Linux iptables使用详解

news2024/11/24 3:31:35

一、Linux系统下使用iptables

在Linux中，常用的防火墙工具是iptables。以下是一些基本的iptables命令，用于配置防火墙规则。

查看现有的iptables规则：

sudo iptables -L

清除所有现有的规则（慎用，可能导致服务不可用）：

sudo iptables -F

允许特定端口（例如，允许TCP端口80）：

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

拒绝来自特定IP的访问：

sudo iptables -A INPUT -s 123.123.123.123 -j DROP

# 假设要限制的IP段为192.168.1.0/24，你可以使用以下命令：
iptables -I INPUT -s 192.168.1.0/24 -j DROP

允许特定IP的访问：

sudo iptables -A INPUT -s 123.123.123.123 -j ACCEPT

保存规则，使其在重启后生效（可选，取决于发行版）：

sudo iptables-save > /etc/iptables/rules.v4

或者在某些系统中，您可能需要使用iptables-persistent：

sudo netfilter-persistent save
sudo netfilter-persistent reload

检查iptables服务状态（取决于发行版）：

sudo systemctl status iptables

启动/停止/重启iptables服务

sudo systemctl start iptables
sudo systemctl stop iptables
sudo systemctl restart iptables

防火墙在做数据包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的数据包过滤表中，而这些表集成在 Linux 内核中。在数据包过滤表中，规则被分组放在我们所谓的链（chain）中。而netfilter/iptables IP 数据包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。

虽然 netfilter/iptables IP 信息包过滤系统被称为单个实体，但它实际上由两个组件netfilter 和 iptables 组成。

netfilter 组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。

iptables 组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。除非您正在使用 Red Hat Linux 7.1 或更高版本，否则需要下载该工具并安装使用它

表（Tables）：iptables 定义了五个表，每个表用于处理不同类型的数据包。最常用的表是 filter 表，用于处理输入、输出和转发的数据包。
链（Chains）：每个表包含几个内置链，用于处理特定类型的数据包。例如，filter 表包含 INPUT、OUTPUT 和 FORWARD 链。
规则（Rules）：规则定义了数据包与链的匹配条件以及匹配后应采取的操作（如接受、拒绝或跳转到另一个链）。
目标（Targets）：当数据包与规则匹配时，规则可以指定一个目标。常见的目标包括 ACCEPT（接受数据包）、DROP（丢弃数据包）和 REJECT（拒绝数据包并发送错误消息）。

查看规则：
- iptables -L：列出 filter 表中的所有规则。
- iptables -L -t nat：列出 nat 表中的所有规则。
- -v 选项可以显示更详细的信息。
添加规则：
- iptables -A INPUT -p tcp --dport 22 -j ACCEPT：在 INPUT 链的末尾添加一条规则，允许 TCP 协议的 22 端口（SSH）的数据包。
- -A 表示追加到链的末尾，-I 可以用于在链的指定位置插入规则。
删除规则：
- iptables -D INPUT -p tcp --dport 22 -j ACCEPT：删除与指定条件匹配的规则。
- 注意，删除规则时必须提供完整的匹配条件，否则无法正确删除。
修改规则：iptables 没有直接的修改命令，但可以通过删除旧规则并添加新规则来实现修改。
保存和恢复规则：
- service iptables save（或 iptables-save > /etc/sysconfig/iptables）：将当前规则保存到文件中。
- service iptables restart（或 iptables-restore < /etc/sysconfig/iptables）：从文件中恢复规则。
- 注意：不是所有的 Linux 发行版都使用相同的命令来保存和恢复 iptables 规则。