00. 目錄

文章目錄

• • 00. 目錄
  • 01. 命令概述
  • 02. 命令格式
  • 03. 常用選項
  • 04. 參考示例
  • 05. 附錄

01. 命令概述

iptables命令是Linux上常用的防火墻軟件，是netfilter項目的一部分。可以直接配置，也可以通過許多前端和圖形界面配置。

02. 命令格式

格式: iptstate [選項] [參數]

03. 常用選項

-t<表>：指定要操縱的表； -A：向規則鏈中添加條目； -D：從規則鏈中刪除條目； -i：向規則鏈中插入條目； -R：替換規則鏈中的條目； -L：顯示規則鏈中已有的條目； -F：清楚規則鏈中已有的條目； -Z：清空規則鏈中的數據包計算器和字節計數器； -N：創建新的用戶自定義規則鏈； -P：定義規則鏈中的默認目標； -h：顯示幫助信息； -p：指定要匹配的數據包協議類型； -s：指定要匹配的數據包源ip地址； -j<目標>：指定要跳轉的目標； -i<網絡接口>：指定數據包進入本機的網絡接口； -o<網絡接口>：指定數據包要離開本機所使用的網絡接口。

格式詳解

iptables命令選項輸入順序

iptables -t 表名 <-A/I/D/R> 規則鏈名 [規則號] <-i/o 網卡名> -p 協議名 <-s 源IP/源子網> --sport 源端口 <-d 目標IP/目標子網> --dport 目標端口 -j 動作

表名包括：

• raw：高級功能，如：網址過濾。
• mangle：數據包修改（QOS），用于實現服務質量。
• net：地址轉換，用于網關路由器。
• filter：包過濾，用于防火墻規則。

規則鏈名包括:

• INPUT鏈：處理輸入數據包。
• OUTPUT鏈：處理輸出數據包。
• PORWARD鏈：處理轉發數據包。
• PREROUTING鏈：用于目標地址轉換（DNAT）。
• POSTOUTING鏈：用于源地址轉換（SNAT）。

動作包括：

• accept：接收數據包。
• DROP：丟棄數據包。
• REDIRECT：重定向、映射、透明代理。
• SNAT：源地址轉換。
• DNAT：目標地址轉換。
• MASQUERADE：IP偽裝（NAT），用于ADSL。
• LOG：日志記錄。

04. 參考示例

4.1 清除已有iptables規則

[root@localhost ~]# iptables -F [root@localhost ~]#

4.2 刪除指定的用戶自定義鏈

[root@localhost ~]# iptables -X [root@localhost ~]#

刪除指定的用戶自定義鏈。這個鏈必須沒有被引用，如果被引用，在刪除之前你必須刪除或者替換與之有關的規則。如果沒有給出參數，這條命令將試著刪除每個非內建的鏈。

4.3 把所有鏈的包及字節的計數器清空

[root@localhost ~]# iptables -Z [root@localhost ~]#

4.4 允許本地回環接口(即運行本機訪問本機)

[root@localhost ~]# iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT [root@localhost ~]#

4.5 允許已建立的或相關鏈的通行

[root@localhost ~]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT [root@localhost ~]#

4.6 允許所有本機向外的訪問

[root@localhost ~]# iptables -A OUTPUT -j ACCEPT [root@localhost ~]#

4.7 允許訪問22端口

[root@localhost ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT [root@localhost ~]#

4.8 允許訪問80端口

[root@localhost ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT [root@localhost ~]#

4.9 允許ftp服務的21端口

[root@localhost ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT [root@localhost ~]#

4.10 允許FTP服務的20端口

[root@localhost ~]# iptables -A INPUT -p tcp --dport 20 -j ACCEPT [root@localhost ~]#

4.11 禁止其他未允許的規則訪問

[root@localhost ~]# iptables -A INPUT -j REJECT [root@localhost ~]#

4.12 禁止其他未允許的規則訪問

[root@localhost ~]# iptables -A FORWARD -j REJECT [root@localhost ~]#

4.13 屏蔽單個IP的命令

[root@localhost ~]# iptables -I INPUT -s 172.16.0.88 -j DROP [root@localhost ~]#

4.14 封整個段即從172.16.0.1到172.16.0.254的命令

[root@localhost ~]# iptables -I INPUT -s 172.16.0.0/24 -j DROP [root@localhost ~]#

4.15 封整個段即從172.16.0.0到172.16.255.254的命令

[root@localhost ~]# iptables -I INPUT -s 172.16.0.0/16 -j DROP [root@localhost ~]#

4.16 封整個段即從172.0.0.0到172.255.255.254的命令

[root@localhost ~]# iptables -I INPUT -s 172.0.0.0/8 -j DROP [root@localhost ~]#

4.17 查看已添加的iptables規則

[root@localhost ~]# iptables -L -n -v Chain INPUT (policy ACCEPT 158 packets, 17668 bytes)pkts bytes target prot opt in out source destination Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)pkts bytes target prot opt in out source destination Chain OUTPUT (policy ACCEPT 106 packets, 19752 bytes)pkts bytes target prot opt in out source destination [root@localhost ~]#

4.18 刪除已添加的iptables規則

將所有iptables以序號標記顯示，執行：

[root@localhost ~]# iptables -L -n --line-numbers

比如要刪除INPUT里序號為9的規則

[root@localhost ~]# iptables -D INPUT 9

4.19 清空 filter表INPUT所有規則

[root@localhost ~]# iptables -F INPUT [root@localhost ~]#

4.20 設置filter表INPUT默認規則是 DROP

[root@localhost ~]# iptables -P INPUT DROP [root@localhost ~]#

05. 附錄

參考：【Linux】一步一步學Linux系列教程匯總

總結

以上是生活随笔為你收集整理的【Linux】一步一步学Linux——iptables命令(186)的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。