62 iptables扩展匹配
iptables
4表：
raw,mangle,nat,filter
5链
preouting，input,forward,output,postrouting
扩展匹配：
-p protocol
tcp,udp,icmp
-m tcp
参数----表-----源------目的–端口—协议----动作
iptables -A INPUT -s 0/0 -d 192.168.113.150 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -s 192.168.113.150 -p tcp --sport 22 -j ACCEPT
iptables -A INPUT -s 0/0 -d 192.168.113.150 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -s 192.168.113.150 -p tcp --sport 80 -j ACCEPT
iptables -A INPUT -s 192.168.113.150 -p tcp -m mutliport --dports 22,80 -j ACCEPT
iprang
--src-range
iptables -A INPUT 3 -d 192.168.113.150 -p tcp --dport 23 -m iprange 192.168.113.1-192.168.113.130 -m time --timestart 09:00:00 --timestop 18:00:00 --weekdays 1,2,3,4,5 -j ACCEPT
tcp-flag
标志位匹配
--tcp-flags
syn，ack,rst,syn,fln
iptables -N WUXIAO #创建
iptables -A WUXIAO -p tcp --tcp-flags ALL ALL -j REJECT
iptables -A WUXIAO -p tcp --tcp-flags ALL NONE -j REJECT #链动作
iptables -I INPUT 4 -j WUXIAO #调用
udp
--sport
--dport
-m string
-algo bm|kmp 算法
--string 匹配字符串
iptables -i INPUT -s 192.168.113.150 -d 0/0 -p tcp -m string -algo bm --string "123" -j REJECT
time
--datestart -mm-dd-hh
--datestop -mm-dd-hh
--timestart hh:mm
--timestop hh:mm
iptables -A INPUT -s 192.168.113.129 -d 0/0 -p tcp --dport 23 -m time --timestart 09:00:00 --timestop 18:00:00 --weekdays 1,2,3,4,5 -j ACCEPT
connlimit
客户端发起的连接数量
--connlimit-upto 小于等于
--connlimit-above
iptables -A INPUT -s 0/0 -d 192.168.113.129 -p tcp --dport 22 -m connlimit --connlimit-upto 1 -j ACCEPT
state
cat /proc/sys/net/nf_contrack #查看支持的追踪连接数
[root@node1 ~]# cat /proc/sys/net/netfilter/nf_conntrack_max
31184
[root@node1 ~]# vim /etc/sysctl.conf
nf_conntrack_max=666666
ftp的服务
1.内核加载nf_conntrack_ftp
modprobe nf_conntrack_ftp
2.放行命令
iptables -A INPUT -d X -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -s X -p tcp --sport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -m state --state NEW,ESTABLISHED -j REJECT --reject-with icmp-port-unreachable
3.放行数据连接
iptables -A INPUT -d X -p tcp -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -s X -p tcp -m state --state NEW,ESTABLISHED -j ACCEPT
保存
规则的有效期是kernel的生命周期
iptables-save >/tmp/fw
加载保存的规则
iptables-restore 自动生效的规则：
1./etc/rc.d/rc.local 此目录下的脚本开机自动运行
iptables-restore