iptables规则组成
一、四张表五条链
组成部分：四张表 + 5条链(Hook point) + 规则
四张表：filter nat mangle raw
五条链：PREROUTING INPUT FORWARD OUTPUT POSTROUTING
| iptables | table | command | chain | Parameter & Xmatch | target |
|
-t filter nat |
-A #追加 -D #删除 -L #列出 -F #恢复默认 -P #设置默认规则 -I #插入 -R #替换 -n #只显示 IP 地址和端口号 |
PREROUTING INPUT FORWARD OUTPUT POSTROUTING |
-p tcp #协议名称 -s #发起的原地址 -d #目标地址 --sport #源端口 --dport #目标端口 --dports #目标端口段 -m tcp #补充 state multiport |
-j ACCEPT DROP REJECT DNAT SNAT |
1、对所有的地址开放本机的tcp(80、22、10-21)端口的访问
iptables -t filter -I INPUT -p tcp --dport 80 -j ACCEPT iptables -t filter -I INPUT -p tcp --dport 22 -j ACCEPT iptables -t filter -I INPUT -p tcp --dport 10:21 -j ACCEPT
2、允许对所有的地址开放本机的基于ICMP协议的数据包访问
iptables -t filter -I INPUT -p icmp -j ACCEPT
3、其他未被允许的端口则禁止访问
iptables -t filter -A INPUT -j REJECT
二、删除某条规则
找到规则号：
iptables -L INPUT --line-numbers
iptables -L ufw-user-input --line-numbers
结果如下：
Chain ufw-user-input (1 references) num target prot opt source destination 1 ACCEPT tcp -- anywhere anywhere tcp dpt:ssh 2 ACCEPT udp -- anywhere anywhere udp dpt:ssh 3 ACCEPT tcp -- anywhere anywhere tcp dpt:http 4 ACCEPT udp -- anywhere anywhere udp dpt:http 5 ACCEPT tcp -- anywhere anywhere tcp dpt:mysql 6 ACCEPT udp -- anywhere anywhere udp dpt:mysql 7 ACCEPT tcp -- anywhere anywhere tcp dpt:81 8 ACCEPT udp -- anywhere anywhere udp dpt:81 9 ACCEPT tcp -- anywhere anywhere tcp dpt:11211 10 ACCEPT udp -- anywhere anywhere udp dpt:11211 11 ACCEPT tcp -- anywhere anywhere tcp dpt:11212 12 ACCEPT udp -- anywhere anywhere udp dpt:11212
然后删除：
iptables -D ufw-user-input 7
iptables -D ufw-user-input 8
三、访问回环地址和访问外部网络
iptables -I INPUT -i lo -j ACCEPT ；-i 对应的网卡
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
四、只允许某IP可以访问某端口
iptables -t filter -I INPUT -p tcp -s 1.1.1.1 --dport 80 -j ACCEPT iptables -t filter -I INPUT -p tcp -s 1.1.1.1 --dport 22 -j ACCEPT iptables -t filter -I INPUT -p tcp -s 1.1.1.1 --dport 10:21 -j ACCEPT
注意：进行iptables操作时要允许本机连接22端口，否则可能会失去对服务器控制。
