Techyou labs
真正的爱应该超越生命的长度,心灵的宽度,灵魂的深度
常用标签
您正在查看:标签 防火墙 下的文章
January 8, 2010

iptables命令语法

  • 语法构成
    iptables [-I 链名] [-t 表名] [-p 条件] [-j 控制类型]
  • 参数详解
    -A:在链的末尾追加一条规则
    -I:在链的开头(或指定序号)插入一条规则
    -L:列出所有的规则条目
    -n:以数字形式显示规则信息(协议解释成数字)
    -v:以更详细的方式显示规则信息
    --line-numbers:查看规则时,显示规则的序号
    -D:删除链内指定序号(或内容)的一条规则
    -F:清空所有的规则
    -P:为指定的链设置默认规则(一条没有匹配上,按照默认规则走)
  • 注意事项
    不指定表名时,默认指filter表
    不指定链名时,默认指定表内的所有链
    除非设置链的默认策略,否则必须指定匹配条件
    选项、链名、控制类型使用大写字母,其余均为小写
  • 数据包的常见控制类型
    ACCEPT:允许通过
    DROP:直接丢弃,不给出任何回应
    REJECT:拒绝通过,必要时会给出提示
    LOG:记录日志信息,然后传给下一跳规则继续匹配

规则匹配

  • 通用匹配(可直接使用,不依赖于其他条件或扩展)

    常见的通用匹配条件
    协议匹配:-p 协议名
    地址匹配:-s 源地址、-d 目的地址
    接口匹配:-i 入站网卡、-o 出站网卡
  • 隐含匹配(要求以特定的协议匹配作为前提)

    常见的通用匹配条件
    端口匹配:--sport源端口、--dport目的端口
    TCP标记匹配:--tcp-flags 检查范围 被设置的标记
    ICMP类型匹配:--icmp-type ICMP类型
    在iptables中 开启DNS服务端口
  • 显式匹配(要求以"-m扩展模块”的形式明确指出类型)

    常见的通用匹配条件
    多端口匹配:-m multiport --sports 源端口列表;-m multiport --dports 目的端口列表
    IP范围匹配:-m iprange-src-range IP范围
    MAC地址匹配:-m mac --mac-source MAC地址
    状态匹配:-m state --state 连接状态

开启HTTP端口: http=80 https=443 tomcat=8080


/sbin/iptables -A INPUT -p tcp –source-port 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp –source-port 443 -j ACCEPT
/sbin/iptables -A INPUT -p tcp –source-port 8080 -j ACCEPT

开启Email端口: stmp pop sendmail 等


/sbin/iptables -A INPUT -p tcp –source-port 25 -j ACCEPT
/sbin/iptables -A INPUT -p tcp –source-port 110 -j ACCEPT
/sbin/iptables -A INPUT -p tcp –source-port 143 -j ACCEPT
/sbin/iptables -A INPUT -p tcp –source-port 993 -j ACCEPT