netfilter---->iptables(工具)


查看指定filter表的规则 -nvL(默认是filter表)

[root@wy ~]# iptables -t filter -nvL

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target     prot opt in     out     source               destination


另外两个表nat、mangle，但最常用的是filter。

filter主要用来过滤包（进包、出包），作一些规则或限制。


添加一条规则

[root@wy ~]# iptables -t filter -I INPUT -p tcp  --dport 80 -s 12.12.12.12 -j REJECT

[root@wy ~]# iptables -nvL

Chain INPUT (policy ACCEPT 36 packets, 2592 bytes)

pkts bytes target     prot opt in     out     source               destination

0     0 REJECT     tcp  --  *      *       12.12.12.12          0.0.0.0/0           tcp dpt:80 reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 19 packets, 1992 bytes)

pkts bytes target     prot opt in     out     source               destination

说明：添加规则也可以用-A ，但它们的区别是-A是添加在所有规则的后面，-I是添加在最前面。

         -I插入的规则比-A增加的规则优先生效


删除刚添加的规则

[root@wy ~]# iptables -t filter -D INPUT -p tcp  --dport 80 -s 12.12.12.12 -j REJECT


还有另外一种删除规则方法：

iptables -nvL --line-numbers先显示规则序号，然后iptables -D INPUT/OUTPUT 序号就可以了


清空计数器-Z

[root@wy ~]# iptables -Z

说明：也就是包和字节都变成了0


清空全部规则-F

[root@wy ~]# iptables -F


注：若指定port的时候要加上协议，否则会报错。


保存规则

[root@wy ~]# service iptables save


查看保存的规则

[root@wy ~]# cat /etc/sysconfig/iptables


备份与恢复

[root@wy ~]# iptables-save > 1.ipt

[root@wy ~]# iptables -F         ###恢复前先清空

[root@wy ~]# iptables-restore < 1.ipt


filter                主要用来限制进入本机的包和出去的包

nat                  主要网络地址转换

mangle                主要给数据包打标记


修改策略

[root@wy ~]# iptables -P INPUT ACCEPT      #针对INPUT链


INPUT链实例：要求把预设策略设成DROP，其他两个是ACCEPT，针对192.168.0.0/24,22端口开放，对所有的Ip的80端口放行，所有的网段21端口放行。

[root@wy ~]  vim 1.ipt.sh

#! /bin/bash

ipt="/sbin/iptables"

$ipt -F

$ipt -P INPUT DROP

$ipt -P OUTPUT ACCEPT

$ipt -P FORWARD ACCEPT

$ipt -A INPUT -s 192.168.0.0./24 -p tcp --dport 22 -j ACCEPT

$ipt -A INPUT -p tcp --dport 80 -j ACCEPT

$ipt -A INPUT -p tcp --dport 21 -j ACCEPT

执行脚本

[root@wy ~]  sh  1.ipt.sh