreachable 五、icmp-net-prohibited 六、icmp-host-prohibited 。其中缺省的是port-unreachable。你能夠在附錄ICMP類型中看到更多的信息。還有一個類型——echo-reply，它只能和匹配 ICMP ping包的規則聯用。最後一個類型是tcp-reset，（顯然，只能用於TCP協議）它的做用是告訴REJECT返回一個TCP RST包（這個包以文雅的方式關閉TCP鏈接，有關它的詳細信息在RFC 793 - Transmission Control Protocol裏）給發送者。正如iptables的 man page中說的，tcp-reset主要用來阻塞身份識別探針（即113/tcp，當向被破壞的郵件主機發送郵件時，探針常被用到，不然它不會接受你的信）。

Option	--ttl-set
Example	iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-set 64
Explanation	設置TTL的值。這個值不要太大，也不要過小，大約64就很好。值太大會影響網絡，並且有點不道德，爲何這樣說呢？若是有些路由器的配置不太正確，包的TTL又很是大，那它們就會在這些路由器之間往返不少次，值越大，佔用的帶寬越多。這個target就能夠被用來限制包能走多遠，一個比較恰當的距離是恰好能到達DNS服務器。
Option	--ttl-dec
Example	iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-dec 1
Explanation	設定TTL要被減掉的值，好比--ttl-dec 3。假設一個進來的包的TTL是53，那麼當它離開咱們這臺機子時，TTL就變爲49了。爲何不是50呢？由於通過咱們這臺機子，TTL自己就要減1，還要被TTL target再減3，固然總共就是減去4了。使用這個 target能夠限制「使用咱們的服務的用戶」離咱們有多遠。好比，用戶老是使用比較近的DNS，那咱們就可以對咱們的DNS服務器發出的包進行幾個--ttl-dec。（譯者注：意思是，咱們只想讓距離DNS服務器近一些的用戶訪問咱們的服務）固然，用--set-ttl控制更方便些。
Option	--ttl-inc
Example	iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-inc 1
Explanation	設定TTL要被增長的值，好比--ttl-inc 4。假設一個進來的包的TTL是53，那麼當它離開咱們這臺機子時，TTL應是多少呢？答案是56,緣由同--ttl-dec。使用這個選項能夠使咱們的防火牆更加隱蔽，而不被trace-routes發現，方法就是設置--ttl-inc 1。緣由應該很簡單了，包每通過一個設備，TTL就要自動減1，但在咱們的防火牆裏這個1又被補上了，也就是說，TTL的值沒變，那麼trace-routes就會認爲咱們的防火牆是不存在的。Trace-routes讓人又愛又恨，愛它是由於在鏈接出問題時，它能夠給咱們提供極有用的信息，告訴咱們哪裏有毛病；恨它是因爲它也能夠被黑客或駭客用來收集目標機器的資料。怎麼使用它呢？這裏有個很好的例子，請看腳本Ttl-inc.txt。

Option	--ulog-nlgroup
Example	iptables -A INPUT -p TCP --dport 22 -j ULOG --ulog-nlgroup 2
Explanation	指定向哪一個netlink組發送包，好比-- ulog-nlgroup 5。一個有32個netlink組，它們被簡單地編號位1-32。默認值是1。
Option	--ulog-prefix
Example	iptables -A INPUT -p TCP --dport 22 -j ULOG --ulog-prefix "SSH connection attempt: "
Explanation	指定記錄信息的前綴，以便於區分不一樣的信息。使用方法和 LOG的prefix同樣，只是長度能夠達到32個字符。
Option	--ulog-cprange
Example	iptables -A INPUT -p TCP --dport 22 -j ULOG --ulog-cprange 100
Explanation	指定每一個包要向「ULOG在用戶空間的代理」發送的字節數，如--ulog-cprange 100，表示把整個包的前100個字節拷貝到用戶空間記錄下來，其中包含了這個包頭，還有一些包的引導數據。默認值是0，表示拷貝整個包，無論它有多大。
Option	--ulog-qthreshold
Example	iptables -A INPUT -p TCP --dport 22 -j ULOG --ulog-qthreshold 10
Explanation	告訴ULOG在向用戶空間發送數據以供記錄以前，要在內核裏收集的包的數量（譯者注：就像集裝箱），如--ulog-qthreshold 10。這表示先在內核裏積聚10個包，再把它們發送到用戶空間裏，它們會被看做同一個netlink的信息，只是由好幾部分組成罷了。默認值是1，這是爲了向後兼容，由於之前的版本不能處理分段的信息。

TYPE	CODE	Description	Query	Error
0	0	Echo Reply——回顯應答（Ping應答）	x
3	0	Network Unreachable——網絡不可達		x
3	1	Host Unreachable——主機不可達		x
3	2	Protocol Unreachable——協議不可達		x
3	3	Port Unreachable——端口不可達		x
3	4	Fragmentation needed but no frag. bit set——須要進行分片但設置不分片比特		x
3	5	Source routing failed——源站選路失敗		x
3	6	Destination network unknown——目的網絡未知		x
3	7	Destination host unknown——目的主機未知		x
3	8	Source host isolated (obsolete)——源主機被隔離（做廢不用）		x
3	9	Destination network administratively prohibited——目的網絡被強制禁止		x
3	10	Destination host administratively prohibited——目的主機被強制禁止		x
3	11	Network unreachable for TOS——因爲服務類型TOS，網絡不可達		x
3	12	Host unreachable for TOS——因爲服務類型TOS，主機不可達		x
3	13	Communication administratively prohibited by filtering——因爲過濾，通訊被強制禁止		x
3	14	Host precedence violation——主機越權		x
3	15	Precedence cutoff in effect——優先停止生效		x
4	0	Source quench——源端被關閉（基本流控制）
5	0	Redirect for network——對網絡重定向
5	1	Redirect for host——對主機重定向
5	2	Redirect for TOS and network——對服務類型和網絡重定向
5	3	Redirect for TOS and host——對服務類型和主機重定向
8	0	Echo request——回顯請求（Ping請求）	x
9	0	Router advertisement——路由器通告
10	0	Route solicitation——路由器請求
11	0	TTL equals 0 during transit——傳輸期間生存時間爲0		x
11	1	TTL equals 0 during reassembly——在數據報組裝期間生存時間爲0		x
12	0	IP header bad (catchall error)——壞的IP首部（包括各種差錯）		x
12	1	Required options missing——缺乏必需的選項		x
13	0	Timestamp request (obsolete)——時間戳請求（做廢不用）	x
14		Timestamp reply (obsolete)——時間戳應答（做廢不用）	x
15	0	Information request (obsolete)——信息請求（做廢不用）	x
16	0	Information reply (obsolete)——信息應答（做廢不用）	x
17	0	Address mask request——地址掩碼請求	x
18	0	Address mask reply——地址掩碼應答	x

iptables rule

目標（target）

Iptables 指南 1.1.19

Oskar Andreasson

獻辭

譯者序

關於做者

如何閱讀

必備知識

本文約定

1. 序言

1.1. 爲何要寫這個指南

1.2. 指南是如何寫的

1.3. 文中出現的術語

2. 準備階段

2.1. 哪裏能取得iptables

2.2. 內核配置

2.3. 編譯與安裝

2.3.1. 編譯

2.3.2. 在Red Hat 7.1上安裝

Chapter 3. 表和鏈

3.1. 概述

3.2. mangle 表

3.3. nat 表

3.4. Filter 表

Chapter 4. 狀態機制

4.1. 概述

4.2. conntrack記錄

4.3. 數據包在用戶空間的狀態

4.4. TCP 鏈接

4.5. UDP鏈接

4.6. ICMP 鏈接

4.7. 缺省的鏈接操做

4.8. 複雜協議和鏈接跟蹤

Chapter 5. 規則的保存與恢復

5.1. 速度

5.2. restore的不足之處

5.3. iptables-save

5.4. iptables-restore

Chapter 6. 規則是如何練成的

6.1. 基礎

6.2. Tables

6.3. Commands

6.4. Matches

6.4.1. 通用匹配

6.4.2. 隱含匹配

6.4.2.1. TCP matches

6.4.2.2. UDP matches

6.4.2.3. ICMP matches

6.4.3. 顯式匹配

6.4.3.1. Limit match

6.4.3.2. MAC match

6.4.3.3. Mark match

6.4.3.4. Multiport match

6.4.3.5. Owner match

6.4.3.6. State match

6.4.3.7. TOS match

6.4.3.8. TTL match

6.4.4. 針對非正常包的匹配

6.5. Targets/Jumps

6.5.1. ACCEPT target

6.5.2. DNAT target

6.5.3. DROP target

6.5.4. LOG target

6.5.5. MARK target

6.5.6. MASQUERADE target

6.5.7. MIRROR target

6.5.8. QUEUE target

6.5.9. REDIRECT target

6.5.10. REJECT target

6.5.11. RETURN target

6.5.12. SNAT target

6.5.13. TOS target

6.5.14. TTL target

6.5.15. ULOG target

Chapter 7. 防火牆配置實例 rc.firewall

7.1. 關於rc.firewall

7.2. rc.firewall詳解

7.2.1. 參數配置

7.2.2. 外部模塊的裝載