iptables命令：

iptables [-t table] {-A|-C|-D} chain rule-specification

ip6tables [-t table] {-A|-C|-D} chain rule-specification

iptables [-t table] -I chain [rulenum] rule-specification

iptables [-t table] -R chain rulenum rule-specification

iptables [-t table] -D chain rulenum

iptables [-t table] -S [chain [rulenum]]

iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]

iptables [-t table] -N chain

iptables [-t table] -X [chain]

iptables [-t table] -P chain target

iptables [-t table] -E old-chain-name new-chain-name

iptables [-t table] SUBCOMMAND CHAIN CRETERIA -j TARGET

-t table:

filter ,nat,mangle,raw 默認為filter

鏈管理：

-F ：flush，清空規則鏈：省略鏈表示清空指定表上的所有的鏈

-N：new,創建新的自定義規則鏈：

-X：drop,刪除用戶自定義的空的規則鏈：

-Z：zero，清零，置零規則計數器

-P：policy,為指定鏈設置默認策略，對filter表中的鏈而言，默認策略通常有ACCEPT，DROP，REJECT；

-E：rEname，重命名自定義鏈，引用計數不為0的自定義鏈，無法改名，也無法刪除

規則管理：

-A：append，將新的規則追加與指定鏈的尾部

-I：insert，將新規則插入至指定鏈的指定位置（需指定序號，默認為第一條）：

-D：delete,刪除指定鏈上的指定規則：

兩種指定方式：

1、指定匹配條件

2、指定規則編號

-R：replace，替換指定鏈上的指定規則。

查看：

-L：list,列出指定鏈上的所有規則。

-n:numberic ,以數字格式顯示地址和端口號

-v:verbose,顯示詳細信息

-vv,-vvv

--line-numbers:顯示規則編號

-x：exectly，顯示計數器計數結果的精確值。

匹配條件：

基本匹配：

[!] -s, --src,--source IP|Netaddr:檢查報文中的源ip地址是否符合此處指定的地址範圍

[!] -d，--dst,--destination IP|Netaddr:檢查報文中的目標ip地址是否符合此處指定的地址範圍

-p ,--protocal{tcp|udp|icmp}:檢查報文中的協議，即ip首部中的protocol所標識的協議，8bit，6標識tcp.17表示udp

-i,--in-inteface IFACE :數據報文的流入接口。僅能用於PREROUTING，INPUT，FORWARD鏈

-o,--out-inteface :數據報文的流出接口。僅能用於FORWARD，OUTPUT，POSTROUTING鏈上

擴展匹配：-m macth_name --spec_options

eq： -m tcp --dport 22 表示使用tcp擴展的目標端口為22

隱式擴展：對-p protocal 指明的協議進行擴展，可省略-m選項：

-p tcp

--dport PORT[-PORT]:目標端口，可以是單個端口或者連續多個端口

--sport PORT[-PORT]

--tcp-flags list1 list2 :檢查list1所指明的所有標誌位，且這其中，list2所表示出的所有標記必須為1，而余下的必須為0，沒有list1中指明的，不做檢查。

SYN，ACK，FIN，RST，PSH，URG，

eq:--tcp-flags SYN，ACK，FIN，RST SYN

===== --syn: 檢查三次握手的第一次握手

-p udp

--dport

--sport

-p icmp

--icmp-type

可用數字表示其類型：

0 echo-reply

8 echo-request

顯示擴展：

目標：

-j target:jump至指定的target

ACCEPT：接收

DROP：丟棄

REJECT；拒絕

RETURN：返回調用鏈

REDIRECT：端口重定向

LOG：記錄日誌

MARK：做防火墻標記

DNAT：目標地址轉換

SNAT：源地址轉換

MASQUERADE：地址偽裝

...

自定義鏈：由自定義鏈上的規則進行匹配檢查。

顯示擴展：必須顯示指明使用的擴展模塊（rpm -ql iptables|grep "\.so"）

centos6 man iptables

centos7 man iptbales-extensions

1、multiport擴展

以離散方式定義多端口匹配：最多匹配15個端口

[!] --source-ports,--sports port[,port|,port:port]... 指明多個源端口

[!] --destination-ports,--dports port[,port|,port:port]... 指明多個離散的目標端口

[!] --ports port[,port|,port:port]...

例子： # iptables -A INPUT -p tcp -m multiport --dports 22,80 -j ACCEPT

# iptables -A OUTPUT -p tcp -m multiport --sports 22,80 -j ACCEPT

2、iprange擴展

指明連續的（但一般不能擴展為整個網絡）ip地址範圍

[!] --src-range from[-to] 匹配指明連續的源IP地址範圍

[!] --dst-range from[-to] 指明連續的目標IP地址範圍

# iptables -A INPUT -m iprange --src-range 172.18.11.0-172.18.11.100 -j DROP

# iptables -A INPUT -p tcp -m multiport --dports 22,80 -m iprange --src-range 172.18.11.0-172.18.11.100 -j DROP

3、string擴展

檢查報文中出現的字符串：

--algo {bm|kmp}：

[!] --string pattern

[!] --hex-string pattern 16進制

iptables -I OUTPUT -m string --algo bm --string "movle" -j DROP

4、time擴展

根據報文到達的時間與指定的時間範圍進行匹配

--datestart

--datestop

--timestart

--timestop

--monthdays

--weekdays

# iptables -I INPUT -d 172.18.11.7 -p tcp --dport 80 -m time --timestart 8:00 --timestop 10:00 -j DROP

# 註意 centos7 使用的是UTC時間

5、connlimit擴展

根據每客戶端ip（也可以是地址塊）做並發連接數數量匹配：

--connlimit-above n 連接數量大於n

--connlimit-upto n 連接數量小於等於n

# iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 -j REJECT

# ssh連接大於3後鏈接被拒絕

6、limit擴展

基於收發報文速率做檢查：

令牌桶過濾器：

--limit rate[/second|/minute|/hour|/day]

--limit-burst number

# iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit-burst 5 --limit 6/minute -j ACCEPT

# iptables -A INPUT -p icmp -j REJECT

##跳過5個包，然後沒10秒鐘一個回應一個ping包

7、state擴展

檢查連接追蹤機制檢查連接的狀態：

調整連接追蹤功能所能容納的最大連接數量：

/proc/sys/net/nf_conntrack_max

已經追蹤到並記錄下的連接：

/proc/net/nf_conntrack

不同協議或者連接類型追蹤的時長

/proc/sys/net/netfilter/

可追蹤的連接狀態:

NEW:新發出的請求：連接追蹤模板中不存在此連接相關的信息條目，因此，將其識別為第一次發出的請求

ESTABLISHED：NEW狀態之後，連接追蹤模板中為其建立的條目失效之前期間內所進行的通信的狀態。

RELATED：相關的連接：如ftp協議中的命令連接與數據連接之間的關系

INVALIED：無法識別的連接

--state state1 state2...

例子：

# iptables -I INPUT -d 172.18.11.7 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

# iptables -I OUTPUT -s 172.18.11.7 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

# 對新發起的http和ssh訪問請求做控制，

# iptables -A INPUT -d 172.16.100.10 -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT

# iptables -A OUTPUT -s 172.16.100.10 -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED -j ACCEPT

如何開放被動模式的FTP服務？

(1) 裝載ftp追蹤時專用的模塊

#modprobe nf_conntrack_ftp

路徑 /lib/modules/3.10.0-514.el7.x86_64/kernel/net/netfilternf_conntrack_ftp.ko

模塊信息 modinfo nf_conntrack_ftp.ko

(2) 放行請求報文：

命令連接：NEW，ESTABLISHED

數據連接：RELATED,ESTABLISHED

#iptables -A INPUT -d localIP -p tcp -dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT

# iptables -A INPUT -d localIP -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT

(3) 放行響應報文

ESTABLISHED

#iptables -A OUTPUT -d localIP -p tcp -m state --state ESTABLISHED -j ACCEPT

如何保存及重載規則：

保存規則至指定文件：

iptables-save > /path/to/somefile

從指定文件重載規則：

iptables-restore < /path/from/somefile

centos6:

service iptables save

iptable-save >/etc/sysconfig/iptables

service iptables restart

iptables-restore < /etc/sysconfig/iptables

網絡防火墻：

核心轉發配置：/proc/sys/net/ipv4/ip_forward

/etc/sysctl.conf

net.ipv4.ip_forward=1

nat:

SNAT：只修改請求報文的源地址

DNAT：只修改請求報文的目標地址

nat表：

PREROUTING: DNAT

OUTPUT

POSTROUTING: SNAT

源地址轉換

iptables -t nat -A POSTROUTING -s local_net ! -d local_net -j SNAT --to-source public_ip 公網ip固定

iptables -t nat -A POSTROUTING -s local_net ! -d local_net -j MASQUERADE 公網ip不固定

目標地址轉換 iptables -t nat -A POSTROUTING -d public_ip -p tcp|udp --dport PORT -j DNAT --to-destination local_ip:port