1、下面是我的伺服器/etc/sysconfig/iptables正常的配置，對每一行進行講解 *filter :INPUT ACCEPT [0:0] #該規則表示INPUT表預設策略是ACCEPT，Input: 就是接入本機地址的資料，說白了就是設定別人可以訪問我的那些埠的鏈。舉一個例子：本機開啟了ftp服務，有一個客戶端連線下載ftp資料，那麼這個連線在Input鏈可以進行控制。 :FORWARD ACCEPT [0:0] #該規則表示FORWARD表預設策略是ACCEPT，Forward:是轉發鏈。如果你的機器處於閘道器地址，那麼你可以代理內部網路的機器上Internet的引數就在這裡設定。 :OUTPUT ACCEPT [0:0] #該規則表示OUTPUT表預設策略是ACCEPT，Output:就是從本機出去的資料，就是允許本機出去的埠。例如我可以在Output鏈設定我可以訪問那些地址和那些埠。

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #對於已經建立連線的資料，是允許訪問的 -A INPUT -p icmp -j ACCEPT #允許icmp協議的訪問，主要就是ping -A INPUT -i lo -j ACCEPT #接受本地的所有請求 -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT #允許22埠被外部訪問 -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited # 上面兩條的意思是在INPUT表和FORWARD表中拒絕所有其他不符合上述任何一條規則的資料包。並且傳送一條host prohibited的訊息給被拒絕的主機。 COMMIT

2、iptables -A 規則鏈 -i 網路介面 -j 對資料的操作

   -A:指定需要新增規則的規則鏈

   -i：指定資料包流入的網路介面
   -p：資料包的協議

   -j：對資料包的處理。ACCEPT/DROP

-s：指定作為源地址匹配，這裡不能指定主機名稱，必須是IP             IP | IP/MASK | 0.0.0.0/0.0.0.0            而且地址可以取反，加一個“!”表示除了哪個IP之外

例如：在INPUT鏈中新增規則，允許eth0介面中來自192.168.1.0/24的所有資料包

#iptables -A INPUT -i eht0 -s 192.168.1.0/24 -j ACCEPT

3、-m:附加模組

按包狀態匹配（state）
按來源MAC 匹配（mac）
按包速率匹配（limit）

多埠匹配（multiport）
state狀態：
-m state --state 狀態
狀態：NEW、RELATED、ESTABLISHED、INVALID
NEW：有別於tcp 的syn
ESTABLISHED：連線態
RELATED：衍生態，與conntrack 關聯（FTP）
INVALID：不能被識別屬於哪個連線或沒有任何狀態

指定要匹配包的的狀態，當前有4種狀態可用：INVALID，ESTABLISHED，NEW和RELATED。 INVALID意味著這個包沒有已知的流或連線與之關聯，也可能是它包含的資料或包頭有問題。ESTABLISHED意思是包是完全有效的，而且屬於一個已建立的連線，這個連線的兩端都已經有資料傳送。NEW表示包將要或已經開始建立一個新的連線，或者是這個包和一個還沒有在兩端都有資料傳送的連線有關。RELATED說明包正在建立一個新的連線，這個連線是和一個已建立的連線相關的。比如，FTP data transfer，ICMP error 和一個TCP或UDP連線相關。注意NEW狀態並不在試圖建立新連線的TCP包裡尋找SYN標記，因此它不應該不加修改地用在只有一個防火牆或在不同的防火牆之間沒有啟用負載平衡的地方。

4、允許21137埠被訪問： -A INPUT -m state --state NEW -m tcp -p tcp --dport 21137 -j ACCEPT 問：-m tcp代表什麼？ 答：你在使用 -p tcp 的時候，需要告訴核心需要載入 tcp 模組
就好比你使用 --state 引數需要載入 state 模組一個道理
只不過 netfilter 和 iptables 已經把 tcp、udp、icmp 這些模組整合進去了，所以不用單獨指定，但為了嚴謹 iptables-save 的時候還是會顯示出來
-p tcp是指按照tcp協議操作
-m tcp是指裝入tcp的協議 5、通過iptables限制9889埠的訪問（只允許192.168.1.201、192.168.1.202、192.168.1.203）,其他ip都禁止訪問
iptables -I INPUT -p tcp --dport 9889 -j DROP #對9889的所有埠的訪問進行拒絕
iptables -I INPUT -s 192.168.1.201 -p tcp --dport 9889 -j ACCEPT 
iptables -I INPUT -s 192.168.1.202 -p tcp --dport 9889 -j ACCEPT
iptables -I INPUT -s 192.168.1.203 -p tcp --dport 9889 -j ACCEPT