1.iptables的概念

netfilter/iptables：IP信息包过滤系统，它实际上由两个组件netfilter 和 iptables 组成。

2.iptables的三表五链

三表

filter负责过滤数据包，包括的规则链有，input，output和forward；
nat则涉及到网络的地址转换，包括的规则链有，prerouting,postrouting和output；
mangle表则主要应用在修改数据包内容上，用来做流量整形的，给数据包打个标识，默认的规则链
有：INPUT，OUTPUT，forward，POSTROUTING,PREROUTING;

五链

input匹配目标IP本机的数据包
output出口数据包，一般不在此链上做配置
forward匹配流经本机的数据包
prerouting用来修改目的地址，用来做DNAT。（端口映射）
postrouting用来修改源地址用来做snat。（路由器功能，内网机通过路由器nat转换实现内网机通过公网ip上网）

如图

3.iptables过滤封包流程，表->链->规则

Iptables过滤封包流程

4.iptables服务安装及相关配置

关闭firewall防火墙

systemctl stop firewalld.service            #停止firewall
systemctl disable firewalld.service        #禁止firewall开机启动

安装iptables

yum  -y install iptables-services

iptables服务配置文件存放的位置

ls /etc/sysconfig/iptables

设置开机自启动

systemctl start iptables && systemctl enable iptables

5.使用方法

iptables命令的语法格式

Iptables [-t 表名] 管理选项 [链名] [条件匹配] [-j 目标动作或或跳转]

iptables语法总结

操作命令

-A 添加规则，追加到最后一行
-I num 插入，把当前规则插入为第几条
-D num 删除，明确指定删除第几条规则
-P 设置默认策略的
-F 清空规则链的
-R 替换修改第几条规则
-nvL 查看

--line-number 查看规则号

-A <链名> APPEND，追加一条规则（放到最后）
例如：

iptables -t filter -A INPUT -j DROP     #拒绝所有人访问服务器
在 filter 表的 INPUT 链里追加一条规则（作为最后一条规则）
匹配所有访问本机 IP 的数据包，匹配到的丢弃

-I <链名> [规则号码] INSERT，插入一条规则

例如：
iptables -I INPUT -j DROP
在 filter 表的 INPUT 链里插入一条规则（插入成第 1 条）
iptables -I INPUT 3 -j DROP
在 filter 表的 INPUT 链里插入一条规则（插入成第 3 条）
注意： 
-t filter 可不写，不写则自动默认是 filter 表
-I 链名 [规则号码]，如果不写规则号码，则默认是 1
确保规则号码 ≤ （已有规则数 + 1），否则报错

-R num：Replays替换/修改第几条规则

格式：iptables –t filter -R INPUT 3 ……… 修改filter的INPUT链第三条规则

-D <链名> <规则号码 | 具体规则内容> DELETE，删除一条规则

例如：
iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       all  --  anywhere             anywhere
iptables -D INPUT -s 192.168.0.1 -j DROP        #按内容匹配。

删除 filter 表 INPUT 链中内容为“-s 192.168.0.1 -j DROP”的规则
   （不管其位置在哪里）
注意：
    若规则列表中有多条相同的规则时，按内容匹配只删除序号最小的一条
    按号码匹配删除时，确保规则号码 ≤ 已有规则数，否则报错
    按内容匹配删除时，确保规则存在，否则报错

-P <链名> <动作> POLICY，设置某个链的默认规则

ex:

例如：
iptables -L   #查看默认规则是ACCEPT
Chain INPUT (policy ACCEPT)
target     prot opt source               des ation  tin 
 iptables -P INPUT DROP
 设置 filter 表 INPUT 链的默认规则是 DROP
iptables -L   #查看已经变为DROP
Chain INPUT (policy DROP)
target     prot opt source               destination     

注意：
当数据包没有被规则列表里的任何规则匹配到时，按此默认规则处理。动作前面不能加 –j，这也是唯一 一种匹配动作前面不加 –j 的情况。

-F [链名] FLUSH，清空规则

例如：
添加规则：
iptables -t filter -A INPUT -j DROP
iptables -F INPUT       #清除INPUT链上的规则
iptables -F     #清除filter表中所有链上的规则
iptables -t nat -F      #清空NAT表中所有链上的规则
iptables -t nat -F PREROUTING   #清空NAT表中PREROUTING链上的规则

注意：
-F 仅仅是清空链中规则，并不影响 -P 设置的默认规则。需要手动改：

iptables -P INPUT ACCEPT
-P 设置了 DROP 后，使用 -F 一定要小心！！

在生产环境中，使用-P DROP 这条规则，一定要小心，设置之前最好配置下面两个任务计划，否则容易把自己drop掉，链接不上远程主机。

配置crontab :(线上服务器需提前设置好15分钟后进行执行定时任务：接受访问和清除所有规则)

*/15 * * * *  iptables -P INPUT ACCEPT
*/15 * * * *  iptables -F

常用规则：（配置防火墙时直接在/etc/sysconfig/iptables添加）

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

配置22，80端口

iptables -P INPUT ACCEPT
iptables -F
iptables -A INPUT -i lo -j ACCEPT       #放行环回口所有数据
iptables -A INPUT -p tcp -m multiport --dports 22,80 -j ACCEPT

snat路由模式（B通过连接A路由器上网）

虚拟路由器A

echo "1">/proc/sys/net/ipv4/ip_forward
echo "net.ipv4.ip_forward = 1">>/etc/sysctl.conf
sysctl -p #( 改完执行sysctl -p命令使配置生效)
iptables -t nat -A POSTROUTING -s  A路由器ip所在网段（192.168.2.0/24）    -j  SNAT  --to A路由器的wan口地址（192.168.1.63）

ex1: iptables -t nat -A POSTROUTING -s 192.168.2.0/24   -j  SNAT  --to 192.168.1.63
ex2: iptables -t nat -A POSTROUTING -s 192.168.2.0/24  -o ens33  -j MASQUERADE

客户端pc机B

vim /etc/sysconfig/network-scripts/ifcfg-ens33
DEVICE=ens33
NM_CONTROLLED=yes
IPADDR=192.168.2.2
NETMASK=255.255.255.0
GATEWAY=192.168.2.1         #网关指向虚拟路由器A的wan口地址
DNS1=223.5.5.5
ONBOOT=yes
TYPE=Ethernet
。。。
NAME=" ens33"
HWADDR=00:0C:29:12:EC:1E
systemctl restart network
test: ping g.cn

使用DNAT功能，把内网webPC机B的端口映射到虚拟路由器A的外网