Linux 防火牆iptables命令詳解

【轉：原文連接】

iptables -F
iptables -X
iptables -F -t mangle
iptables -t mangle -X
iptables -F -t nat
iptables -t nat -X
首先，把三個表清空，把自建的規則清空。

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT
設定INPUT、OUTPUT的默認策略爲DROP，FORWARD爲ACCEPT。

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
先把「迴環」打開，以避免有沒必要要的麻煩。

iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j ACCEPT
iptables -A OUTPUT -o eth+ -p icmp --icmp-type 0 -j ACCEPT
在全部網卡上打開ping功能，便於維護和檢測。

iptables -A INPUT -i eth0 -s 192.168.100.250 -d 192.168.100.1 -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -o eth0 -d 192.168.100.250 -s 192.168.100.1 -p tcp --sport 22 -j ACCEPT
打開22端口，容許遠程管理。（設定了不少的附加條件：管理機器IP必須是250，而且必須從eth0網卡進入）

iptables -A INPUT -i eth0 -s 192.168.100.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -d 192.168.100.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth1 -s 192.168.168.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -d 192.168.168.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth2 -p tcp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth2 -p tcp --sport 32768:61000 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth2 -p udp --dport 53 -j ACCEPT
iptables -A INPUT -i eth2 -p udp --sport 53 -j ACCEPT
上面這幾句是比較頭痛的，我作逐一解釋。

iptables -A INPUT -i eth0 -s 192.168.100.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPT
容許192.168.100.0/24網段的機器發送數據包從eth0網卡進入。若是數據包是tcp協議，並且目的端口是3128（由於REDIRECT已經把80改成3128了。nat表的PREROUTING是在filter表的INPUT前面的。）的，再並且，數據包的狀態必須是NEW或者ESTABLISHED的（NEW表明tcp三段式握手的「第一握」，換句話說就是，容許客戶端機器向服務器發出連接申請。ESTABLISHED表示經過握手已經創建起連接），經過。

iptables -A OUTPUT -o eth2 -p tcp --sport 32768:61000 -m state --state NEW,ESTABLISHED -j ACCEPT
咱們先來看這一句。如今你的數據包已經進入到linux服務器防火牆上來了。squid須要代替你去訪問，因此這時，服務器就成了客戶端的角色，因此它要使用32768到61000的私有端口進行訪問。（你們會奇怪應該是1024到65535吧。其實CentOS版的linux所定義的私有端口是32768到61000的，你能夠經過cat /proc/sys/net/ipv4/ip_local_port_range，查看一下。）再次聲明：這裏是squid以客戶端的身份去訪問其餘的服務器，因此這裏的源端口是32768:61000，而不是3128！

iptables -A INPUT -i eth2 -p tcp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT
固然了，數據有去就有回。

iptables -A OUTPUT -o eth0 -d 192.168.100.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPT
數據包還得經過服務器，轉到內網網卡上。請注意，這裏，是squid幫你去訪問了你想要訪問的網站。因此在內網中，你的機器是客戶端角色，而squid是服務器角色。這與剛纔對外訪問的過程是不一樣的。因此在這裏，源端口是3128，而不是32768:61000。

iptables -A OUTPUT -o eth2 -p udp --dport 53 -j ACCEPT
iptables -A INPUT -i eth2 -p udp --sport 53 -j ACCEPT
固然，DNS是不可缺乏的。

iptables -A INPUT -i eth+ -p tcp --dport 80 -j LOG --log-prefix "iptables_80_alert" --log-level info
iptables -A INPUT -i eth+ -p tcp --dport 21 -j LOG --log-prefix "iptables_21_alert" --log-level info
iptables -A INPUT -i eth+ -p tcp --dport 22 -j LOG --log-prefix "iptables_22_alert" --log-level info
iptables -A INPUT -i eth+ -p tcp --dport 25 -j LOG --log-prefix "iptables_25_alert" --log-level info
iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j LOG --log-prefix "iptables_icmp8_alert" --log-level info
固然了，來點日誌記錄會對網管員有所幫助。

iptables 基本命令使用舉例


      1、鏈的基本操做
一、清除全部的規則。
1）清除預設表filter中全部規則鏈中的規則。
# iptables -F
2）清除預設表filter中使用者自定鏈中的規則。
#iptables -X
#iptables -Z
二、設置鏈的默認策略。通常有兩種方法。
1）首先容許全部的包，而後再禁止有危險的包經過放火牆。
#iptables -P INPUT ACCEPT
#iptables -P OUTPUT ACCEPT
#iptables -P FORWARD ACCEPT
2）首先禁止全部的包，而後根據須要的服務容許特定的包經過防火牆。
#iptables -P INPUT DROP
#iptables -P OUTPUT DROP
#iptables -P FORWARD DROP
三、列出表/鏈中的全部規則。默認只列出filter表。
#iptables -L
四、向鏈中添加規則。下面的語句用於開放網絡接口：
#iptables -A INPUT -i lo -j ACCEPT
#iptables -A OUTPUT -o lo -j ACCEPT
#iptables -A INPUT -i eth0 -j ACEPT
#iptables -A OUTPUT -o eth1 -j ACCEPT
#iptables -A FORWARD -i eth1 -j ACCEPT
#iptables -A FORWARD -0 eth1 -j ACCEPT
注意:因爲本地進程不會通過FORWARD鏈，所以迴環接口lo只在INPUT和OUTPUT兩個鏈上做用。
五、使用者自定義鏈。
#iptables -N custom
#iptables -A custom -s 0/0 -d 0/0 -p icmp -j DROP
#iptables -A INPUT -s 0/0 -d 0/0 -j DROP
2、設置基本的規則匹配
一、指定協議匹配。
1）匹配指定協議。
#iptables -A INPUT -p tcp
2）匹配指定協議以外的全部協議。
#iptables -A INPUT -p !tcp
二、指定地址匹配。
1）指定匹配的主機。
#iptables -A INPUT -s 192.168.0.18
2）指定匹配的網絡。
#iptables -A INPUT -s 192.168.2.0/24
3）匹配指定主機以外的地址。
#iptables -A FORWARD -s !192.168.0.19
4）匹配指定網絡以外的網絡。
#iptables -A FORWARD -s ! 192.168.3.0/24
三、指定網絡接口匹配。
1）指定單一的網絡接口匹配。
#iptables -A INPUT -i eth0
#iptables -A FORWARD -o eth0
2）指定同類型的網絡接口匹配。
#iptables -A FORWARD -o ppp+
四、指定端口匹配。
1）指定單一端口匹配。
#iptables -A INPUT -p tcp --sport www
#iptables -A INPUT -p udp –dport 53
2）匹配指定端口以外的端口。
#iptables -A INPUT -p tcp –dport !22
3）匹配端口範圍。
#iptables -A INPUT -p tcp –sport 22:80
4）匹配ICMP端口和ICMP類型。
#iptables -A INOUT -p icmp –icimp-type 8
5）指定ip碎片。
每
個網絡接口都有一個MTU（最大傳輸單元），這個參數定義了能夠經過的數據包的最大尺寸。若是一個數據包大於這個參數值時，系統會將其劃分紅更小的數據包
（稱爲ip碎片）來傳輸，而接受方則對這些ip碎片再進行重組以還原整個包。這樣會致使一個問題：當系統將大數據包劃分紅ip碎片傳輸時，第一個碎片含有
完整的包頭信息（IP+TCP、UDP和ICMP），可是後續的碎片只有包頭的部分信息（如源地址、目的地址）。所以，檢查後面的ip碎片的頭部（象有
TCP、UDP和ICMP同樣）是不可能的。假若有這樣的一條規則：
#iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.2.100 –dport 80 -j ACCEPT
而且這時的FORWARD的policy爲DROP時，系統只會讓第一個ip碎片經過，而餘下的碎片由於包頭信息不完整而沒法經過。能夠經過—fragment/-f 選項來指定第二個及之後的ip碎片解決上述問題。
#iptables -A FORWARD -f -s 192.168.1.0/24 -d 192.168.2.100 -j ACCEPT
注意如今有許多進行ip碎片攻擊的實例，如DoS攻擊，所以容許ip碎片經過是有安全隱患的，對於這一點能夠採用iptables的匹配擴展來進行限制。
3、設置擴展的規則匹配（舉例已忽略目標動做）
一、多端口匹配。
1）匹配多個源端口。
#iptables -A INPUT -p tcp -m multiport –sport 22,53,80,110
2）匹配多個目的端口。
#iptables -A INPUT -p tcp -m multiport –dpoort 22,53,80
3）匹配多端口(不管是源端口仍是目的端口）
#iptables -A INPUT -p tcp -m multiport –port 22,53,80,110
二、指定TCP匹配擴展
使用 –tcp-flags 選項能夠根據tcp包的標誌位進行過濾。
#iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN
#iptables -A FROWARD -p tcp –tcp-flags ALL SYN,ACK
上實例中第一個表示SYN、ACK、FIN的標誌都檢查，可是隻有SYN匹配。第二個表示ALL（SYN，ACK，FIN，RST，URG，PSH）的標誌都檢查，可是隻有設置了SYN和ACK的匹配。
#iptables -A FORWARD -p tcp --syn
選項—syn至關於」--tcp-flags SYN,RST,ACK SYN」的簡寫。
三、limit速率匹配擴展。
1）指定單位時間內容許經過的數據包個數，單位時間能夠是/second、/minute、/hour、/day或使用第一個子母。
#iptables -A INPUT -m limit --limit 300/hour
2 )指定觸發事件的閥值。
#iptables -A INPUT -m limit –limit-burst 10
用來比對一次同時涌入的封包是否超過10個，超過此上限的包將直接丟棄。
3）同時指定速率限制和觸發閥值。
#iptables -A INPUT -p icmp -m limit –-limit 3/m –limit-burst 3
表示每分鐘容許的最大包數量爲限制速率（本例爲3）加上當前的觸發閥值burst數。任何狀況下，均可保證3個數據包經過，觸發閥值burst至關於容許額外的包數量。
4）基於狀態的匹配擴展（鏈接跟蹤）
每一個網絡鏈接包括如下信息：源地址、目標地址、源端口、目的端口，稱爲套接字對（socket pairs）；協議類型、鏈接狀態（TCP協議）
和超時時間等。防火牆把這些信息稱爲狀態（stateful）。狀態包過濾防火牆能在內存中維護一個跟蹤狀態的表，比簡單包過濾防火牆具備更大的安全性，命令格式以下：
iptables -m state –-state [!]state [,state,state,state]
其中，state表是一個逗號分割的列表，用來指定鏈接狀態，4種：
>NEW: 該包想要開始一個新的鏈接（從新鏈接或鏈接重定向）
>RELATED:該包是屬於某個已經創建的鏈接所創建的新鏈接。舉例：
FTP的數據傳輸鏈接和控制鏈接之間就是RELATED關係。
>ESTABLISHED：該包屬於某個已經創建的鏈接。
>INVALID:該包不匹配於任何鏈接，一般這些包被DROP。
例如：
（1）在INPUT鏈添加一條規則，匹配已經創建的鏈接或由已經創建的鏈接所創建的新鏈接。即匹配全部的TCP迴應包。
#iptables -A INPUT -m state –state RELATED,ESTABLISHED
（2）在INPUT鏈鏈添加一條規則，匹配全部從非eth0接口來的鏈接請求包。
#iptables -A INPUT -m state -–state NEW -i !eth0
又如，對於ftp鏈接可使用下面的鏈接跟蹤：
（1）被動（Passive）ftp鏈接模式。
#iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state –-state ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m
state -–state ESTABLISHED,RELATED -j ACCEPT
（2）主動（Active）ftp鏈接模式
#iptables -A INNPUT -p tcp --sport 20 -m state –-state ESTABLISHED,RELATED -j ACCEPT
#iptables -A OUTPUT -p tcp –OUTPUT -p tcp –dport 20 -m state --state ESTABLISHED -j ACCEPT