iptables命令

iptables命令是Linux系统中一种广泛使用的防火墙工具，属于netfilter项目。用户可以通过命令行直接配置，也可以利用多种前端工具或图形界面进行设置。

语法

iptables(选项)(参数)

选项

-t<表>：指定要操作的表；-A：向规则链添加条目；-D：从规则链删除条目；-I：在规则链中插入条目；-R：替换规则链中的条目；-L：列出规则链中的现有条目；-F：清空规则链中的条目；-Z：重置规则链中的数据包计数器和字节计数器；-N：创建新的用户自定义规则链；-P：设置规则链的默认目标；-h：显示帮助信息；-p：指定要匹配的数据包协议；-s：指定源IP地址；-j<目标>：设置跳转目标；-i<网络接口>：指定数据包进入本机的网络接口；-o<网络接口>：指定数据包离开本机所用的网络接口。

iptables命令选项的输入顺序：

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

表名包括：

• raw：提供高级功能，如网址过滤。
• mangle：用于数据包修改（QOS），实现服务质量。
• net：进行地址转换，适用于网关路由器。
• filter：负责数据包过滤，适用于防火墙规则。

规则链名包括：

• INPUT链：处理进入的数据包。
• OUTPUT链：处理离开的数据包。
• FORWARD链：处理转发的数据包。
• PREROUTING链：用于目标地址转换（DNAT）。
• POSTROUTING链：用于源地址转换（SNAT）。

动作包括：

• ACCEPT：允许数据包通过。
• DROP：丢弃数据包。
• REDIRECT：进行重定向、映射或透明代理。
• SNAT：进行源地址转换。
• DNAT：进行目标地址转换。
• MASQUERADE：进行IP伪装（NAT），常用于ADSL。
• LOG：记录日志。

实例

清除现有的iptables规则

iptables -F iptables -X iptables -Z

开放特定端口

iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A OUTPUT -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j DROP iptables -A INPUT -p tcp --dport 80 -j DROP iptables -A INPUT -p tcp --dport 21 -j ACCEPT iptables -A INPUT -p tcp --dport 20 -j ACCEPT iptables -A INPUT -j REJECT iptables -A FORWARD -j REJECT

屏蔽特定IP

iptables -I INPUT -s 123.45.6.7 -j DROP iptables -I INPUT -s 123.0.0.0/8 -j DROP iptables -I INPUT -s 124.45.0.0/16 -j DROP iptables -I INPUT -s 123.45.6.0/24 -j DROP

查看已设置的iptables规则

iptables -L -n -v Chain INPUT (policy DROP 48106 packets, 2690K bytes) pkts bytes target prot opt in out source destination 5075 589K ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 191K 90M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 1499K 133M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 4364K 6351M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 6256 327K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination Chain OUTPUT (policy ACCEPT 3382K packets, 1819M bytes) pkts bytes target prot opt in out source destination 5075 589K ACCEPT all -- * lo 0.0.0.0/0 0.0.0.0/0

删除已添加的iptables规则

要以序号方式查看所有iptables规则，执行：

iptables -L -n --line-numbers

例如，若要删除INPUT链中序号为8的规则，可以执行：

iptables -D INPUT 8