学习iptables个人总结

1、iptables命令

iptables命令是Linux上常用的防火墙软件，是netfilter项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。

2、iptables的"四表五链:"

四表包括： 

raw：高级功能，如：网址过滤。 

mangle：数据包修改（QOS），用于实现服务质量。 

net：地址转换，用于网关路由器。 

filter：包过滤，用于防火墙规则。

五条规则链名包括：（netfilter内核模块上的五个函数） 

INPUT链：处理输入数据包。 

OUTPUT链：处理输出数据包。 

PORWARD链：处理转发数据包。 

PREROUTING链：用于目标地址转换（DNAT）。 

POSTOUTING链：用于源地址转换（SNAT）。 

3、数据包的过滤匹配流程如下图；

4、对数据包处理动作包括： 

ACCEPT：接收数据包。 

DROP：丢弃数据包。 

REDIRECT：重定向、映射、透明代理。 

SNAT：源地址转换。 

DNAT：目标地址转换。 

MASQUERADE：IP伪装（NAT），用于ADSL。 

LOG：日志记录。

5、iptables语法 

iptables(选项)(参数) 

1、查看默认规则：

iptables [-t table] [-L] [-nv]

2、查看防火墙规则：

iptables-save [-t table]

3、清除防火墙规则：

iptables [-t tables] [-FXZ]

4、定义默认规则：

iptables [-t table] -P [INPUT，OUTPUT，FORWARD] [ACCEPT，DROP]

5、数据包的比对设置；

iptables [-AI 链名] [-io 网络接口] [-p 协议] [-s 来源IP/网络] [-d 目标IP/网络] -j[ACCEPT|DROP|REJECT|LOG]

6、iptables的模块(state,mac)：

iptables -A INPUT [-m state] [--state 状态]
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m mac --mac-source aa:bb:cc:dd:ee:ff -j ACCEPT

7、icmp数据包规划比对：

iptables -A INPUT [-p icmp] [--icmp-type 类型] -j ACCEPT

ICMP常见类型：

0    Echo Reply——回显应答（Ping应答）

8    Echo request——回显请求（Ping请求）

选项： 

-t<表>：指定要操纵的表； 

-A：向规则链中添加条目； 

-D：从规则链中删除条目； 

-i：向规则链中插入条目； 

-R：替换规则链中的条目； 

-L：显示规则链中已有的条目； 

-F：清楚规则链中已有的条目； 

-Z：清空规则链中的数据包计算器和字节计数器； 

-N：创建新的用户自定义规则链； 

-P：定义规则链中的默认目标； 

-h：显示帮助信息； 

-p：指定要匹配的数据包协议类型； 

-s：指定要匹配的数据包源ip地址； 

-j<目标>：指定要跳转的目标； 

-i<网络接口>：指定数据包进入本机的网络接口； 

-o<网络接口>：指定数据包要离开本机所使用的网络接口。  

6、一般情况下创建防火墙规则的顺序：

1、清空防火墙规则

2、设置防火墙的默认策略

3、信任本机：（由于lo对本机来说是相当重要的，因此lo必须设置为信任设备）

4、回应数据包：（让本机通过主动向外发出请求而响应的数据包可以进入本机(ESTABLISHED、RELATED) ）

5、添加具体的规则

7、iptables简单查看示例：

# iptables -nL 查看防火墙设置
# iptables -t nat -nL 查看nat表
# iptables -t mangle -nL 查看mangle表
# iptables -t raw -nL 查看raw表
# iptables -t filter -P FORWARD DROP 设定FORWARD默认策略为丢弃，-t filter可省略；
# iptables -P INPUT DROP 设置INPUT默认策略;
# iptables -P OUTPUT DROP 设置OUTPUT默认策略;
# iptables -nL INPUT 查看指定某个链上的规则；
# iptables -nvL 查看详细信息；
# iptables -nvxL 查看详细信息，且显示单位为字节；
# iptables -nvxL --line-number 显示规则编号；
# iptables -nvvxL --line-number 显示更详细信息；
# iptables -nvvvxL --line-number 显示更多更详细信息；
# iptables -S 显示添加的规则命令；
# iptables -S INPUT 显示在input链上添加的规则命令；
# iptables -F 清空规则；