CentOS 6 iptables 防火墙设置
CentOS 6 防火墙
本人使用的是CentOS 6.5 64bit 版本，如果是CentOS 7 以上版本请查看：
https://blog.csdn.net/dling8/article/details/87359821
一、设置防火墙
1.防火墙配置文件
a 编辑配置文件
vim /etc/sysconfig/iptables b 文件内容，可在文件中添加相应的配置，开放一些端口，以及端口转发等
----------------------------------中间为iptables文件内容-------------------------------------------
# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8000:20000 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
----------------------------------中间为iptables文件内容-------------------------------------------
2.常用命令
开机启动：chkconfig iptables on
开机关闭：chkconfig iptables off
查看防火墙状态：service iptables status
启动防火墙服务：service iptables start
关闭防火墙服务：service iptables stop
重启防火墙服务：service iptables restart
保存配置：service iptables save //在使用iptables命令添加/删除时,需要用到此命令。若直接编辑/etc/sysconfig/iptables文件，则不需要。3.开放端口
a 修改配置文件 /etc/sysconfig/iptables
开放80端口：
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT开放8000-20000范围内的端口：
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8000:20000 -j ACCEPT b 使用命令添加（添加使用 -A 插入使用 -I 删除使用 -D）
开放80端口：
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT开放8000-20000范围内的端口：
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8000:20000 -j ACCEPT注意：使用命令修改时需要保存
service iptables save注意：修改后需要重启防火墙
service iptables restart
二、端口转发
a 同端口转发：
iptables -t nat -A PREROUTING -p tcp --dport [端口号] -j DNAT --to-destination [目标IP]
iptables -t nat -A PREROUTING -p udp --dport [端口号] -j DNAT --to-destination [目标IP]
iptables -t nat -A POSTROUTING -p tcp -d [目标IP] --dport [端口号] -j SNAT --to-source [本地服务器IP]
iptables -t nat -A POSTROUTING -p udp -d [目标IP] --dport [端口号] -j SNAT --to-source [本地服务器IP]
b 非同端口转发：使用本地服务器的 8001 端口来转发目标 IP 为 目标服务器 的 9001 端口（其中/32可以不加）
iptables -t nat -A PREROUTING -p tcp --dport 8001 -j DNAT --to-destination [目标服务器IP]:9001
iptables -t nat -A PREROUTING -p udp --dport 8001 -j DNAT --to-destination [目标服务器IP]:9001
iptables -t nat -A POSTROUTING -d [目标服务器IP]/32 -p tcp -m tcp --dport 9001 -j SNAT --to-source [本地服务器IP]
iptables -t nat -A POSTROUTING -d [目标服务器IP]/32 -p udp -m udp --dport 9001 -j SNAT --to-source [本地服务器IP]c 多端口转发：将本地服务器的 8000~9000 转发至目标 IP 为 目标服务器 的 8000~9000 端口
iptables -t nat -A PREROUTING -p tcp --dport 8000:9000 -j DNAT --to-destination [目标服务器IP]
iptables -t nat -A PREROUTING -p udp --dport 8000:9000 -j DNAT --to-destination [目标服务器IP]
iptables -t nat -A POSTROUTING -d [目标服务器IP] -p tcp --dport 8000:9000 -j SNAT --to-source [本地服务器IP]
iptables -t nat -A POSTROUTING -d [目标服务器IP] -p udp --dport 8000:9000 -j SNAT --to-source [本地服务器IP]d 本机端口转发
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080其中 -t nat 必须加上，否则报错：iptables: No chain/target/match by that name.
加上 -t nat 后，添加的规则并不在文件 /etc/sysconfig/iptables 中，所以如果你发现该文件中没有刚添加的配置，不用担心。
保存，重启服务
service iptables save
service iptables restart例如：本机172.16.0.4的10080端口 转发到 121.196.223.183的80端口
先使用命令：ifconfig，找到本机的ip地址(内网)：172.16.0.4，然后执行下面的命令：
iptables -t nat -A PREROUTING -p tcp --dport 10080 -j DNAT --to-destination 121.196.223.183:80
iptables -t nat -A POSTROUTING -p tcp -d 121.196.223.183 --dport 80 -j SNAT --to-source 172.16.0.4
service iptables save //保存，如果不保存，重启防火墙后还是没有添加上
service iptables restart //重启防火墙
service iptables status //查看防火墙状态
如果添加错误了，可以使用删除或替换命令，二者选一：
1.删除第1条，删除后重新添加就可以了
iptables -t nat -D PREROUTING 12.替换第1条
iptables -t nat -R POSTROUTING 1 -p tcp -d 121.196.223.183 --dport 10869 -j SNAT --to-source 172.16.0.4