Linux Iptables详解史上最全！

1. iptables介绍
2. iptables的表,链及规则
3. iptables过滤封包流程
4. iptables语法组成
5. iptables操作命令
6. iptables匹配规则
7. iptables动作处理
8. RHEL中的 iptables配置
9. iptables实例

1. iptables介绍

PTABLES 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。

iptables的安装
[root@localhost etc]# rpm -qa |grep iptables
iptables-ipv6-1.4.7-4.el6.i686
iptables-1.4.7-4.el6.i686
系统默认安装iptables。
[root@localhost Packages]# rpm -ivh iptables-devel-1.4.7-4.el6.i686.rpm
Preparing… ########################################### [100%]
1:iptables-devel ########################################### [100%]
安装规则开发包

iptables 配置文件与策略设置文件
配置文件 /etc/sysconfig/iptables-config
规则配置文件 /etc/sysconfig/iptables

[root@localhost sysconfig]# cat /etc/sysconfig/iptables Firewall
configuration written by system-config-firewall
#Manual customization of this file is not recommended.
*filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT

iptables服务的控制

service iptables start|stop|restart|status /etc/rc.d/init.d/iptables
start |stop|restart|status 规则的保存 iptables-save >/etc/iptables_save
iptables-restore

iptables的表、链结构

规则链 规则的作用：对数据包进行过滤或处理 链的作用：容纳各种防火墙规则 链的分类依据：处理数据包的不同时机 默认包括5种规则链
INPUT：处理入站数据包 OUTPUT：处理出站数据包 FORWARD：处理转发数据包
POSTROUTING链：在进行路由选择后处理数据包 PREROUTING链：在进行路由选择前处理数据包

规则表
表的作用：容纳各种规则链
表的划分依据：防火墙规则的作用相似
默认包括4个规则表
raw表：确定是否对该数据包进行状态跟踪
mangle表：为数据包设置标记
nat表：修改数据包中的源、目标IP地址或端口
filter表：确定是否放行该数据包（过滤

数据包过滤的匹配流程2-1

规则表之间的顺序 rawmanglenatfilter 规则链之间的顺序 入站：PREROUTINGINPUT
出站：OUTPUTPOSTROUTING 转发：PREROUTINGFORWARDPOSTROUTING 规则链内的匹配顺序
按顺序依次检查，匹配即停止（LOG策略例外） 若找不到相匹配的规则，则按该链的默认策略处理

数据包过滤的匹配流程2-2

iptables 语法概述

iptables [-t 要操作的表]
<操作命令>
[要操作的链]
[规则号码]
[匹配条件]
[-j 匹配到以后的动作]

语法构成
iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]

表的操作

-t raw|mangle|nat|[filter] 若使用filter表可省略

命令概述：链的操作

操作命令（-A、-I、-D、-R、-P、-F） 查看命令（-[vnx]L）
-A <链名>
APPEND，追加一条规则（放到最后）
例如：
iptables -t filter -A INPUT -j DROP
在 filter 表的 INPUT 链里追加一条规则（作为最后一条规则）
匹配所有访问本机 IP 的数据包，匹配到的丢弃
-I <链名> [规则号码]
INSERT，插入一条规则
例如：
iptables -I INPUT -j DROP
在 filter 表的 INPUT 链里插入一条规则（插入成第 1 条）
iptables -I INPUT 3 -j DROP
在 filter 表的 INPUT 链里插入一条规则（插入成第 3 条）
注意：
1、-t filter 可不写，不写则自动默认是 filter 表
2、-I 链名 [规则号码]，如果不写规则号码，则默认是 1
3、确保规则号码 ≤ （已有规则数 + 1），否则报错

-D <链名> <规则号码 | 具体规则内容>
DELETE，删除一条规则
例如：
iptables -D INPUT 3（按号码匹配）
删除 filter 表 INPUT 链中的第三条规则（不管它的内容是什么）
iptables -D INPUT -s 192.168.0.1 -j DROP（按内容匹配）
删除 filter 表 INPUT 链中内容为“-s 192.168.0.1 -j DROP”的规则
（不管其位置在哪里）
注意：
1、若规则列表中有多条相同的规则时，按内容匹配只删除序号最小的一条
2、按号码匹配删除时，确保规则号码 ≤ 已有规则数，否则报错
3、按内容匹配删除时，确保规则存在，否则报错

-R

-R <链名> <规则号码> <具体规则内容>
REPLACE，替换一条规则 例如：
iptables -R INPUT 3 -j ACCEPT
将原来编号为 3 的规则内容替换为“-j ACCEPT” 注意：
确保规则号码 ≤ 已有规则数，否则报错

-P

-P <链名> <动作>
POLICY，设置某个链的默认规则 例如：
iptables -P INPUT DROP
设置 filter 表 INPUT 链的默认规则是 DROP

注意： 当数据包没有被规则列表里的任何规则匹配到时，按此默认规则处理。动作前面不能加 -j，这也是唯一一种匹配动作前面不加 -j
的情况。

-F

-F [链名]
FLUSH，清空规则 例如：
iptables -F INPUT
清空 filter 表 INPUT 链中的所有规则
iptables -t nat -F PREROUTING
清空 nat 表 PREROUTING 链中的所有规则 注意：
1、-F 仅仅是清空链中规则，并不影响 -P 设置的默认规则
2、-P 设置了 DROP 后，使用 -F 一定要小心！！！
3、如果不写链名，默认清空某表里所有链里的所有规则

-L

-L [链名]
LIST，列出规则
v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示 IP 地址和端口号码，不显示域名和服务名称 例如：
iptables -L
粗略列出 filter 表所有链及所有规则
iptables -t nat -vnL
用详细方式列出 nat 表所有链的所有规则，只显示 IP 地址和端口号
iptables -t nat -vxnL PREROUTING
用详细方式列出 nat 表 PREROUTING 链的所有规则以及详细数字，不反解
流入、流出接口（-i、-o）
来源、目的地址（-s、-d）
协议类型 （-p）
来源、目的端口（–sport、–dport）

-I

-i <匹配数据进入的网络接口> 例如：
-i eth0
匹配是否从网络接口 eth0 进来
-i ppp0
匹配是否从网络接口 ppp0 进来
-o 匹配数据流出的网络接口 例如：
-o eth0
-o ppp0

-S

-s <匹配来源地址>
可以是 IP、NET、DOMAIN，也可空（任何地址） 例如：
-s 192.168.0.1 匹配来自 192.168.0.1 的数据包
-s 192.168.1.0/24 匹配来自 192.168.1.0/24 网络的数据包
-s 192.168.0.0/16 匹配来自 192.168.0.0/16 网络的数据包

-d <匹配目的地址>
可以是 IP、NET、DOMAIN，也可以空 例如：
-d 202.106.0.20 匹配去往 202.106.0.20 的数据包
-d 202.106.0.0/16 匹配去往 202.106.0.0/16 网络的数据包
-d www.abc.com 匹配去往域名 www.abc.com 的数据包

-p

-p <匹配协议类型>
可以是 TCP、UDP、ICMP 等，也可为空 例如：
-p tcp 、-p udp
-p icmp --icmp-type 类型
ping: type 8

–sport

–sport <匹配源端口>
可以是个别端口，可以是端口范围 例如：
–sport 1000 匹配源端口是 1000 的数据包
–sport 1000:3000 匹配源端口是 1000-3000 的数据包（含1000、3000）
–sport :3000 匹配源端口是 3000 以下的数据包（含 3000）
–sport 1000: 匹配源端口是 1000 以上的数据包（含 1000）
–dport <匹配目的端口>
可以是个别端口，可以是端口范围 例如：
–dport 80 匹配源端口是 80 的数据包
–dport 6000:8000 匹配源端口是 6000-8000 的数据包（含6000、8000）
–dport :3000 匹配源端口是 3000 以下的数据包（含 3000）
–dport 1000: 匹配源端口是 1000 以上的数据包（含 1000） 注意：–sport 和 --dport 必须配合 -p 参数使用

1、端口匹配

-p udp --dport 53 匹配网络中目的地址是 53 的 UDP 协议数据包 2、地址匹配
-s 10.1.0.0/24 -d 172.17.0.0/16 匹配来自 10.1.0.0/24 去往 172.17.0.0/16 的所有数据包 3、端口和地址联合匹配
-s 192.168.0.1 -d www.abc.com -p tcp --dport 80 匹配来自 192.168.0.1，去往 www.abc.com 的 80 端口的 TCP 协议数据包 注意： 1、–sport、–dport 必须联合 -p
使用，必须指明协议类型是什么 2、条件写的越多，匹配越细致，匹配范围越小

动作（处理方式）

ACCEPT
DROP
SNAT
DNAT
MASQUERADE

-j ACCEPT

通过，允许数据包通过本链而不拦截它
类似 Cisco 中 ACL 里面的 permit

例如：
iptables -A INPUT -j ACCEPT
允许所有访问本机 IP 的数据包通过

-j DROP

丢弃，阻止数据包通过本链而丢弃它
类似 Cisco 中 ACL 里的 deny

例如：
iptables -A FORWARD -s 192.168.80.39 -j DROP
阻止来源地址为 192.168.80.39 的数据包通过本机

-j DNAT

–to IP[-IP][:端口-端口]（nat 表的 PREROUTING 链）
目的地址转换，DNAT 支持转换为单 IP，也支持转换到 IP 地址池（一组连续的 IP 地址） 例如： iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80
-j DNAT --to 192.168.0.1 把从 eth0进来的要访问 TCP/80 的数据包目的地址改为 192.168.0.1 iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80
-j DNAT --to 192.168.0.2:80 iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80
-j DNAT --to 192.168.0.1-192.168.0.10

-j SNAT

–to IP[-IP][:端口-端口]（nat 表的 POSTROUTING 链） 源地址转换，SNAT 支持转换为单
IP，也支持转换到 IP 地址池 （一组连续的 IP 地址） 例如： iptables -t nat -A POSTROUTING -s
192.168.0.0/24
-j SNAT --to 1.1.1.1 将内网 192.168.0.0/24 的原地址修改为 1.1.1.1，用于 NAT iptables -t nat -A POSTROUTING -s 192.168.0.0/24
-j SNAT --to 1.1.1.1-1.1.1.10 同上，只不过修改成一个地址池里的 IP

-j MASQUERADE

动态源地址转换（动态 IP 的情况下使用） 例如：
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
将源地址是 192.168.0.0/24 的数据包进行地址伪装

按包状态匹配 （state）
按来源 MAC 匹配（mac）
按包速率匹配 （limit）
多端口匹配 （multiport）

state

-m state --state 状态 状态：NEW、RELATED、ESTABLISHED、INVALID
NEW：类似于 tcp 的 syn
ESTABLISHED：连接态
RELATED：衍生态，与 conntrack 关联（FTP）
INVALID：不能被识别属于哪个连接或没有任何状态 例如：
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

-m

mac --mac-source MAC 匹配某个 MAC 地址 例如： iptables -A FORWARD -m
–mac-source xx:xx:xx:xx:xx:xx
-j DROPs 阻断来自某 MAC 地址的数据包，通过本机 注意： 报文经过路由后，数据包中原有的 mac 信息会被替换， 所以在路由后的 iptables 中使用 mac 模块是没有意义的

-m limit

–limit 匹配速率 [–burst 缓冲数量]
用一定速率去匹配数据包 例如： iptables -A FORWARD -d 192.168.0.1 -m limit --limit 50/s -j ACCEPT iptables -A FORWARD -d 192.168.0.1 -j DROP 注意： limit 英语上看是限制的意思，但实际上只是按一定速率去匹配而已，要想限制的话后面要再跟一条 DROP

-m multiport

<–sports|–dports|–ports> 端口1[,端口2,…,端口n]
一次性匹配多个端口，可以区分源端口，目的端口或不指定端口 例如： iptables -A INPUT -p tcp -m
multiport --dports
21,22,25,80,110 -j ACCEPT 注意：必须与 -p 参数一起使用

所有链名必须大写
INPUT/OUTPUT/FORWARD/PREROUTING/POSTROUTING
所有表名必须小写
filter/nat/mangle
所有动作必须大写
ACCEPT/DROP/SNAT/DNAT/MASQUERADE
所有匹配必须小写
-s/-d/-m /-p
iptables-save 防火墙配置的保存
iptables-save
默认只会将配置输出到屏幕
iptables-save > ipt.v1.0
利用重定向功能导出到文件中
Service iptables save
将覆盖原有/etc/sysconfig/iptables
iptables-restore 从配置文件中恢复防火墙设置
iptables-restore < ipt.v1.0