iptables常用選項及應用實例操作

iptables [-t TABLE] COMMAND CHAIN [createriaj] -j ACTION 
 
-t {raw|mangle|nat|filter},默認filter 
 
COMMAND: 
規則管理類： 
    -A   增加 
    -I # 插入 
    -D # 刪除 
    -R # 替換   
鏈接管理類： 
    -F 清空鏈 
    -N new，新建鏈   
    -X  刪除自定義空鏈 
    -E rename重命名 
默認策略： 
    —P policy 
清空計算器 
    -Z zero 
    每條規則（包括默認策略）都有兩個計數器 
        被此規則匹配到的所有數據包的個數 
        被此規則匹配到的所有數據包的大小之和 
查看類： 
    —L, list 
        -n,numeric 
        -v,verbose 
            -vv 
            -vvv 
    -x exactly 顯示精確值，不需要做換算 
    --line-numbers 
     
匹配條件： 
基本匹配： 
-s source:ip ,NETWORK 
-d destnations 
-p {tcp|udp|icmp} 
-i inetface 流入 
-o inetface 流出 
 
擴展匹配：（調用iptables模塊，以便擴展iptables匹配功能-m明確指定模塊） 
    隱含擴展 
    -p tcp 可以省略-m -tcp 
        --sport PORT 
        --dport PORT 
        --tcp-flags  
            --tcp-flags ACK,SYN,RST,FIN SYN,ACK 這時SYN=1,ACK=1,其他為0 
            要帶兩個參數要檢查的標志位，沒有出現的標志位必須為0，出現的為1 
            --tcp-flags ACK,SYN,RST,FIN SYN 可以簡單寫成--syn 
    -p udp 
        --sport PORT 
        --dport PORT 
    -p icmp 
        --icmp-type 
            8:echo-request ping回顯請求 
            0:echo-reply 響應 
            3：ping不通的 
                還有很多子類 
                0，1等等 
                 
         
         
    顯式擴展 
        -m state --state NEW 
        -m multiport 
            --source-port 22,53,80 
            --destination-ports 
            --ports 
        -m iprange 
           -src -range 192.168.0.2-192.168.22 
           -dst -range 
        -m limit 
            --limit 
            --limit burst 
        -m string 
            --algo bm|kmp 
            --string "STRING" 
        -m time 
            --timestart 8:00 -timestop 18:00 -j DROP 
            --days 
            --datestart --datestop 
    ACTION 
    -j 
    ACCEPT  
    DROP  
    REJECT 
iptables實例操作：   

1. 開放ssh的22端口： 
2. iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 172.16.100.1/32  -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT 
3. 注意：如果你寫成172.16.100.1/16就表示這個網段了，不表示這個特定的ip地址了 
4.  
5. iptables -A OUTPUT -s 172.16.100.1 -d 0.0.0.0/0.0.0.0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT 
6. 注意：這個表示別人連進來了，我們要把數據包響應給別人要開OUTPUT鏈，這時上面已經建立了NEW，所以這次的通信過程是已經建立連接狀態，表示為ESTABLISHED 
7.  
8. 總結：1、特定的地址掩碼是32 
9.       2、一般進來允許NEW,ESTABLISHED 出去只允許ESTABLISHED 
10.  
11. 開放web服務器80端口 
12. iptables -A  INPUT  -d 192.168.184.136 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT 
13. iptables -A  OUTPUT  -s 192.168.184.136 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT 
14.  
15. 開放DNS的53端口，一種是基于tcp的，一種是基于udp的 
16. iptables -A INPUT -d 192.168.184.136 -p udp  --dport 53  -m state --state NEW,ESTABLISHED -j ACCEPT 
17. iptables -A INPUT -d 192.168.184.136 -p tcp  --dport 53  -m state --state NEW,ESTABLISHED -j ACCEPT 
18. iptables -A OUTPUT -s 192.168.184.136 -p udp --sport 53  -m state --state ESTABLISHED -j ACCEPT 
19. iptables -A OUTPUT -s 192.168.184.136 -p tcp  --sport 53  -m state --state ESTABLISHED -j ACCEPT 
20.  
21. 對上面的規則進行優化： 
22. INPUT鏈： 
23. 優化一 
24. iptables -A INPUT -d  192.168.184.136 -p tcp -m state --state NEW,ESTABLISHED -m multiport --destination-ports 22,53,80 -j ACCEPT 
25. iptables -A INPUT -d 192.168.184.136 -p udp  --dport 53  -m state --state NEW,ESTABLISHED -j ACCEPT 
26.  
27. 優化二(最好的) 
28. iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT 
29. iptables -A INPUT -d  192.168.184.136 -p tcp -m state --state NEW -m multiport --destination-ports 22,53,80 -j ACCEPT 
30. iptables -A INPUT -d 192.168.184.136 -p udp  --dport 53  -m state --state NEW -j ACCEPT 
31.  
32. OUTPUT鏈 
33. 優化一 
34. iptables -A OUTPUT -s 192.168.184.136 -p tcp -m state --state ESTABLISHED -m multiport --source-ports 22,53,80 -j ACCEPT 
35. iptables -A OUTPUT -s 192.168.184.136 -p tcp  --sport 53  -m state --state ESTABLISHED -j ACCEPT 
36.  
37. 優化二（最好的） 
38. iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT 
39. 注意：仔細觀察一下這個規則這個狀態全部是ESTABLISHED，所以可以再次優化的 
40.  
41. 開放TCP的23號端口，只允許192.168.184.1-192.168.184.200內的主機訪問 
42. iptables -A INPUT -d 192.168.184.136 -m iprange  --src-range 192.168.184.1-192.168.184.200 -p tcp --dport 23 -m state --state NEW -j ACCEPT  
43.  
44. 對ssh進行限制，同一ip只允許發送兩個請求 
45. iptables -A INPUT -d 192.168.184.136 -p tcp --dport 22 -m state --state NEW -m connlimit ! --connlimit-above 2 -j ACCEPT 
46.  
47. 對網頁內容字符串進行屏蔽，比如屏蔽包含test字樣 
48. iptables -I OUTPUT 1 -m string --algo kmp --string "test" -j REJECT 
49.  
50. 開放ftp服務 
51. lsmod |grep ftp 查看內核的ftp模塊 
52. modprobe ip_nat_ftp 裝載內核的ftp模塊 
53. 開放命令連接21號端口： 
54. iptables -A INPUT  -d 192.168.184.136 -p tcp --dport 21 -m state --state NEW -j ACCEPT 
55. 開放數據端口： 
56. iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
57. iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
58.  
59. 禁ping 
60. iptables -A FORWARD -p icmp --icmp-type 8 -j REJECT 
61.  
62. SNAT源地址轉換 
63. iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -j SNAT --to-source 192.168.100.2  
64.  
65. DNAT目標地址轉換 
66. iptables -t nat -A PREROUTING -d 172.16.100.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.100.2 
67.  
68. 日志記錄功能 
69. iptables -t nat PREROUTING -d 172.16.100.1 -p tcp --dport 80 -j LOG --log-prefix "DNAT LOG" 
70. 注意：日志是記錄在messages 
71.  
72. 利用iptables的recent模塊來抵御DOS攻擊:
73. ssh: 遠程連接 
74. iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 -j DROP 
75. iptables -I INPUT  -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH 
76. iptables -I INPUT  -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 300 --hitcount 3 --name SSH -j DROP 
77.  
78. 1.利用connlimit模塊將單IP的并發設置為3；會誤殺使用NAT上網的用戶，可以根據實際情況增大該值； 
79. 2.利用recent和state模塊限制單IP在300s內只能與本機建立3個新連接。被限制一分鐘后即可恢復訪問。 
80. 下面對最后兩句做一個說明： 
81. 1.第一句是記錄訪問tcp 22端口的新連接，記錄名稱為SSH 
82. --set 記錄數據包的來源IP，如果IP已經存在將更新已經存在的條目 
83. 2.第三句是指SSH記錄中的IP，300s內發起超過3次連接則拒絕此IP的連接。 
84. --update 是指每次建立連接都更新列表； 
85. --seconds必須與--rcheck或者--update同時使用 
86. --hitcount必須與--rcheck或者--update同時使用 

億恩科技地址(ADD)：鄭州市黃河路129號天一大廈608室 郵編(ZIP)：450008 傳真(FAX)：0371-60123888
   聯系：億恩小凡
   QQ：89317007
   電話:0371-63322206