iptables常用规则

iptables组成：四张表+五条链+规则

四张表：filter表，nat表，mangle表，raw表

五条链：INPUT  OUTPUT  FORWARD  PREROUTING(DNAT)   POSTROUTING(SNAT)

nat表：Nat表主要用于网络地址转换。根据表中的每一条规则修改网络包的IP地址。流中的包仅遍历一遍Nat表。例如，如果一个通过某个接口的包被修饰（修改了IP地址），该流中其余的包将不再遍历这个表。通常不建议在这个表中进行过滤，由NAT表支持的链称为PREROUTING 链，POSTROUTING 链和OUTPUT 链。

mangle表：这个表用于校正网络包。它用来对特殊包的包头和内容(TTL,TOS,MARK)进行标记修改。Mangle表不能用于地址伪装。支持的链包括PREROUTING链，OUTPUT链，Forward链，Input链和POSTROUTING链

filter表：如果没有定义任何规则，Filter表则被当作默认的表，并且基于它来过滤。它用来访问控制，规则匹配，过滤网络包。支持的链有INPUT 链，OUTPUT 链，FORWARD 链。

raw表：在我们想要配置之前被豁免的包时被使用。它支持PREROUTING 链和OUTPUT 链

数据包规则：

数据包访问控制：ACCEPT(接收,回复通过)，REJECT(接收,回复拒绝)，DROP(丢弃)

数据包改写：SNAT(源地址改写)，DNAT(目标地址改写)

信息记录：LOG

-i eth0：从这块网卡流入的数据

流入一般用在INPUT和PREROUTING上

-o eth0：从这块网卡流出的数据

流出一般在OUTPUT和POSTROUTING上

 **********************************************************************************************************

一、

规则1：对10.10.188.233开放本机的tcp 80，25，110端口的访问

iptables –I INPUT –i eth2–p tcp –s 10.10.188.233 –m multiport --dports 80,25,110 –j ACCEPT

规则2：对所有的地址开放本机的tcp（22:ssh，10-21(10:21)）端口的访问

iptables –I INPUT –p tcp --dport 22 –j ACCEPT

iptables –I INPUT –p tcp --dport 10:21 –j ACCEPT

规则3：允许对所有的地址开放本机的基于icmp协议的数据包访问

iptables –I INPUT –p icmp –j ACCEPT

规则4：其他未被允许的端口则禁止访问

iptables –A INPUT –j REJECT(iptables –P INPUT DROP)

二、默认需要配置

规则1：允许所有通过lo网卡传来的数据包

iptables –I INPUT –i lo –j ACCEPT

规则2：允许本地主动发起请求能得到回复

iptables –I INPUT –m state --state ESTABLISHED,RELATED –j ACCEPT

三、拓展

1.设置我能ping通别人，别人不能ping通我(相反则为echo-reply)

iptables –A INPUT –p icmp –s 192.168.1.0/24 –m icmp --icmp-type echo-request –j DROP

2.限制每个客户端最大并发数不超过3个(xshell终端)

iptables –A INPUT –p tcp --dport 22 –s 192.168.1.0/24 –m connlimt –connlimit-above 2 –j DROP

3.限制速度（-m limit --limit匹配速率| --burst缓冲数量）

iptables –A INPUT –d 192.168.1.63 –m limit --limit 5/s --burst 100–j ACCEPT（在100个包内不限速，超过一百个包限制每秒只传5个包）

iptables –A INPUT –d 192.168.1.63 –j DROP

例如icmp洪水***(多主机ping包占满内存)

iptables –A INPUT –d 192.168.1.63 –m icmp --icmp-type echo-request –m limit --limit 5/s –j ACCEPT(限制每秒20个包)

iptables –A INPUT –d 192.168.1.63 –m icmp --icmp-type echo-request –j DROP

********************************************************************************************

允许ftp规则模式

（主动）加入21号端口放行规则

iptables –I INPUT –p tcp --dport 21 –j ACCEPT

（被动）

1.在vsftpd服务端配置文件中加入vsftpd来访的虚拟端口范围

vim /etc/vsftpd/vsftpd.conf

   #listen_port=21

   #pasv_enable=YES

#pasv_min_port=50000

#pasv_max_port=60000

  加入Iptables –I INPUT –p tcp --dport 50000:60000 –j ACCEPT

2.加入内核的连接追踪模块

modprobe nf_conntrack_ftp

modprobe ip_nat_ftp

查看内核模块：modprobe –l|grep ftp(lsmod | grep nat_ftp)

永久修改：IPTABLES_MODULES=”nf_conntrack_ftp  ********************************************************************************************                            员工在公司内部（10.10.155.0/24）能访问服务器上的任何服务，允许所有人访问1723***端口，允许公网访问门户网站（80端口）        iptables –P INPUT DROP                                                                                            iptables –I INPUT –p tcp –i lo –j ACCEPT                                                                      iptables –I INPUT –m state --state ESTABLISHED,RELATED –j ACCEPT                                                      iptables –I INPUT –p icmp –j ACCEPT                                                                                                                                                                                                             iptables –A INPUT –p tcp -s 10.10.155.0/24 –j ACCEPT                                                            iptables –A INPUT –p tcp -s 10.10.188.0/24 –j ACCEPT                                                            iptables –A INPUT –p tcp --dport 80 –j ACCEPT                                                                  iptables –A INPUT –p tcp --dport 1723 –j ACCEPT  ********************************************************************************************                            Ip地址转换SNAT(当多台客户端访问一台web服务端时使用，源地址可为网段，需开启内核参数ip_forward）                        iptables –t nat –A POSTROUTING –p tcp –s 10.10.177.0/24 –j SNAT --to 10.10.188.232                                                                                                                                                             Ip地址转换DNAT(当1台客户端访问多台web服务端时使用，目的地址可为网段)                                iptables –t nat –A PREROUTING –p tcp –d 10.10.188.232/24 --dport 80 –j DNAT --to 10.10.177.232:80