嵌入式 iptables防火墙选项参数介绍和配置实例

iptables的5个规则链：
PREROUTING
FORWARD
POSTROUTING
INPUT
OUTPUT

iptables的3个规则表：5个规则链分别包含在3个规则表中
filter:针对包过滤   INPUT、 FORWARD、 OUTPUT
nat:   地址转换     PREROUTING、POSTROUTING 、OUTPUT
mangle: 策略路由和特殊应用   PREROUTING、 POSTROUTING、 INPUT、 OUTPUT、 FORWARD


1 安装iptables软件包（默认安装的）
 

[root@localhost ~]# rpm -q iptables  iptables-1.2.11-3.1.RHEL4  [root@localhost ~]# rpm -ql iptables |grep bin 查看软件包的程序目录  /sbin/iptables  /sbin/iptables-restore  /sbin/iptables-save

 
iptables包含的三个主要管理工具：
 iptables：对iptables命令的管理和实现
 iptables-save和iptables-restore：是一对辅助工具，iptables-save对当前防火墙设置进行保存，  
 iptables-restore将iptables-save保存的配置恢复到当前系统。
 
 
2 iptables服务的启动和停止：
  系统以iptables服务程序运行，启动脚本保存在/etc/rc.d/init.d中，脚本文件名iptables。
  启动级别3和5默认
 

[root@localhost init.d]# chkconfig --list iptables  iptables        0:off   1:off   2:on    3:on    4:on    5:on    6:off

 
  启动与停止

#service iptables start  启动  #service iptables stop   停止  #service iptables status  允许状态

 
 3 iptables的配置文件和策略设置文件
配置文件：/etc/sysconfig/iptables-config,用户设置iptables服务启动时加载的内核模块，一般不用修改。
策略设置文件：/etc/sysconfig/iptables,在iptables服务启动时将调用iptables-restore命令将该策略设置内容应用到防火墙中。


4 查看iptables表的内容
语法：iptables [-t table] -L
-t:选择要查看哪个表
不加-t默认查看filter表


5 iptables防火墙的手动配置
  1）清空表中规则
     清空规则表中所有规则链的规则
    #iptables -F
   2）删除表中规则链
    用于删除表中指定的规则链，如果不指定删除表中所有自定义规则链
    #iptables -X
   3)添加规则
    iptables -A 规则链 -i 网络接口 -j 对数据的操作
    -A:指定需要添加规则的规则链
    -i：指定数据包流入的网络接口
    -p：数据包的协议
    -j：对数据包的处理。ACCEPT/DROP
   例如：在INPUT链中添加规则，允许eth0接口中来自192.168.1.0/24的所有数据包
   

#iptables -A INPUT -i eht0 -s 192.168.1.0/24 -j ACCEPT

 
     4）导入导出iptables规则：
导出：  iptables-save 比如导出到/home/aaa这个文件里

#iptables-save > /home/aaa

 
导入：iptables-restore 比如把一个aaa文件导入

#iptables-restore < aaa

 
 
    4）删除规则
     iptables -D  删除指定的规则
   

# iptables -D INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT

 
    5)设置内置规则链的默认策略
 规则链的默认规则是ACCEPT，iptables -P 设置指定规则的默认策略
  例如：设置INPUT链的默认策略为DROP，然后再逐个添加允许，这样是添加规则比较严谨的方法
 

#iptables -P INPUT DROP

 
   6) 针对数据报状态设定
      iptables -A INPUT -m state --state 状态 -j [ACCEPT,DROP,LOG]
      --state:后接数据报状态：
        INVALID:无效数据报
        ESTABLISHED:连结成功的连线
        NEW:请求建立连接
        RELATED:表示数据报与我们发出去的数据报有关系 例:
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT //接受数据报状态为RELATED和ESTABLISHED数据报．
 
 
设置实例:
  允许来自eth1网络接口的所有数据包。
  在eth0接口上允许Web、SSH、和squid代理服务，即开放80、22、3128端口
  其他的数据包都不允许通过

#iptables -F  #iptables -X  #iptables -P INPUT DROP  #iptables -A INPUT -i eth1 -j ACCEPT  #iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT  #iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT  #iptables -A INPUT -i eth0 -p tcp --dport 3128 -j ACCEPT  #service iptables save

   对规则的修改是马上就生效的，但没有保存，可以用service iptables save保存到默认位置/etc/sysconfig/iptables。也可以用iptables-save > /tmp/iptables.new 将防火墙规则保存到/tmp或者保存到其他地方，然后用iptables-restore < /tmp/iptables.new加载/tmp下的防火墙规则文件iptables.new

 -p:指定数据包指定的协议
 --dport：指定数据包的目的端口
 #service iptables save ：只有使用这个命令后，/etc/sysconfig/iptables文件才有
 
附加模块

 按包状态匹配（state）
按来源MAC 匹配（mac）
按包速率匹配（limit）
多端口匹配（multiport）
3.5.1 state
-m state --state 状态iptables的5个规则链：
PREROUTING
FORWARD
POSTROUTING
INPUT
OUTPUT

iptables的3个规则表：5个规则链分别包含在3个规则表中
filter:针对包过滤   INPUT、 FORWARD、 OUTPUT
nat:   地址转换     PREROUTING、POSTROUTING 、OUTPUT
mangle: 策略路由和特殊应用   PREROUTING、 POSTROUTING、 INPUT、 OUTPUT、 FORWARD


1 安装iptables软件包（默认安装的）
 

[root@localhost ~]# rpm -q iptables  iptables-1.2.11-3.1.RHEL4  [root@localhost ~]# rpm -ql iptables |grep bin 查看软件包的程序目录  /sbin/iptables  /sbin/iptables-restore  /sbin/iptables-save

 
iptables包含的三个主要管理工具：
 iptables：对iptables命令的管理和实现
 iptables-save和iptables-restore：是一对辅助工具，iptables-save对当前防火墙设置进行保存，  
 iptables-restore将iptables-save保存的配置恢复到当前系统。
 
 
2 iptables服务的启动和停止：
  系统以iptables服务程序运行，启动脚本保存在/etc/rc.d/init.d中，脚本文件名iptables。
  启动级别3和5默认
 

[root@localhost init.d]# chkconfig --list iptables  iptables        0:off   1:off   2:on    3:on    4:on    5:on    6:off

 
  启动与停止

#service iptables start  启动  #service iptables stop   停止  #service iptables status  允许状态

 
 3 iptables的配置文件和策略设置文件
配置文件：/etc/sysconfig/iptables-config,用户设置iptables服务启动时加载的内核模块，一般不用修改。
策略设置文件：/etc/sysconfig/iptables,在iptables服务启动时将调用iptables-restore命令将该策略设置内容应用到防火墙中。


4 查看iptables表的内容
语法：iptables [-t table] -L
-t:选择要查看哪个表
不加-t默认查看filter表


5 iptables防火墙的手动配置
  1）清空表中规则
     清空规则表中所有规则链的规则
    #iptables -F
   2）删除表中规则链
    用于删除表中指定的规则链，如果不指定删除表中所有自定义规则链
    #iptables -X
   3)添加规则
    iptables -A 规则链 -i 网络接口 -j 对数据的操作
    -A:指定需要添加规则的规则链
    -i：指定数据包流入的网络接口
    -p：数据包的协议
    -j：对数据包的处理。ACCEPT/DROP
   例如：在INPUT链中添加规则，允许eth0接口中来自192.168.1.0/24的所有数据包
   

#iptables -A INPUT -i eht0 -s 192.168.1.0/24 -j ACCEPT

 
     4）导入导出iptables规则：
导出：  iptables-save 比如导出到/home/aaa这个文件里

#iptables-save > /home/aaa

 
导入：iptables-restore 比如把一个aaa文件导入

#iptables-restore < aaa

 
 
    4）删除规则
     iptables -D  删除指定的规则
   

# iptables -D INPUT -i eth0 -s 192.168.1.0/24 -j ACCEPT

 
    5)设置内置规则链的默认策略
 规则链的默认规则是ACCEPT，iptables -P 设置指定规则的默认策略
  例如：设置INPUT链的默认策略为DROP，然后再逐个添加允许，这样是添加规则比较严谨的方法
 

#iptables -P INPUT DROP

 
   6) 针对数据报状态设定
      iptables -A INPUT -m state --state 状态 -j [ACCEPT,DROP,LOG]
      --state:后接数据报状态：
        INVALID:无效数据报
        ESTABLISHED:连结成功的连线
        NEW:请求建立连接
        RELATED:表示数据报与我们发出去的数据报有关系 例:
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT //接受数据报状态为RELATED和ESTABLISHED数据报．
 
 
设置实例:
  允许来自eth1网络接口的所有数据包。
  在eth0接口上允许Web、SSH、和squid代理服务，即开放80、22、3128端口
  其他的数据包都不允许通过

#iptables -F  #iptables -X  #iptables -P INPUT DROP  #iptables -A INPUT -i eth1 -j ACCEPT  #iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT  #iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT  #iptables -A INPUT -i eth0 -p tcp --dport 3128 -j ACCEPT  #service iptables save

   对规则的修改是马上就生效的，但没有保存，可以用service iptables save保存到默认位置/etc/sysconfig/iptables。也可以用iptables-save > /tmp/iptables.new 将防火墙规则保存到/tmp或者保存到其他地方，然后用iptables-restore < /tmp/iptables.new加载/tmp下的防火墙规则文件iptables.new

 -p:指定数据包指定的协议
 --dport：指定数据包的目的端口
 #service iptables save ：只有使用这个命令后，/etc/sysconfig/iptables文件才有
 
附加模块

 按包状态匹配（state）
按来源MAC 匹配（mac）
按包速率匹配（limit）
多端口匹配（multiport）
3.5.1 state
-m state --state 状态