linux 端口操作整理（iptables常用命令的使用）

debian: 操作

https://wiki.debian.org/iptables

 

语法：

iptables (选项) (参数)

iptables命令选项输入顺序：

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

参数说明：

表名包括：

• raw：高级功能，如：网址过滤。
• mangle：数据包修改（QOS），用于实现服务质量。
• net：地址转换，用于网关路由器。
• filter：包过滤，用于防火墙规则。 

选项：

-A：向规则链中添加条目；

    -D：从规则链中删除条目；

    -I：向规则链中插入条目；

    -R：替换规则链中的条目；

    -L：显示规则链中已有的条目；

    -F：清除规则链中已有的条目；

    -Z：清空规则链中的数据包计算器和字节计数器；

    -N：创建新的用户自定义规则链；

    -P：定义规则链中的默认目标；

    -h：显示帮助信息；

    -p：指定要匹配的数据包协议类型；

    -s：指定要匹配的数据包源ip地址；

    -j<目标>：指定要跳转的目标；

    -i<网络接口>：指定数据包进入本机的网络接口；

    -o<网络接口>：指定数据包要离开本机所使用的网络接口。

规则链名包括：

• INPUT链：处理输入数据包。
• OUTPUT链：处理输出数据包。
• PORWARD链：处理转发数据包。
• PREROUTING链：用于目标地址转换（DNAT）。
• POSTOUTING链：用于源地址转换（SNAT）。

动作包括：

• ACCEPT：接收数据包。

• DROP：丢弃数据包。

• REDIRECT：重定向、映射、透明代理。

• SNAT：源地址转换。

• DNAT：目标地址转换。

• MASQUERADE：IP伪装（NAT），用于ADSL。

• LOG：日志记录。

规则配置：

#配置，禁止进，允许出，允许回环网卡
iptables -P INPUT DROP
iptables -A OUTPUT -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
#允许ping
iptables -A INPUT -p icmp -j ACCEPT
#允许ssh
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#允许ftp
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
#允许ftp被动接口范围，在ftp配置文件里可以设置
iptables -A INPUT -p tcp --dport 20000:30000 -j ACCEPT
#学习felix，把smtp设成本地
iptables -A INPUT -p tcp -m tcp --dport 25 -j ACCEPT -s 127.0.0.1
iptables -A INPUT -p tcp -m tcp --dport 25 -j REJECT
#允许DNS
iptables -A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 53 -j ACCEPT
#允许http和https
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
#允许已建立的或相关连的通行
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#禁止其他未允许的规则访问
iptables -A INPUT -j REJECT #（注意：如果22端口未加入允许规则，SSH链接会直接断开。）
iptables -A FORWARD -j REJECT

参考资料：

https://www.cnblogs.com/hellxz/p/9688044.html
https://www.cnblogs.com/liun1994/p/6566670.html
https://www.cnblogs.com/chris-cp/p/4829690.html