iptables -V     #看版本

iptables -h     #看帮助

iptables -nL    #数字列表显示


iptables默认加载的内核模块

lsmod|egrep "nat|filter"      #centos5

lsmod|egrep "nat|filter|ipt"  #centos6


通过modprobe把模块加到内核里，执行如下命令：

modprobe ip_tables

modprobe iptable_filter

modprobe iptable_nat

modprobe ip_conntrack

modprobe ip_conntrack_ftp

modprobe ip_nat_ftp

modprobe ipt_state

执行完，再 lsmod|egrep "nat|filter"  就会有很多模块


iptables 命令行增加规则后，不用重启就会生效，可以测一下

iptables命令

-n 数字

-L 列表

-F 清空规则

-X 清空用户自定义链

-Z 清空链的记数器（大Z）

-A 添加规则到链的结尾

-I 添加规则到链第一条

-t 指定表

-p 协议(all tcp udp icmp)默认all

-p 大写P 改变默认规则

--dport 目地端口

--sport 源端口

-j 行为/动作  (ACCEPT DROP REJECT)

--line-number 显示序号

-D  #删除规则

-s 指定源地址

-d 目的地址

! 非

-i 从网卡进入 input

-o 从网卡出去 output

-m multiport 多端口

--icmp-type  ICMP的类型  any是ICMP全禁 8是禁ping

-m state --state  匹配网络状态

-m limit --limit n/{second/minute/hour}  限制指定时间 包的允许通过数量及并发数



禁止SSH访问

iptables -t filter -A INPUT -p tcp --dport 52113 -j DROP   #默认filter，可以不加-t


iptables -nL --line-number  #每条规则前会加序号

iptables -F  #第一种清空方法，所有规则都清除

iptables -D INPUT 1 #指定链指定序号删除掉


iptables -I INPUT 2 -p tcp --dport 1000 -j DROP   #数字2是说这条规则插到第二行，原先的变成第三行


禁止网段连入

iptables -A INPUT -s 10.0.0.0/24 -j DROP #基于客户端源地址

iptables -A INPUT ! -s 10.0.0.0/24 -j DROP  #不是这个网段的都DROP  ‘!’非 在s前还是后不同的系统版不一样

iptables -A INPUT -p tcp --dport 52113 -i eth0 ! -s 10.0.0.0/24 -j DROP


封掉3306端口

iptables -A INPUT -p tcp --dport 3306 -j DROP

iptables -I INPUT -s 10.0.0.16 -j DROP  #范围大

iptables -I INPUT -p tcp -s 10.0.0.16 --dport 80 -j DROP #范围小 是这个源地址且访问80口会封


匹配端口范围

iptables -I INPUT -p tcp --dport 50000:60000 -j DROP

iptables -I INPUT -p tcp -m multiport --dport 21,22,23,24 -j ACCEPT


匹配ICMP类型

iptables -A INPUT -p icmp --icmp-type 8 -j DROP   #8是ping

iptables -A INPUT -p icmp --icmp-type 8 -s 10.0.0.0/24 -j DROP  

iptables -A INPUT -p icmp --icmp-type any -j DROP  #any是整个ICMP全匹配


匹配网络状态

-m state --state

NEW已经或将启动新的连接

ESTABLISHED已建立的连接

RELATED正在启动的新连接

INVALID 非法或无法识别的


FTP服务是特殊的，需要匹配状态连接。

允许关联的状态包通过

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT


限制指定时间 包的允许通过数量及并发数

-m limit --limit n/{second/minute/hour}


保存

/etc/init.d/iptables save

iptables-save> /etc/sysconfig/iptables  #两种方式