iptables规则使用实例（基于ubuntu16.04）

1）使用规则实现外网不能访问内网，但是内网主动发起的连接正常进行

a) iptables -A INPUT -m state --state established,related -j ACCEPT //保留已经建立的连接

b) iptables -A INPUT -m state --state new,invalid -j DROP        //新建立的连接不予理睬

注意：此处要想成功达到目的，只能先在本机建立一个连接，否则无法实现本机访问外

2） 使用规则限制对 icmp echo request的回复为一分钟5次，从而降低攻击风险。

     iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 1 -j ACCEPT
     iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

3）使用规则实现对一台内网主机的网页代理。例，通过访问A电脑的未开放的4567端口，实际可以访问到B电脑的80端口上的网页。

/bin/sh  //进入shell模式

src_ip="192.168.199.1"  //host ip
proxy_ip="192.168.199.128"//代理机ip，也就是中介
dest_ip="166.168.199.132"//目的ip
sysctl -w net.ipv4.ip_forward=1//开启转发 将ip_forward置1
iptables -t nat -F//
iptables -t nat -A PREROUTING -d $proxy_ip -p tcp --dport 4567 -j DNAT --to-destination $dest_ip:80
iptables -t nat -A POSTROUTING -d $dest_ip -p tcp --dport 80 -j SNAT --to-source $proxy_ip:4567
iptables -t nat -A PREROUTING -d $proxy_ip -p tcp --sport 80 -j DNAT --to-destination $src_ip
iptables -t nat -A POSTROUTING -d $src_ip -p tcp --sport 80 -j SNAT --to-source $proxy_ip:4567