iptables總結(jié)_01

一、3表5鏈

     4表(規(guī)則表)：Filter、NAT、Mangle、Raw

    filter: 數(shù)據(jù)包過濾

    nat: 網(wǎng)絡(luò)地址轉(zhuǎn)換

    mangle: 為數(shù)據(jù)包設(shè)置標簽

    raw: 對數(shù)據(jù)包進行狀態(tài)跟蹤

    5鏈：INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING

    input: 發(fā)往本地運行的守護程序的數(shù)據(jù)包

    forward： 來自遠程主機，發(fā)往遠程主機的數(shù)據(jù)包

    output： 發(fā)源于本地運行的守護程序的數(shù)據(jù)包

    Filter表(默認)：INPUT、OUTPUT、FORWARD

    NAT表：PREROUTING、POSTROUTING、OUTPUT

    Mangle（破壞者）：早期僅有PREROUTING及OUTPUT鏈，從kernel 2.4.18之后加入INPUT及FORWARD鏈

二、iptables語法

    1、規(guī)則的查看與清除

        iptables [-t table] [-L] [-nv]

        -t :后接table，比如nat或filter，默認為filter

        -L :列出table的規(guī)則

        -n :不進行IP與HOSTNAME反查

        -v :列出更多信息

    2、列出完整防火墻規(guī)則

        iptables-save [-t table]

    3、清除規(guī)則

        iptables [-t table] [-FXZ]

        -F :清除所有的已制定的規(guī)則

        -Z :清除掉所有自定義的tables

        -X :將所有的chain的計數(shù)與流量統(tǒng)計都歸零

    4、定義默認的策略（policy）

        iptables [-t nat] -P [INPUT,OUTPUT,FORWARD] [ACCEPT,DROP]

    5、針對IP、網(wǎng)絡(luò)及接口設(shè)備的設(shè)置

        iptables [-AI 鏈名] [-io 網(wǎng)絡(luò)接口] [-p 協(xié)議] [-s 來源IP/網(wǎng)絡(luò)] [-d 目標IP/網(wǎng)絡(luò)] 

                 -j [ACCEPT|DROP|REJECT|LOG]

        -A :新增一條規(guī)則

        -I ;插入一條規(guī)則

        -i :數(shù)據(jù)包進入的網(wǎng)絡(luò)接口，如eth0,lo等。需與INPUT鏈結(jié)合

        -o :數(shù)據(jù)包出去的網(wǎng)絡(luò)接口，需與OUTPUT鏈結(jié)合

        -p :協(xié)議

    6、針對端口的設(shè)置

        iptables [-AI 鏈] [-io 接口] [-p tcp,udp] [-s 來源IP/網(wǎng)絡(luò)] [--sport 端口范圍]

                 [-d 目標IP/網(wǎng)絡(luò)] [--dport 端口范圍] -j [ACCEPT|DROP|REJECT|LOG]

    7、iptables外掛模塊：mac與state

        iptables -A INPUT [-m state] [--state 狀態(tài)]

        -m :iptables的外掛模塊

            state :狀態(tài)模塊

            mac :網(wǎng)卡硬件地址

                --mac-source :來源主機mac

        --state :一些數(shù)據(jù)包的狀態(tài)

            INVALID :無效數(shù)據(jù)包

            ESTABLISHED :已經(jīng)連接成功的連接狀態(tài)

            NEW :新建立連接的數(shù)據(jù)包狀態(tài)

            RELATED :數(shù)據(jù)包是與主機發(fā)送出去的數(shù)據(jù)包有關(guān)

    8、針對ICMP數(shù)據(jù)包規(guī)則設(shè)置

        iptables -A INPUT [-p icmp] [--icmp-type 類型] -j ACCEPT

    9、規(guī)則保存

        /etc/init.d/iptables save

    10、IPV4的內(nèi)核管理功能：/proc/sys/net/ipv4/*

        1)/proc/sys/net/ipv4/tcp_syncookies(阻擋SYN Flooding)

            echo "1" > /proc/sys/net/ipv4/tcp_syncookies

        2)/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

            echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

        3)/proc/sys/net/ipv4/conf/網(wǎng)絡(luò)接口/*

            rp_filter:逆向路徑過濾

            log_martians:記錄不合法的IP來源

         注：可以修改系統(tǒng)設(shè)置，即/etc/sysctl.conf

            vi /etc/sysctl.conf

                ……

            sysctl -P