当前位置： 纯净之家 > 电脑教程 > Linux教程 > iptables知识理论的学习与实践举例

iptables知识理论的学习与实践举例

时间：2021-10-15 11:29:56

作者：admin

来源：纯净之家


iptables是什么？不解释，直接进入正题。
 
iptables的命令使用结构是这样的    iptables [-t table] command [match] [target]   下面一项一项来介绍
 
[-t table]部分
 
[-t table]选项允许使用标准表之外的任何表。表是包含仅处理特定类型信息包的规则和链的信息包过滤表。
有三个可用的表选项：filter、nat和mangle。该选项不是必需的，如果未指定，则filter作为缺省表。
 
filter  用于一般信息包的过滤，包含INPUT、 OUTPUT和FORWARD链。
 
INPUT：代表匹配目的 IP 是本机的数据包
 
OUTPUT：代表匹配源ip是本机的数据包
 
FORWARD：代表匹配穿过本机的数据包
 
nat  用于要转发的信息包，包含PREROUTING、OUTPUT和POSTROUTING链。
 
PREROUTING： 修改目的地址（DNAT） 
 
 POSTROUTING：修改源地址 （SNAT）
 
mangle  这个表不是很理解，反正我没有用过，嘻嘻
 
#############################################################################
 
command部分
 
command部分是iptables命令最重要的部分。它告诉iptables命令要做什么，例如插入规则、
将规则添加到链的末尾或删除规则。
 
-A <链名> 
 APPEND，追加一条规则（放到最后） 
 
例如： 
 iptables -t filter -A INPUT -j DROP   
 
在 filter 表的 INPUT 链里追加一条规则（作为最后一条规则），将所有目的IP为本机的包全部丢弃。

iptables知识理论的学习与实践举例

  
 
在没有开启防火墙之前，我可以ping192.168.254.153这台机子，防火墙开后，ping不通了，而且我的ssh也断开了，因为防火墙是将所有的包都丢弃了，自然包括ssh链接的包。由于无法再使用ssh链接，所以我只能到服务器上清空防火墙，清空后，就可以ping了
 
 

iptables知识理论的学习与实践举例

 
 
     INPUT：  匹配目的IP 是本机的数据包
 
     FORWARD  穿过本机的数据包，
 
     PREROUTING用于修改目的地址（DNAT）
 
     POSTROUTING，用于修改源地址（SNAT）
 
 为了能保证我测试iptables用法时ssh不会断开，所以在这里我首先加上一条iptables规则
我还是开启将所有目的IP为本机的包丢弃
  

iptables知识理论的学习与实践举例

 
 
 
然后我追加一条策略

iptables知识理论的学习与实践举例

 
 
 可以看到，我新增加的这个策略是在drop的后面，也就是先拒绝了所有包，所以网络就不同了，上面也提到了，-A就是添加到INPUT的最后一条。

iptables知识理论的学习与实践举例

 
 
这里正好也用到了删除链的命令iptables -D INPUT  -s 192.168.254.153 -j ACCEPT，所以-D的用法也就不用强调了
 
iptables -I INPUT  -s 192.168.254.153 -j ACCEPT   -----------------这里的-I是指加规则放在第一个
 
从图中也可以看到两者的差别
 
将所有的命令重新总结一下，我用个表格对比一下
 
 
 
命令
功能描述
用法举例
-A（或--append）
将一条规则添加到链的末尾
iptables -t filter -A INPUT -j DROP在input链的末尾添加一条规则，
将所有目的IP为本机的包全部丢弃
-D（或--delete） 将指定的规则或者规则的位置编号
从链中删除  iptables -D INPUT  -s 192.168.254.153 -j ACCEPT将匹配该规则的包删除；iptables -D OUPUT  3将OUPUT链中编号为3的规则删除
-P（--policy） 设置链的默认目标，所有与链中任何不匹配的信息报都被强制使用此链的策略 iptables -P INPUT DROP丢弃所有与INPUT 链中任何规则都不匹配的信息包
 
-N（--new-chain） 创建一个新的链  iptables -N allowed-chain新建一个链
 
 
-F（--flush） 如果指定链名，那么就会删除该链，如果没有指定，就会删除所有的链
iptables -F INPUT 清空INPUT链
iptables -F   清空所有的链
-L（--list） 列出链中所有的规则
iptables -L  (INPUT)只列出（INPUT）链的策略
-I 将一条规则添加到链的第一个
 
iptables -I INPUT  -s 192.168.254.153 -j ACCEPT
 
###########################################################################
match部分 ----------匹配的条件
 
iptables命令的可选match部分指定信息包与规则匹配所应具有的特征（如源地址、目的地址、协议等）。匹配分为通用匹配和特定于协议的匹配两大类。这里将介绍可用于采用任何协议的信息包的通用匹配。还是再用个表格来对比吧。
 
参数 功能 举例
 
-p(--protocol) 匹配协议，例如TCP、UDP、 ICMP
iptables -A INPUT -p TCP，UDP
等同于iptales -A INPUT -p ！ICMP都是匹配TCP和UDP的意思
 
-s (--source) 信息报源地址的匹配
 
iptables -A  OUTPUT -s 192.168.0.125
-d (--destination) 匹配信息包的目的IP
 
iptables -A  INPUT -d 192.168.0.125
########################################################################
target 目标部分------------ 匹配到以后的动作
www.dnzg.cn
 
参数 功能 举例
ACCEPT 当信息包与具有ACCEPT目标的规则完全匹配时，
就会被接受，允许它前往目的地
 
iptables -A INPUT  -s 192.168.254.153 -j ACCEPT
 
DROP 当信息包与具有DROP目标的规则完全匹配时，会阻止该信息包
 
iptables -A INPUT  -s 192.168.254.153 -j DROP
REJECT 与DROP类似，但是比DROP好，REJECT会将错误信息发回给信息包的发送方，并且不会留下死套接字
 
iptables  -A  FORWARD -p TCP --dport 22 -j REJECT
SNAT  源地址转换，SNAT 支持转换为单 IP，也支持转换到 IP 地址池
 
iptables -t nat -A POSTROUTING -s 192.168.0.0/24  -j SNAT --to 1.1.1.1 
将内网 192.168.0.0/24 的原地址修改为 1.1.1.1
 
 
#######################################################################
简单应用举例
 
iptables -t nat -A POSTROUTING -s 10.8.0.0/255.255.255.0 -o eth0 -j SNAT --to-source 192.168.5.3
 
把所有10.8.0.0网段的数据包SNAT成192.168.5.3的ip然后发出去（源地址的转换）
 
 
 
iptables  -t   filter  -A  INPUT  -p  icmp  -j   REJECT   ----------------拒绝其他主机ping
 
 
iptables  -t    filter   -I INPUT    -p  tcp  --dport  22   -j   reject  ------------禁止通过ssh访问我的主机
 
 
 
iptables  -t    filter   -A  INPUT     -p  tcp  --dport  22 -s10.1.1.1  -j   ACCEPT ------------允许10.1.1.1通过ssh访问我的主机
iptables -t filter -A INPUT -m mac --mac-source 00:14:5E:28:A3:20 -p tcp --dport 22 -j ACCEPT
 
iptables -t filter -A INPUT -p tcp --dport 22 -j REJECT           
 
-------------------------------------只有这个mac地址的用户才能ssh访问我的主机
 
 
 
 iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE ---------将源地址是 192.168.0.0/24 的数据包进行地址伪装
 
 
 
iptables  -t    filter   -A  INPUT   -i  eth0  -p  tcp  --dport  22   -j  ACCEPT 
 
iptables  -t    filter   -A  INPUT   -i  eth1   -p  tcp  --dport  22   -j   reject
 
------------------------------------------允许用户通过eth0网口ssh过来

本文来自系统大全为您提供如需转载请注明！推荐win10下载

相关文章

系统下载排行榜71011xp

1

番茄花园 GHOST WIN7 SP1 X64 快速稳定版 V2017.03 (64位

 2

深度技术 GHOST WIN7 SP1 X64 稳定安全版 V2017.02（64位

 3

雨林木风 GHOST WIN7 SP1（32位）装机版 V2017.03

 4

深度技术 GHOST WIN7 SP1 X86 专业装机版 V2017.03（32位

 5

电脑公司 GHOST WIN7 SP1 X86 经典旗舰版 V2017.03（32位

 6

深度技术 GHOST WIN7 SP1 X86 稳定安全版 V2017.02

 7

深度技术 GHOST WIN7 SP1 X64 专业装机版 V2017.03（64位

 8

电脑公司 GHOST WIN7 SP1 X64 经典旗舰版 V2017.03（64位

 9

电脑公司 GHOST WIN7 SP1 X64 新春贺岁版 V2017.02（64位

 10

电脑公司 GHOST WIN7 SP1 X86 新春贺岁版 V2017.02（32位
1

win10系统下载 Win10 1607 精简安装版 LTSB长期服务版

 2

Win10专业工作站版最新镜像 V2022.06

 3

微软原版Win10 ISO镜像64位（win10纯净版）

 4

深度技术 Ghost Win10 64位 国庆特别版 V2021.10

 5

电脑公司Ghost Win10 64位装机版V2017.03

 6

雨晨 Win10 1703 15063.250 64位 极速精简版

 7

JUJUMAO Win8.1 Up3 X64 极速精简版v2019.11

 8

win10系统下载 稳安快 Win10 x64 极速精简版 V1.0

 9

lopatkin Win10专业精简版 V2022.05

 10

Win10 21H2 纯净版镜像 V2021
1

Win11PE网络纯净版 V2021

 2

风林火山 Ghost Win11 64位 专业正式版 V2021.10

 3

Win11官方纯净版 V2021

 4

Win11 23H2 25115 官方原版镜像 V2022.05

 5

新一代系统 JUJUMAO Win11专业版 64位 v2021.08

 6

雨林木风 Ghost Win11 64位 正式版 V2021.10

 7

微软MSDN原版Win11系统 V2021

 8

Win11 22000.282正式版镜像 V2021.10

 9

深度技术 Ghost Win11 64位 专业版 V2021.10

 10

微软Win11游戏系统 V2021.10
1

深度技术 GHOST XP SP3 电脑专用版 V2017.03

 2

深度技术 GGHOST XP SP3 电脑专用版 V2017.02

 3

Win7系统下载 PCOS技术Ghost WinXP SP3 2017 夏季装机版

 4

萝卜家园 GHOST XP SP3 万能装机版 V2017.03

 5

番茄花园 GHOST XP SP3 极速体验版 V2017.03

 6

雨林木风 GHOST XP SP3 官方旗舰版 V2017.03

 7

电脑公司 GHOST XP SP3 经典旗舰版 V2017.03

 8

雨林木风GHOST XP SP3完美纯净版【V201710】已激活

 9

萝卜家园 GHOST XP SP3 完美装机版 V2016.10

 10

雨林木风 GHOST XP SP3 精英装机版 V2017.04
提取码
XGZS
关闭 前往下载
软件发布| Tag标签| 版权声明| 网站地图

本站所有资源均转载自各大软件下载站，或由软件厂商投稿发布，用户应在授权范围内使用，不得用于任何商业用途。

如有侵权请联系我们删除下架，有任何投诉或建议请发送至管理员邮箱：keepincontact@vip.qq.com

Copyright©纯净之家 豫ICP备17024709号