Linux防火牆管理工具iptables常用引數及用法示例

iptables 防火牆 Linux · 發表 2018-10-08 19:20:07

摘要： Linux防火牆iptables策略與規則連防火牆是由上而下的順序來讀取配置的策略規則，策略規則的設定有兩種：通（放行）、堵（阻止）。當預設策略設定為通時，就要設定拒絕規則，當預設策略為堵時，則要設定允許規則。 iptables服務把用於處理或過濾流量的策略條目稱為規則，多條規則組成...

防火牆是由上而下的順序來讀取配置的策略規則，策略規則的設定有兩種：通（放行）、堵（阻止）。當預設策略設定為通時，就要設定拒絕規則，當預設策略為堵時，則要設定允許規則。

iptables服務把用於處理或過濾流量的策略條目稱為規則，多條規則組成一個規則鏈，規則連依據資料包處理位置的不同進行分類

在進行路由選擇前處理資料包：PREROUTING

處理流入的資料包：INPUT（此規則使用最多，可增加外網入侵的難度）

處理流出的資料包：OUTPUT

處理轉發的資料包：FORWARD

在進行路由選擇後處理資料包：POSTROUTING

對應的動作，ACCEPT（允許流量通過）、REJECT(j拒絕流量通過）、LOG（記錄日誌資訊）、DROP（丟棄，不響應，傳送方無法判斷是被拒絕）,規則鏈的預設拒接動作只能是DROP

-P（大寫）：設定預設規則

-F：清空規則鏈

-L：檢視規則鏈

-A：在規則連末尾加入新規則

-I：在規則鏈頭部加入新規則

-D num：刪除某一條規則

-j：匹配相對應的動作

-s：匹配來源地址IP/MASK，加" ! "表示除這個IP外

-d：匹配目標地址

-i 網絡卡名稱：匹配從這塊網絡卡流入的資料

-o 網絡卡名稱：匹配從這塊網絡卡流入的資料

-p：匹配協議，如TCP、UDP、ICMP

--dport num：匹配目標埠號

--sport num：匹配來源埠號

1.檢視規則鏈（ iptables -L）

2.清除規則鏈（ iptables -F），再檢視規則鏈，與上圖對比可見規則都被刪除，只有預設策略

3.設定預設策略（ iptables -P），設定INPUT的預設策略為DROP，之前的是ACCEPT

3.向INPUT鏈中新增允許ICMP流量進入策略,ICMP流量和ping命令列為檢測有關，因當前預設策略為DROP，在新增前先使用ping檢測下是否可以ping通

可見100%packet loss,無法ping通本機，再新增允許ICMP流量流入策略，檢視策略，再ping，0%packet loss ,已ping 通本機

iptables -I INPUT -p icmp -j ACCEPT

4.允許指定網段訪問本機的22埠，192.168.1.0/24，22埠與SSH服務有關，測試方法參照SSH使用方法

5.允許所有主機訪問本機的1000~1100埠

6.刪除策略（ iptables -d num）,刪除第二、四條策略

可見第二條策略已不見

可見第四條也不見了

7.使配置防火牆策略永久生效，執行儲存命令,不然的話重啟後會失效

service iptables save

Linux公社的RSS地址： ofollow,noindex" target="_blank">https://www.linuxidc.com/rssFeed.aspx