快速理解iptables入門教程

一、iptables安裝

二、三表五鏈

三個(gè)表： Filter、NAT、Mangle。默認(rèn)使用Filter。
Filter：用于一般信息包過濾，包含了INPUT、OUTPUT、FORWARD鏈。
NAT：用于需轉(zhuǎn)發(fā)(NAT)的信息包，包含了OUTPUT、PREROUTING、POSTROUTING。
Mangle：包含一些規(guī)則來標(biāo)記用于高級(jí)路由，包含PREROUTING和OUTPUT鏈。如查信息包及其頭內(nèi)進(jìn)行了任何更改，則使用該表。
五個(gè)內(nèi)置鏈：
PREROUTING  數(shù)據(jù)包進(jìn)入路由表之前，用于修改目的地址（DNAT）。
INPUT  通過路由表后目的地為本機(jī)，匹配目的 IP 是本機(jī)的數(shù)據(jù)包。
FORWARD  通過路由表后，目的地不為本機(jī)，匹配穿過本機(jī)的數(shù)據(jù)包。
OUTPUT  由本機(jī)產(chǎn)生，向外轉(zhuǎn)發(fā)。
POSTROUTING  發(fā)送到網(wǎng)卡接口之前，用于修改源地址 （SNAT）。
 

iptables（netfilter）五條鏈相互關(guān)系

 
三表五鏈處理過程中的位置

三、目標(biāo)(target)

ACCEPT （-j ACCEPT） 當(dāng)信息包與ACCEPT目標(biāo)的規(guī)則完全匹配時(shí)，會(huì)被接受即允許前往目的地，并將停止遍歷鏈。
DROP （-j DROP） 當(dāng)信息包與DROP目標(biāo)的規(guī)則完全匹配時(shí)，會(huì)阻塞該包即丟棄該包。
REJECT (-j REJECT) 該目標(biāo)工作方式與DROP目標(biāo)相同，比DROP好的是REJECT不會(huì)在服務(wù)器和客戶機(jī)上留下死套接字，并將錯(cuò)誤消息發(fā)回給信息包的發(fā)送方。
RETURN (-j RETURN) 該目標(biāo)是讓與該規(guī)則相匹配的信息包停止遍歷所有鏈，如果該鏈?zhǔn)荌NPUT之類的鏈，則使用該鏈的缺省策略處理該信息包。
還有其它的高級(jí)點(diǎn)的目標(biāo)，如LOG、REDIRECT、MARK、MIRROR和MASQUERADE等。
 

四、命令和語法

五、策略保存

六、常用實(shí)用策略

該內(nèi)容來自其互聯(lián)網(wǎng)。
注意：確保規(guī)則循序正確，弄清邏輯關(guān)系，學(xué)會(huì)時(shí)刻使用 -vnL
先開啟轉(zhuǎn)發(fā)：echo 1 >/proc/sys/net/ipv4/ip_forward
iptables -F       清除預(yù)設(shè)表filter中的所有規(guī)則鏈的規(guī)則
iptables -X      清除預(yù)設(shè)表filter中使用者自定鏈中的規(guī)則
iptables -Z       清除預(yù)設(shè)表filter中使用計(jì)數(shù)器
iptables -F -t nat 
iptables -X -t nat 
iptables -Z -t nat     
可根據(jù)需求設(shè)置默認(rèn)策略
iptables –P INPUT DROP
iptables –P FORWARD DROP
iptables –P OUTPUT ACCEPT 
這樣默認(rèn)把INPUT 、FORWARD 設(shè)置成DROP，只有OUTPUT是ACCEPT，如需要也可以設(shè)置成DROP。

（以后再來完成）按拓?fù)鋱D進(jìn)行一個(gè)案例設(shè)置：

FTP

SSH

MYSQL

NAT1-3389

NAT2-web