2. 程式人生 > >25個iptables常用示例

25個iptables常用示例

阿新 • • 發佈：2018-11-22
eth 外部網絡 prefix packet 如果 accept 數據庫 特定 state

本文將給出25個iptables常用規則示例，這些例子為您提供了些基本的模板，您可以根據特定需求對其進行修改調整以達到期望。

格式

iptables [-t 表名] 選項 [鏈名] [條件] [-j 控制類型]

參數

-P 設置默認策略:iptables -P INPUT (DROP|ACCEPT)
-F 清空規則鏈
-L 查看規則鏈
-A 在規則鏈的末尾加入新規則
-I num 在規則鏈的頭部加入新規則
-D num 刪除某一條規則
-s 匹配來源地址IP/MASK，加嘆號”!”表示除這個IP外。
-d 匹配目標地址
-i 網卡名稱 匹配從這塊網卡流入的數據
-o 網卡名稱 匹配從這塊網卡流出的數據
-p 匹配協議,如tcp,udp,icmp
–dport num 匹配目標端口號
–sport num 匹配來源端口號

示例

1. 刪除已有規則

在開始創建iptables規則之前，你也許需要刪除已有規則。命令如下：

iptables -F
(or)
iptables –flush

2.設置鏈的默認策略

鏈的默認政策設置為”ACCEPT”（接受），若要將INPUT,FORWARD,OUTPUT鏈設置成”DROP”（拒絕），命令如下：

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

當INPUT鏈和OUTPUT鏈都設置成DROP時，對於每一個防火墻規則，我們都應該定義兩個規則。例如：一個傳入另一個傳出。在下面所有的例子中，由於我們已將DROP設置成INPUT鏈和OUTPUT鏈的默認策略，每種情況我們都將制定兩條規則。當然，如果你相信你的內部用戶,則可以省略上面的最後一行。例如：默認不丟棄所有出站的數據包。在這種情況下,對於每一個防火墻規則要求,你只需要制定一個規則——只對進站的數據包制定規則。

3. 阻止指定IP地址

例：丟棄來自IP地址x.x.x.x的包

BLOCK_THIS_IP="x.x.x.x"
iptables -A INPUT -s "$BLOCK_THIS_IP" -j DROP

註：當你在log裏發現來自某ip地址的異常記錄，可以通過此命令暫時阻止該地址的訪問以做更深入分析

例：阻止來自IP地址x.x.x.x eth0 tcp的包

iptables -A INPUT -i eth0 -s "$BLOCK_THIS_IP" -j DROP
iptables -A INPUT -i eth0 -p tcp -s "$BLOCK_THIS_IP" -j DROP

4. 允許所有SSH的連接請求

例：允許所有來自外部的SSH連接請求，即只允許進入eth0接口，並且目標端口為22的數據包

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

5. 僅允許來自指定網絡的SSH連接請求

例：僅允許來自於192.168.100.0/24域的用戶的ssh連接請求

iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

6.允許http和https的連接請求

例：允許所有來自web – http的連接請求

iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

例：允許所有來自web – https的連接請求

iptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT

7. 使用multiport 將多個規則結合在一起

允許多個端口從外界連入，除了為每個端口都寫一條獨立的規則外，我們可以用multiport將其組合成一條規則。如下所示：

例：允許所有ssh,http,https的流量訪問

iptables -A INPUT -i eth0 -p tcp -m multiport --dports 22,80,443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp -m multiport --sports 22,80,443 -m state --state ESTABLISHED -j ACCEPT

8. 允許從本地發起的SSH請求

iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

請註意,這與允許ssh連入的規則略有不同。本例在OUTPUT鏈上，我們允許NEW和ESTABLISHED狀態。在INPUT鏈上，我們只允許ESTABLISHED狀態。ssh連入的規則與之相反。

9. 僅允許從本地發起到一個指定的網絡域的SSH請求

例：僅允許從內部連接到網域192.168.100.0/24

iptables -A OUTPUT -o eth0 -p tcp -d 192.168.100.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

10. 允許從本地發起的HTTPS連接請求

下面的規則允許輸出安全的網絡流量。如果你想允許用戶訪問互聯網，這是非常有必要的。在服務器上，這些規則能讓你使用wget從外部下載一些文件

iptables -A OUTPUT -o eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT

註：對於HTTP web流量的外聯請求，只需要將上述命令中的端口從443改成80即可。

11. 負載平衡傳入的網絡流量

使用iptables可以實現傳入web流量的負載均衡，我們可以傳入web流量負載平衡使用iptables防火墻規則。
例：使用iptables nth將HTTPS流量負載平衡至三個不同的ip地址。

iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.101:443
iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 1 -j DNAT --to-destination 192.168.1.102:443
iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 2 -j DNAT --to-destination 192.168.1.103:443

12. 允許外部主機ping內部主機

iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT

13. 允許內部主機ping外部主機

iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT

14. 允許回環訪問

例：在服務器上允許127.0.0.1回環訪問。

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

15. 允許內部網絡域外部網絡的通信

防火墻服務器上的其中一個網卡連接到外部，另一個網卡連接到內部服務器，使用以下規則允許內部網絡與外部網絡的通信。此例中，eth1連接到外部網絡(互聯網)，eth0連接到內部網絡(例如:192.168.1.x)。

iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

16. 允許出站的DNS連接

iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT
iptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT

17. 允許NIS連接

如果你使用NIS管理用戶帳戶，你需要允許NIS連接。如果你不允許NIS相關的ypbind連接請求，即使SSH連接請求已被允許，用戶仍然無法登錄。NIS的端口是動態的，先使用命令rpcinfo –p來知道端口號，此例中為853和850端口。

rpcinfo -p | grep ypbind

例：允許來自111端口以及ypbind使用端口的連接請求

iptables -A INPUT -p tcp --dport 111 -j ACCEPT
iptables -A INPUT -p udp --dport 111 -j ACCEPT
iptables -A INPUT -p tcp --dport 853 -j ACCEPT
iptables -A INPUT -p udp --dport 853 -j ACCEPT
iptables -A INPUT -p tcp --dport 850 -j ACCEPT
iptables -A INPUT -p udp --dport 850 -j ACCEPT

註：當你重啟ypbind之後端口將不同，上述命令將無效。有兩種解決方案：1）使用你NIS的靜態IP 2）編寫shell腳本通過“rpcinfo – p”命令自動獲取動態端口號,並在上述iptables規則中使用。

18. 允許來自指定網絡的rsync連接請求

例：允許來自網絡192.168.101.0/24的rsync連接請求

iptables -A INPUT -i eth0 -p tcp -s 192.168.101.0/24 --dport 873 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 873 -m state --state ESTABLISHED -j ACCEPT

19. 允許來自指定網絡的MySQL連接請求

很多情況下，MySQL數據庫與web服務跑在同一臺服務器上。有時候我們僅希望DBA和開發人員從內部網絡（192.168.100.0/24）直接登錄數據庫，可嘗試以下命令：

iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 3306 -m state --state ESTABLISHED -j ACCEPT

20. 允許Sendmail, Postfix郵件服務

Sendmail和postfix都使用了25端口，因此我們只需要允許來自25端口的連接請求即可。

iptables -A INPUT -i eth0 -p tcp --dport 25 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT

允許本機postfix服務器與外界通信：

iptables -A OUTPUT -p tcp --dport 25 -j ACCEPT

iptables -A INPUT -p tcp --sport 25 -j ACCEPT

21. 允許IMAP和IMAPS

例：允許IMAP/IMAP2流量，端口為143

iptables -A INPUT -i eth0 -p tcp --dport 143 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 143 -m state --state ESTABLISHED -j ACCEPT

例：允許IMAPS流量，端口為993

iptables -A INPUT -i eth0 -p tcp --dport 993 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 993 -m state --state ESTABLISHED -j ACCEPT

22. 允許POP3和POP3S

例：允許POP3訪問

iptables -A INPUT -i eth0 -p tcp --dport 110 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPT

例：允許POP3S訪問

iptables -A INPUT -i eth0 -p tcp --dport 995 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 995 -m state --state ESTABLISHED -j ACCEPT

23. 防止DoS攻擊

iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT

上述例子中：
-m limit: 啟用limit擴展
–limit 25/minute: 允許最多每分鐘25個連接（根據需求更改）。
–limit-burst 100: 只有當連接達到limit-burst水平(此例為100)時才啟用上述limit/minute限制。

24. 端口轉發

例：將來自422端口的流量全部轉到22端口。

這意味著我們既能通過422端口又能通過22端口進行ssh連接。啟用DNAT轉發。

iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 --dport 422 -j DNAT --to 192.168.102.37:22

除此之外，還需要允許連接到422端口的請求

iptables -A INPUT -i eth0 -p tcp --dport 422 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 422 -m state --state ESTABLISHED -j ACCEPT

補充：

sed -i s/IPTABLES_MODULES=\"\"/IPTABLES_MODULES="\"ip_nat_ftp ip_conntrack ip_conntrack_ftp\""/ /etc/sysconfig/iptables-config

service iptables restart

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -P INPUT -j DROP
iptables -P OUTPUT -j DROP
iptables -P FORWARD -j DROP


iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT


丟棄 Fragments 碎片數據包 (碎片數據包攻擊的後果: 可能導致正常數據包丟失)
iptables -A INPUT -f -j DROP

防止 SYN 洪水攻擊 (限制的速度根據自身情況調整)iptables -A INPUT -p tcp --syn -m state --state NEW -m limit --limit 100/second --limit-burst 300 -j ACCEPT
丟棄異常的 XMAS 數據包 (異常的 XMAS 數據包攻擊的後果: 可能導致某些系統崩潰)iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
iptables -A INPUT-p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP丟棄 NULL 空數據包iptables -A INPIT -p tcp --tcp-flags ALL NONE -j DROP丟棄無效數據包
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A OUTPUT -m state --state INVALID -j DROP防止各種端口掃描
iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPTiptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p ucp --sport 53 -j ACCEPT

25. 記錄丟棄的數據表

第一步：新建名為LOGGING的鏈

iptables -N LOGGING

第二步：將所有來自INPUT鏈中的數據包跳轉到LOGGING鏈中

iptables -A INPUT -j LOGGING

第三步：為這些包自定義個前綴，命名為”IPTables Packet Dropped”

iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables Packet Dropped: " --log-level 7

第四步：丟棄這些數據包

iptables -A LOGGING -j DROP

25個iptables常用示例

相關推薦

25個iptables常用示例

eth 外部網絡 prefix packet 如果 accept 數據庫 特定 state 本文將給出25個iptables常用規則示例，這些例子為您提供了些基本的模板，您可以根據特定需求對其進行修改調整以達到期望。 格式 iptables [-t 表名] 選項 [鏈名]

常用linux iptables 25個規則

# 1. 刪除所有現有規則 iptables -F # 2. 設定預設的 chain 策略 iptables -P INPUT DROP iptables -P FORWARD DROP iptables

【轉】25個常用的Linux iptables規則

1. 刪除所有現有規則 iptables -F 2. 設定預設的 chain 策略 iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP 3. 阻止某個特定的 IP 地址

25個常用的防火牆規則之iptables

本文將給出25個iptables常用規則示例，這些例子為您提供了些基本的模板，您可以根據特定需求對其進行修改調整以達到期望。  格式 iptables [-t 表名] 選項 [鏈名] [條件] [-j 控制型別] 引數 -P 設定預設策略:iptabl

Linux防火牆管理工具iptables常用引數及用法示例

Linux防火牆iptables策略與規則連 防火牆是由上而下的順序來讀取配置的策略規則，策略規則的設定有兩種：通（放行）、堵（阻止）。當預設策略設定為通時，就要設定拒絕規則，當預設策略為堵時，則要設定允許規則。 iptables服務把用於處理或過濾流量的策略條目稱為規則，多條規則組成一個規則鏈，規則連依

25個常用的linux基礎命令

1.  Xargs用法詳解 由於很多命令不支援|管道來傳遞引數，而日常工作中有有這個必要，所以就有了xargs命令，例如： find /sbin -perm +700 |ls -l       這個

終於有人總結Spring Boot最常用的25個註解，乾貨瞭解一下！

1、@SpringBootApplication 這是 Spring Boot 最最最核心的註解，用在 Spring

25個Linux相關的網站

sys 3年 相關 article 命令行操作 初識 廣泛 lis pro 下面是25個最具有影響力，也是最重要的Linux網站，這些網站提供了Linux的分發包，軟件，文件，新聞，以及其它所有的關於Linux的東西。關於Linux的分發包歷史，可以看看本站的這篇文章《Li

iptables 常用命令

iptables 源地址 eth pos port dport lin 0.10 mtu iptables service iptables save \\保存 iptables -F \\清空所有規則 iptables -F -t nat \\清空nat表

iOS開發之Runtime常用示例總結

開發一、構建Runtime測試用例本篇博客的內容是依托於實例的，所以我們在本篇博客中先構建我們的測試類，Runtime將會對該類進行相關的操作。下方就是本篇博客所涉及Demo的目錄，上面的RuntimeKit類是講Runtime常用的功能進行了簡單的封裝，而下方的TestClass以及相關的類目就是我們Run

25類Android常用開源框架

視頻 from rod gen map cli 崩潰報告 進行 ase 1、圖片加載，緩存，處理 框架名稱功能描述 Android Universal Image Loader 一個強大的加載，緩存，展示圖片的庫，已過時 Picasso 一個強大的圖片下載與緩

19 個 JavaScript 常用的簡寫技術

程序設計 javascript 印度人 1.三元操作符當想寫if...else語句時，使用三元操作符來代替。const x = 20;let answer;if (x > 10) { answer = ‘is greater‘;} else { answer = ‘is lesser‘;}簡

成為Java高手的25個學習要點

cmp javabean earch sre sdp cin bmp jvm 程序 　　　　　　　　　　　　　　　成為Java高手的25個學習要點 想成為Java大牛嗎?不妨來學習這25個要點。1. 你需要精通面向對象分析與設計(OOA/OOD)、涉及模式(GOF，J2EE

神經網絡，25個術語

產生 濾波 war 這也 術語 rec 周期表 ren 多層 從神經網絡說起：深度學習初學者不可不知的25個術語和概念（上） http://www.36dsj.com/archives/85406 1，神經元；2，權重；3，偏置:用來改變輸入的範圍。4，激活函數f(x)：

25 個最基本的 JavaScript 面試問題及答案

tolower 包括 插入 mozilla ldr fis 為什麽 bin ger 1.使用 typeof bar === "object" 來確定 bar 是否是對象的潛在陷阱是什麽？如何避免這個陷阱？ 盡管 typeof bar === "object" 是檢查

25個最基本的JavaScript面試問題及答案

list() foreach 函數塊 code 不存在 狀態 遞歸 例如 實現 1.使用 typeof bar === "object" 來確定 bar 是否是對象的潛在陷阱是什麽？如何避免這個陷阱？ 盡管 typeof bar === "object" 是檢查 bar 是

iptables 常用操作

防火墻 iptables 一、iptables默認配置 Centos 6.5 中iptables的默認設置： ~~~~~~~~~~~~~~~~~~~~~ :INPUT ACCEPT [0:0]# 該規則表示INPUT表默認策略是ACCEPT:FORWARD ACCEPT [0:0]# 該

KendoUI常用示例匯總（二十）

dwz info dnx .com www jmh ofo .cn lsi wkx16z圓記翹醫前弦http://docstore.docin.com/sina_6367408300gw20b3偉飯鐐憾俾梁http://weibo.com/u/626998893667mlv

轉：25個Java機器學習工具和庫

重點 推薦系統 mine 很多 .sh 分類器 ssi 包括 eve 轉自：http://www.cnblogs.com/data2value/p/5419864.html 本列表總結了25個Java機器學習工具&庫： 1. Weka集成了數據挖掘工作的機器學習算法

幾個yii常用的函數

yii 函數轉向首頁$this->redirect([‘site/index‘])$this->gohome();返回 上一層$this->goBack();刷新$this->refresh();顯示index視圖return $this->render(‘index‘， [‘