centos5 iptables设置

将ip.sh拷贝到/etc

# chmod a+x ip.sh
# ls -l ip.sh
# ./ip.sh
# /etc/init.d/iptables status
# service iptables save

说明：
1、ip.sh的开始设置了入站(INPUT)、出站（OUTPUT）和转发（FORWARD）的默认策略(参数-P)都为拒绝：
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT

2、编辑ip.sh时最好在linux平台上使用vi，不然后由于编码问题，会出现找到#!/bin/sh

--------------------
其它：
1、开放端口
# /sbin/iptables -I INPUT -p tcp --dport 81 -j ACCEPT
不用save

2、删除规则
/etc/init.d/iptables status --line-numbers
查看到规则编号就在下面删除
# iptables -D INPUT 1

--------------------
参考：

在创建 IPTables 规则集合时，记住规则的顺序是至关重要的。例如：如果某个链指定了来自本地子网 192.168.100.0/24 的任何分组都应放弃，然后一个允许来自 192.168.100.13（在前面要放弃分组的子网范围内）的分组的链被补在这个规则后面（-A），那么这个后补的规则就会被忽略。你必须首先设置允许 192.168.100.13 的规则，然后再设置放弃规则。
要在现存规则链的任意处插入一条规则，使用 -I，随后是你想插入规则的链的名称，然后是你想放置规则的位置号码（1,2,3,...,n）。例如：

iptables -I INPUT 1 -i lo -p all -j ACCEPT
这条规则被插入为 INPUT 链的第一条规则，它允许本地环回设备上的交通。

--------------------
附ip.sh

#!/bin/sh
# /etc/iptables.bak


# Flush active rules and custom tables
/sbin/iptables --flush
/sbin/iptables --delete-chain
 
# set the defaults so that by-default incoming packets are dropped, unless explicitly allowed;
# for a desktop workstation, we'll let lots of (unpredictable) outgoing packets go freely.
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT
 
# INBOUND POLICY
# ==============
# of course, accepting loopback is a good idea
/sbin/iptables -A INPUT -i lo -j ACCEPT
 
# we will permit ping, but rate-limit type 8 to prevent DoS-attack
/sbin/iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
/sbin/iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
/sbin/iptables -A INPUT -p icmp --icmp-type 11 -j ACCEPT
/sbin/iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 1/second -j ACCEPT
 
#   (Applies to packets entering our network interface from the network,
#   and addressed to this host.)
 
/sbin/iptables -A INPUT -m state --state INVALID -j DROP
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 
# ftp incoming
/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 20 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 21 -j ACCEPT
 
# ssh incoming, including non-standard port (if needed)
/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 22 -j ACCEPT
#/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 222 -j ACCEPT
 
# web serving, let's allow it!
/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 80 -j ACCEPT
 
# secure web serving, let's allow it!
/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 443 -j ACCEPT


# mysql, let's allow it!
/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 3306 -j ACCEPT
 
# amanda tape-backups; we reach out and tape things from this machine
/sbin/iptables -A INPUT -p udp -m state --state NEW -m udp --dport 10080 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 10082 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 10083 -j ACCEPT
 
# nagios (5666); monitor time (123), allow snmp (161)
/sbin/iptables -A INPUT -p tcp -m state --state NEW --dport 5666 -j ACCEPT
/sbin/iptables -A INPUT -p udp -m udp --dport 123 -j ACCEPT
/sbin/iptables -A INPUT -p udp -m udp --dport 161 -j ACCEPT
 
 
# OUTBOUND POLICY
# ===============
# of course, accepting loopback is a good idea
/sbin/iptables -A OUTPUT -o lo -j ACCEPT
 
#   (Applies to packets sent to the network interface from local processes)
 
/sbin/iptables -A OUTPUT -j ACCEPT