iptables详解（四）：iptables匹配条件总结之一
之前的示例中，我们只使用过一种匹配条件，就是将"源地址"作为匹配条件。那么这篇文章中，我们就来了解一下更多的匹配条件，以及匹配条件的更多用法。
匹配条件的更多用法
使用-s选项作为匹配条件，可以匹配报文的源地址，但是之前的示例中，我们每次指定源地址，都只是指定单个IP，示例如
我们也可以在指定源地址时，一次指定多个，用"逗号"隔开即可，示例如下。
可以看出，上例中，一次添加了两条规则，两条规则只是源地址对应的IP不同，注意，上例中的"逗号"两侧均不能包含空格，多个IP之间必须与逗号相连。
除了能指定具体的IP地址，还能指定某个网段，示例如下
上例表示，如果报文的源地址IP在192.168..0.0/24网段内，当报文经过INPUT链时就会被DROP掉。
其实，我们还可以对匹配条件取反，先看示例，如下。
上图中，使用"! -s 192.168.15.131"表示对 -s 192.168.15.131这个匹配条件取反， -s 192.168.15.131表示报文源IP地址为192.168.15.131即可满足匹配条件，使用 "!" 取反后则表示，报文源地址IP只要不为192.168.15.131即满足条件，那么，上例中规则表达的意思就是，只要发往本机的报文的源地址不是192.168.15.131，就接受报文。此刻，你猜猜，按照上例中的配置，如果此时从132上向防火墙所在的主机发送ping请求
匹配条件：目标IP地址
除了可以通过-s选项指定源地址作为匹配条件，我们还可以使用-d选项指定"目标地址"作为匹配条件。
源地址表示报文从哪里来，目标地址表示报文要到哪里去。
上例表示只丢弃从131发往132这个IP的报文，但是131发往别的IP的报文并不会被丢弃，如果我们不指定任何目标地址，则目标地址默认为0.0.0.0/0，同理，如果我们不指定源地址，源地址默认为0.0.0.0/0，0.0.0.0/0表示所有IP，示例如下。
与-s选项一样，-d选项也可以使用"叹号"进行取反，也能够同时指定多个IP地址，使用"逗号"隔开即可。
但是请注意，不管是-s选项还是-d选项，取反操作与同时指定多个IP的操作不能同时使用。
匹配条件：协议类型
我们可以使用-p选项，指定需要匹配的报文的协议类型。
假设，我们只想要拒绝来自131的tcp类型的请求，那么可以进行如下设置
上图中，防火墙拒绝了来自131的tcp报文发往132这个IP，那么我们来测试一下，我们在131上使用ssh连接132这个IP试试（ssh协议的传输层协议属于tcp协议类型）
显示不能连接
如上图所示，ssh连接被拒绝了，那么我们使用ping命令试试 (ping命令使用icmp协议)，看看能不能ping通132。
可以看到，PING命令可以ping通132，证明icmp协议并没有被规则匹配到，只有tcp类型的报文被匹配到了。
那么，-p选项都支持匹配哪些协议呢？我们总结一下
centos6中，-p选项支持如下协议类型
tcp, udp, udplite, icmp, esp, ah, sctp
centos7中，-p选项支持如下协议类型
tcp, udp, udplite, icmp, icmpv6,esp, ah, sctp, mh
当不使用-p指定协议类型时，默认表示所有类型的协议都会被匹配到，与使用-p all的效果相同。
匹配条件：网卡接口
当本机有多个网卡时，我们可以使用 -i 选项去匹配报文是通过哪块网卡流入本机的。
我们先动手做个小例子，对-i选项有一个初步的了解以后，再结合理论去看。
当前主机的网卡为ens33，如下图
假设想要拒绝由网卡ens33流入的ping请求报文，则可以进行如下设置。
下图查看无法ping通
图中，使用-i选项，指定网卡名称，使用-p选项，指定了需要匹配的报文协议类型，上例表示丢弃由ens33网卡流入的icmp类型的报文。
-i选项是用于匹配报文流入的网卡的，也就是说，从本机发出的报文是不可能会使用到-i选项的，因为这些由本机发出的报文压根不是从网卡流入的，而是要通过网卡发出的，从这个角度考虑，-i选项的使用是有限制的。
既然-i选项是用于判断报文是从哪个网卡流入的，那么，-i选项只能用于上图中的PREROUTING链、INPUT链、FORWARD链，这是-i选项的特殊性，因为它只是用于判断报文是从哪个网卡流入的，所以只能在上图中"数据流入流向"的链中与FORWARD链中存在，而上图中的"数据发出流向"经过的链中，是不可能使用-i选项的，比如上图中的OUTPUT链与POSTROUTING链，他们都不能使用-i选项。
理解完-i选项，再来理解-o选项就好办了。
当主机有多块网卡时，可以使用-o选项，匹配报文将由哪块网卡流出，没错，-o选项与-i选项是相对的，-i选项用于匹配报文从哪个网卡流入，-o选项用于匹配报文将从哪个网卡流出。
聪明如你，一定想到了，-i选项只能用于PREROUTING链、INPUT链、FORWARD链，那么-o选项只能用于FORWARD链、OUTPUT链、POSTROUTING链。
因为-o选项是用于匹配报文将由哪个网卡"流出"的，所以与上图中的"数据进入流向"中的链没有任何缘分，所以，-o选项只能用于FORWARD链、OUTPUT链、POSTROUTING链中。
看来，FORWARD链属于"中立国"，它能同时使用-i选项与-o选项。
扩展匹配条件
怎样匹配报文的"源端口"与"目标端口"。
不是基本匹配条件的就是扩展匹配条件，这样说好像是句废话，我们可以这样理解，基本匹配条件我们可以直接使用，而如果想要使用扩展匹配条件，则需要依赖一些扩展模块，或者说，在使用扩展匹配条件之前，需要指定相应的扩展模块才行
sshd服务的默认端口为22，当我们使用ssh工具远程连接主机时，默认会连接服务端的22号端口，假设，我们现在想要使用iptables设置一条规则，拒绝来自192.168.15.131的ssh请求，我们就可以拒绝131上的报文能够发往本机的22号端口，这个时候，就需要用到"目标端口"选项。
使用选项--dport可以匹配报文的目标端口，--dport意为destination-port，即表示目标端口。
注意，与之前的选项不同，--dport前有两条"横杠"，而且，使用--dport选项时，必须事先指定了使用哪种协议，即必须先使用-p选项，示例如下
上图中，我们就使用了扩展匹配条件--dport，指定了匹配报文的目标端口，如果外来报文的目标端口为本机的22号端口（ssh默认端口），则拒绝之，而在使用--dport之前，我们使用-m选项，指定了对应的扩展模块为tcp，也就是说，如果想要使用--dport这个扩展匹配条件，则必须依靠某个扩展模块完成，上例中，这个扩展模块就是tcp扩展模块，最终，我们使用的是tcp扩展模块中的dport扩展匹配条件。
扩展匹配条件被使用时，则需要依赖一些扩展模块，或者说，在使用扩展匹配条件之前，需要指定相应的扩展模块才行。
现在你明白了吗？ -m tcp表示使用tcp扩展模块，--dport表示tcp扩展模块中的一个扩展匹配条件，可用于匹配报文的目标端口。
注意，-p tcp与 -m tcp并不冲突，-p用于匹配报文的协议，-m 用于指定扩展模块的名称，正好，这个扩展模块也叫tcp。
我们可以省略-m选项，
当使用-p选项指定了报文的协议时，如果在没有使用-m指定对应的扩展模块名称的情况下，使用了扩展匹配条件， iptables默认会调用与-p选项对应的协议名称相同的模块。
上例中，我们使用-p选项指定了协议名称，使用扩展匹配条件--dport指定了目标端口，在使用扩展匹配条件的时候，如果没有使用-m指定使用哪个扩展模块，iptables会默认使用"-m 协议名"，而协议名就是-p选项对应的协议名，上例中，-p 对应的值为tcp，所以默认调用的扩展模块就为-m tcp，如果-p对应的值为udp，那么默认调用的扩展模块就为-m udp。
有"目标端口"，就有"源端口"，代表"源端口"的扩展匹配条件为--sport
使用--sport可以判断报文是否从指定的端口发出，即匹配报文的源端口是否与指定的端口一致，--sport表示source-port，即表示源端口之意。
因为我们已经搞明白了dport，那么sport我就不再赘述了，示例如下
下图将-j动作改为DROP，本机ssh192.168.15.131将不能连接，意思就是经过本机22端口出去的报文全部丢掉
扩展匹配条件是可以取反的，同样是使用"!"进行取反，比如 "! --dport 22"，表示目标端口不是22的报文将会被匹配到。
不管是--sport还是--dsport，都能够指定一个端口范围，比如，--dport 22:25表示目标端口为22到25之间的所有端口，即22端口、23端口、24端口、25端口，示例如下
也可以写成如下图中的模样，下图中第一条规则表示匹配0号到22号之间的所有端口，下图中的第二条规则表示匹配80号端口以及其以后的所有端口（直到65535）。
借助tcp扩展模块的--sport或者--dport都可以指定一个连续的端口范围，但是无法同时指定多个离散的、不连续的端口，如果想要同时指定多个离散的端口，需要借助另一个扩展模块，"multiport"模块。
我们可以使用multiport模块的--sports扩展条件同时指定多个离散的源端口。
我们可以使用multiport模块的--dports扩展条件同时指定多个离散的目标端口。
上图中的-m multiport是不能省略的，如果你省略了-m multiport，就相当于在没有指定扩展模块的情况下，使用了扩展条件（"--dports"），那么上例中，iptables会默认调用"-m tcp"，但是，"--dports扩展条件"并不属于"tcp扩展模块",而是属于"multiport扩展模块"，所以，这时就会报错。
综上所述，当使用--dports或者--sports这种扩展匹配条件时，必须使用-m指定模块的名称。
其实，使用multiport模块的--sports与--dpors时，也可以指定连续的端口范围，并且能够在指定连续的端口范围的同时，指定离散的端口号，示例如下。
不过需要注意，multiport扩展只能用于tcp协议与udp协议，即配合-p tcp或者-p udp使用。
基本匹配条件总结
-s用于匹配报文的源地址,可以同时指定多个源地址，每个IP之间用逗号隔开，也可以指定为一个网段。
#示例如下
iptables -t filter -I INPUT -s 192.168.1.111,192.168.1.118 -j DROP
iptables -t filter -I INPUT -s 192.168.1.0/24 -j ACCEPT
iptables -t filter -I INPUT ! -s 192.168.1.0/24 -j ACCEP
-d用于匹配报文的目标地址,可以同时指定多个目标地址，每个IP之间用逗号隔开，也可以指定为一个网段
#示例如下
iptables -t filter -I OUTPUT -d 192.168.1.111,192.168.1.118 -j DROP
iptables -t filter -I INPUT -d 192.168.1.0/24 -j ACCEPT
iptables -t filter -I INPUT ! -d 192.168.1.0/24 -j ACCEPT
-p用于匹配报文的协议类型,可以匹配的协议类型tcp、udp、udplite、icmp、esp、ah、sctp等（centos7中还支持icmpv6、mh）。
#示例如下
iptables -t filter -I INPUT -p tcp -s 192.168.1.146 -j ACCEPT
iptables -t filter -I INPUT ! -p udp -s 192.168.1.146 -j ACCEPT
-i用于匹配报文是从哪个网卡接口流入本机的，由于匹配条件只是用于匹配报文流入的网卡，所以在OUTPUT链与POSTROUTING链中不能使用此选项。
#示例如下
iptables -t filter -I INPUT -p icmp -i eth4 -j DROP
iptables -t filter -I INPUT -p icmp ! -i eth4 -j DROP
-o用于匹配报文将要从哪个网卡接口流出本机，于匹配条件只是用于匹配报文流出的网卡，所以在INPUT链与PREROUTING链中不能使用此选项
#示例如下
iptables -t filter -I OUTPUT -p icmp -o eth4 -j DROP
iptables -t filter -I OUTPUT -p icmp ! -o eth4 -j DROP
扩展匹配条件总结
tcp扩展模块
常用的扩展匹配条件如下：
-p tcp -m tcp --sport 用于匹配tcp协议报文的源端口，可以使用冒号指定一个连续的端口范围
-p tcp -m tcp --dport 用于匹配tcp协议报文的目标端口，可以使用冒号指定一个连续的端口范围
#示例如下
iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp --sport 22 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 22:25 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport :22 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 80: -j REJECT
iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp ! --sport 22 -j ACCEPT
multiport扩展模块
常用的扩展匹配条件如下：
-p tcp -m multiport --sports 用于匹配报文的源端口，可以指定离散的多个端口号,端口之间用"逗号"隔开
-p udp -m multiport --dports 用于匹配报文的目标端口，可以指定离散的多个端口号，端口之间用"逗号"隔开
#示例如下
iptables -t filter -I OUTPUT -d 192.168.1.146 -p udp -m multiport --sports 137,138 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 22,80 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport ! --dports 22,80 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 80:88 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 22,80:88 -j REJECT
