Linux iptables 整理

你总嫌有些人懒，说得好像你勤快了就真能干出什么大事儿一样。

介绍

iptables是Linux中重要的访问控制手段，是俗称的 Linux 防火墙系统的重要组成部分。这里记录了iptables 防火墙规则的一些常用的操作指令。

iptables的基本语法：

1	iptables [-t filter/nat] [-A/I] [INPUT/OUTPUT/FORWARD] [-i/o interface] [-p tcp/udp/icmp/all] [-s ip/network] [--sport ports] [-d ip/network] [--dport ports] [-j ACCEPT/DROP]

参数说明:
     不加-t时默认是filter
     
     语法参数：
     -I：第一行插入
     -A：最后追加 
     -i/o：指的是数据要进入或出去所要经过的端口，如eth1,eth0,pppoe等
     -p：你所要指定的协议 
     -s：指定来源ip，可以是单个ip如192.168.109.131，也可以是一个网络 192.168.109.0/24，还可以是一个域名如163.com，如果你填写的是域名系统会自动解析出他的ip并在iptables里显示
     --sport：来源端口 
     -d：指定目标ip
     --dport：目标端口 
     -j：执行参数ACCEPT或DROP，REJECT一般不用
     -A 在指定链的末尾添加（append）一条新的规则
     -D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除
     -I 在指定链中插入（insert）一条新的规则，默认在第一行添加
     -R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换
     -L 列出（list）指定链中所有的规则进行查看
     -E 重命名用户定义的链，不改变链本身
     -F 清空（flush）
     -N 新建（new-chain）一条用户自己定义的规则链
     -X 删除指定表中用户自定义的规则链（delete-chain）
     -P 设置指定链的默认策略（policy）
     -Z 将所有表的所有链的字节和数据包计数器清零
     -n 使用数字形式（numeric）显示输出结果
     -v 查看规则表详细信息（verbose）的信息
     -V 查看版本(version)
     -h 获取帮助（help）

如果配置的是INPUT（进入）,则来源ip是运程ip，目标端口就是本机；OUTPUT相反

流程

当数据包到达目标主机时，经过PREROUTING链,经路由之后决定是否转发，不转发则进入INPUT链，到达用户空间。进程对外通信时，经由OUTPUT链出去，路由之后到达POSTROUTING链，经网卡出去。当一数据包经过PREROUTING链发现其不是到达本主机，那么数据包经过FORWARD链，到达 POSTROUTING链转发出去。本机进程对发送数据时，经由OUTPUT链路由之后进入POSTROUTING链出去。
iptables匹配规则时，是自上而下匹配的，匹配到第一条规则时既跳出，否则一直往下匹配，没有则使用默认规则。
iptables规则建立时，首先需要确定功能（表），确定报文流向，确定要实现的目标，确定匹配条件。
尽量遵循以下规则：尽量减少规则条目，彼此间无关联，访问条目大放上面，有关联（同一功能），规则更严格的放上面

五个hook函数分别是PREROUTING,INPUT ,OUTPUT,POSTROUTING,FORWARD，我们把这五个钩子函数称为链，Netfilter实现了几功能，raw ，mangle，nat，filter。我们一般把这几个功能称为表，表之间有优先级关系，从低到高为filter—-nat—-mangle—-raw,表与链之间有对应关系，具体见图表。
iptables-hook

表

raw表：对报文设置一个标志，决定数据包是否被状态跟踪机制处理
mangle表：主要用于修改数据包
nat表：主要用处是网络地址转换、端口映射
fileter表：主要用于过滤包

一般情况我们对filter表做配置的更多。

链

INPUT：作用于进入本机的包
OUTPUT：作用于本机送出的包
FORWARD：匹配穿过本机的数据包（转发）
PREROUTING：用于修改目的地址（DNAT）
POSTROUTING：用于修改源地址（SNAT）

基本操作

启动指令:service iptables start    
重启指令:service iptables restart    
关闭指令:service iptables stop
保存指令:service iptables save
清除规则：iptables -F   
将链的记数的流量清零: iptables -Z
清除链: iptables -X
清空iptables时一般-F -Z -X一起使用

三种状态

ACCEPT 允许
DROP 丢弃
REJECT 拒绝

ROP和REJECT的区别：DROP是直接不让进入，而REJECT是先让进入然后再拒绝，LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则.

DROP更安全，所以一般拒绝都用DROP

-A默认是插入到尾部的，可以-I来插入到指定位置

iptables的两种配置思路:

默认允许，拒绝特别
默认拒绝，允许特别

二者都有自己的特点，看情况而定。但是注意：如果要选择第二种配置思路，配置前切记先把ssh设置为ACCEPT，因为一般机器不在我们身边，一旦配置默认拒绝，那我们的远程登录就会断开连接，那问题就大了。
配置默认拒绝前设置:

1 2	iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

还有一种方法：做一个计划任务，让iptables定期停止，即执行service iptables stop，这样的话即使配置默认拒绝前没有允许ssh也没关系，等到计划任务生效的时间iptables就会自动清除所有的配置，包括默认规则。

iptables的执行优先级:

iptables的执行顺序是自上而下，当有配置产生冲突时，前面执行的生效。

删除iptables规则

iptables -D INPUT 3  //删除input的第3条规则
iptables -t nat -D POSTROUTING 1  //删除nat表中postrouting的第一条规则
iptables -F INPUT   //清空 filter表INPUT所有规则
iptables -F    //清空所有规则
iptables -t nat -F POSTROUTING   //清空nat表POSTROUTING所有规则

删除规则

第一种方法：修改配置文件

vim /etc/sysconfig/iptables
删除相应的行，然后
service iptables restart 
service iptables save

注意:

修改完配置文件不能先save，一定要先restart才能save，要不然就白做了。因为save会在iptables服务启动时重新加载，要是在重启之前直接先调用了service iptables save 那么你的/etc/sysconfig/iptables 配置就回滚到上次启动服务的配置了。

第二种方法：直接用命令删除

如果你记得配置时的写法，那么可以直接iptables -D 后跟上配置时的写法。如：

1	iptables -D INPUT -s 10.72.11.12 -p tcp --sport 1234 -d 10.10.2.58 --dport 80 -j DROP

或者查看每条iptables的序号

1
2
3

iptables -L INPUT --line-numbers
然后删除
iptables -D INPUT 2  #删除第2条规则，即时生效

防火墙常用的策略

拒绝进入防火墙的所有ICMP协议数据包

1	iptables -I INPUT -p icmp -j REJECT

允许防火墙转发除ICMP协议以外的所有数据包

1	iptables -A FORWARD -p ! icmp -j ACCEPT

拒绝转发来自192.168.1.10主机的数据，允许转发来自192.168.0.0/24网段的数据

1 2	iptables -A FORWARD -s 192.168.1.11 -j REJECT iptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT

丢弃从外网接口（eth1）进入防火墙本机的源地址为私网地址的数据包

1
2
3

iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP 
iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP 
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

封堵网段（192.168.1.0/24），两小时后解封。

1
2
3

iptables -I INPUT -s 10.20.30.0/24 -j DROP 
iptables -I FORWARD -s 10.20.30.0/24 -j DROP 
at now 2 hours at> iptables -D INPUT 1 at> iptables -D FORWARD 1

只允许管理员从202.13.0.0/16网段使用SSH远程登录防火墙主机。

1 2	iptables -A INPUT -p tcp --dport 22 -s 202.13.0.0/16 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j DROP

允许本机开放从TCP端口20-1024提供的应用服务

1 2	iptables -A INPUT -p tcp --dport 20:1024 -j ACCEPT iptables -A OUTPUT -p tcp --sport 20:1024 -j ACCEPT

允许转发来自192.168.0.0/24局域网段的DNS解析请求数据包

1 2	iptables -A FORWARD -s 192.168.0.0/24 -p udp --dport 53 -j ACCEPT iptables -A FORWARD -d 192.168.0.0/24 -p udp --sport 53 -j ACCEPT

禁止其他主机ping防火墙主机，但是允许从防火墙上ping其他主机

1
2
3

iptables -I INPUT -p icmp --icmp-type Echo-Request -j DROP 
iptables -I INPUT -p icmp --icmp-type Echo-Reply -j ACCEPT 
iptables -I INPUT -p icmp --icmp-type destination-Unreachable -j ACCEPT

禁止转发来自MAC地址为00：0C：29：27：55：3F的和主机的数据包

1
2

iptables -A FORWARD -m mac --mac-source 00:0c:29:27:55:3F -j DROP
说明：iptables中使用“-m 模块关键字”的形式调用显示匹配。这里用“-m mac –mac-source”来表示数据包的源MAC地址。

允许防火墙本机对外开放TCP端口20、21、25、110以及被动模式FTP端口1250-1280

1 2	iptables -A INPUT -p tcp -m multiport --dport 20,21,25,110,1250:1280 -j ACCEPT 说明：这里用“-m multiport –dport”来指定目的端口及范围

禁止转发源IP地址为192.168.1.20-192.168.1.99的TCP数据包

1 2	iptables -A FORWARD -p tcp -m iprange --src-range 192.168.1.20-192.168.1.99 -j DROP 说明：此处用“-m –iprange –src-range”指定IP范围。

禁止转发与正常TCP连接无关的非—syn请求数据包

1 2	iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP 说明：“-m state”表示数据包的连接状态，“NEW”表示与任何连接无关的

拒绝访问防火墙的新数据包，但允许响应连接或与已有连接相关的数据包

1 2	iptables -A INPUT -p tcp -m state --state NEW -j DROP iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

说明：“ESTABLISHED”表示已经响应请求或者已经建立连接的数据包，“RELATED”表示与已建立的连接有相关性的，比如FTP数据连接等。

只开放本机的web服务（80）、FTP(20、21、20450-20480)，放行外部主机发住服务器其它端口的应答数据包，将其他入站数据包均予以丢弃处理。

iptables -I INPUT -p tcp -m multiport --dport 20,21,80 -j ACCEPT 
iptables -I INPUT -p tcp --dport 20450:20480 -j ACCEPT 
iptables -I INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT 
iptables -P INPUT DROP

下面两句话可以定义默认全部丢弃数据包：

1 2	iptables -P INPUT DROP iptables -P OUTPUT DROP

-P参数的意思是policy，翻译成策略～那么这两句话就好理解了。

第一句的意思是：

输入(INPUT)的数据包默认的策略(-P)是丢弃(DROP)的

第二句的意思是：

输出(OUTPUT)的数据包默认的策略(-P)是丢弃(DROP)的

其实到这里已经是一个有用的防火墙了，只不过，没有什么意义，和拔掉网线的概念没有什么不同

首先写下这6句话

iptables -A INPUT -p icmp --icmp-type any -j ACCEPT
允许icmp包进入
iptables -A INPUT -s localhost -d localhost -j ACCEPT
允许本地的数据包
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
允许已经建立和相关的数据包进入
iptables -A OUTPUT -p icmp --icmp any -j ACCEPT
允许icmp包出去
iptables -A OUTPUT -s localhost -d localhost -j ACCEPT
允许本地数据包
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
允许已经建立和相关的数据包出去

说明一下，这6句基本上都是要的

查看nat表

iptables -t nat -vnL POSTROUTING --line-number  
Chain POSTROUTING (policy ACCEPT 38 packets, 2297 bytes)  
num   pkts bytes target     prot opt in     out     source               destination  
1        0     0 MASQUERADE  all  --  *      *       192.168.10.0/24      0.0.0.0/0

查看filter表

1 2	iptables -L -n --line-number \|grep 21 //--line-number可以显示规则序号，在删除的时候比较方便 5 ACCEPT tcp -- 192.168.1.0/24 0.0.0.0/0 tcp dpt:21

总结

附最经典的iptables脚本

#!/bin/sh
#
modprobe ipt_MASQUERADE
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
iptables -F
iptables -t nat -F
iptables -X
iptables -t nat -X
###########################INPUT键###################################

iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 110,80,25 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 139 -j ACCEPT
#允许内网samba,smtp,pop3,连接
iptables -A INPUT -i eth1 -p udp -m multiport --dports 53 -j ACCEPT
#允许dns连接
iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
iptables -A INPUT -p gre -j ACCEPT
#允许外网vpn连接
iptables -A INPUT -s 192.186.0.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
#为了防止DOS太多连接进来,那么可以允许最多15个初始连接,超过的丢弃
iptables -A INPUT -s 192.186.0.0/24 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
#为了防止DOS太多连接进来,那么可以允许最多15个初始连接,超过的丢弃
iptables -A INPUT -p icmp -m limit --limit 3/s -j LOG --log-level INFO --log-prefix "ICMP packet IN: "
iptables -A INPUT -p icmp -j DROP
#禁止icmp通信-ping 不通
iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
#内网转发
iptables -N syn-flood
iptables -A INPUT -p tcp --syn -j syn-flood
iptables -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN
iptables -A syn-flood -j REJECT
#防止SYN攻击 轻量
#######################FORWARD链###########################
iptables -P FORWARD DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -m multiport --dports 80,110,21,25,1723 -j ACCEPT
iptables -A FORWARD -p udp -s 192.168.0.0/24 --dport 53 -j ACCEPT
iptables -A FORWARD -p gre -s 192.168.0.0/24 -j ACCEPT
iptables -A FORWARD -p icmp -s 192.168.0.0/24 -j ACCEPT
#允许 vpn客户走vpn网络连接外网
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -I FORWARD -p udp --dport 53 -m string --string "tencent" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
#星期一到星期六的8:00-12:30禁止qq通信
iptables -I FORWARD -p udp --dport 53 -m string --string "TENCENT" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
#星期一到星期六的8:00-12:30禁止qq通信
iptables -I FORWARD -p udp --dport 53 -m string --string "tencent" -m time --timestart 13:30 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
iptables -I FORWARD -p udp --dport 53 -m string --string "TENCENT" -m time --timestart 13:30 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
#星期一到星期六的13:30-20:30禁止QQ通信
iptables -I FORWARD -s 192.168.0.0/24 -m string --string "qq.com" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
#星期一到星期六的8:00-12:30禁止qq网页
iptables -I FORWARD -s 192.168.0.0/24 -m string --string "qq.com" -m time --timestart 13:00 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
#星期一到星期六的13:30-20:30禁止QQ网页
iptables -I FORWARD -s 192.168.0.0/24 -m string --string "ay2000.net" -j DROP
iptables -I FORWARD -d 192.168.0.0/24 -m string --string "宽频影院" -j DROP
iptables -I FORWARD -s 192.168.0.0/24 -m string --string "色情" -j DROP
iptables -I FORWARD -p tcp --sport 80 -m string --string "广告" -j DROP
#禁止ay2000.net，宽频影院，色情，广告网页连接 ！但中文 不是很理想
iptables -A FORWARD -m ipp2p --edk --kazaa --bit -j DROP
iptables -A FORWARD -p tcp -m ipp2p --ares -j DROP
iptables -A FORWARD -p udp -m ipp2p --kazaa -j DROP
#禁止BT连接
iptables -A FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 15 --connlimit-mask 24
#######################################################################
sysctl -w net.ipv4.ip_forward=1 &>/dev/null
#打开转发
#######################################################################
sysctl -w net.ipv4.tcp_syncookies=1 &>/dev/null
#打开 syncookie （轻量级预防 DOS 攻击）
sysctl -w net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=3800 &>/dev/null
#设置默认 TCP 连接痴呆时长为 3800 秒（此选项可以大大降低连接数）
sysctl -w net.ipv4.ip_conntrack_max=300000 &>/dev/null
#设置支持最大连接树为 30W（这个根据你的内存和 iptables 版本来，每个 connection 需要 300 多个字节）
#######################################################################
iptables -I INPUT -s 192.168.0.50 -j ACCEPT
iptables -I FORWARD -s 192.168.0.50 -j ACCEPT
#192.168.0.50是我的机子，全部放行！
############################完#########################################