iptables 4个表和5个涟
成都创新互联长期为数千家客户提供的网站建设服务，团队从业经验10年，关注不同地域、不同群体，并针对不同对象提供差异化的产品和服务；打造开放共赢平台，与合作伙伴共同营造健康的互联网生态环境。为红桥企业提供专业的网站设计制作、成都网站建设，红桥网站改版等技术服务。拥有10年丰富建站经验和众多成功案例,为您定制开发。
iptables 显示相关的命令
iptables -L -n -x -v
查看iptables的status 为Firevall is stopped 解决： Linux命令行输入 step --Firevall configuration--enable
清除默认的规则
iptables -F 等价于iptables --flush//清除所有的规则
iptables -X 等价于iptables --delete-chain//删除用户自定义规则
iptables -Z 等价于iptables --zero//链的计数器清零
提示:默认情况下，我们的清除规则实际是对filter表的操作，如果是nat表，需要iptables -t nat -F
ACCEPT(接受) DROP(丢弃) REJECT(拒绝)
iptables是在系统内核中运行的。检查基本相关的内核模块
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state
lsmod | grep ip
1.关闭ssh 的22 端口关闭
开启关闭22端口
Iptables -A INPUT –p tcp –dport 22 –j DROP
删除22这条规则
iptables -D INPUT -p tcp --dport 22 -j DROP
删除根据行号(iptables -D INPUT 1)
iptables -L -n --line-numbers(显示行号)
禁止10.0.0.0/24网段连入
iptables -t filter -A INPUT -i eth0 -s 10.0.0.0/24 -j DROP
删除禁止源地址10网段的命令
iptables -D INPUT -i eth0 -s 10.0.0.0/24 -y DROP
封一个ip
iptables -I INPUT -p tcp -s 10.0.0.101 -j DROP
禁止目的端口为22端口的数据包通过防火墙
iptables -I INPUT -p tcp --dport 22 -j DROP
配置一个合法的地址能ping
iptables -t filter -I INPUT -p icmp --icmp-type 8 -i eth0 -s ! 10.0.0.101 -j DROP
禁止一个网段
iptables -t filter -I INPUT -I eth0 -s ! 10.0.0.0/24 -j DROP 等价于
iptables -t filter -I INPUT -I eth0 -s 10.0.0.0/24 -j ACCEPT
封掉3306
iptables -A INPUT -p tcp --dport 3306 -j DROP
常用服务的iptables 规则实践
允许合法的ip通过iptables
iptables -A INPUT -s 10.0.0.1/24 -p all -j ACCEPT
允许nagios
iptables -A INPUT -s 10.0.0.1/24 -p tcp --dport 5666 -j ACCEPT
允许MySQL和oracle ip访问
iptables -A INPUT -s 10.0.0.1/24 -p tcp --dport 3306 -j ACCEPT
iptables -A INPUT -s 10.0.0.1/24 -p tcp --dport 1521 -j ACCEPT
允许合法的ip连接ssh
iptables -A INPUT -p tcp -s 10.0.0.1/24 --dport 5801 -j ACCEPT
对http请求的开通(一般不做限制)
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
对http服务企业，一般的特殊端口，并限制合法ip连接或×××连接
iptables -A INPUT -s 10.0.0.1/24 -p tcp -n unltiport --dport 8080,8888, -j ACCEPT
snmp 的限制
iptables -A INPUT -s 10.0.0.1/24 -p UDP --dport 161 -j ACCEPT
rsync 服务的限制策
iptables -A INPUT -s 10.0.0.1/24 -p tcp -m tcp --dport 873 -j ACCEPT
nfs 服务的限制
iptables -A INPUT -s 10.0.0.1/24 -p TCP -n multiport --dport 111,892,2049 -j ACCEPT
ftp服务限制
#iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -n state --state ESTABLSHED,RELATED -j ACCEPT
iptables -A OUTPUT -n state --state ESTABLSHED,RELATED -j ACCEPT
icmp的限制
iptables -A INPUT -p icmp -n icmp --icmp-type any -j ACCEPT
iptables -A INPUT -p icmp -s 10.0.0.1/24 -n icmp --icmp-type any -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
高级模式
NAT模式的ip一对一映射（外网对应内网）
Iptables –t nat –A PREROUTING –d 201.10.10.11 –p tcp –n tcp –dport 80 –j DNAT –to-destination 10.10.10.12:80
SNAT（源网络转换）
Iptables –t nat –A POSTROUTING –s 10.0.0.0/255.255.255.0 –o eth0 –j SANT –to-source 203.21.9.1
映射多个外网ip上网
Iptables –t nat –A POSTROUTING –s 10.0.0.0/255.255.255.0 –o eth0 –j SANT –to-source 203.21.9.1-203.21.9.20
菜鸟写文档 ，请多多指教啊！