Iptables是Linux管理员用来设置IPv4包过滤条件和NAT的命令行工具。本文详细介绍了Linux的iptables命令，很不错，有一定的参考价值。有需要的请参考。
Iptables是Linux管理员用来设置IPv4包过滤条件和NAT的命令行工具。Iptables工具运行在用户模式，主要是设置各种规则。而netfilter运行在内核状态，执行那些设置好的规则。
查看 iptables 的链和规则
查看规则的命令格式为：
iptables [-t表] [-L] [-nv]
-t:后跟表，如nat或filter。如果省略此项，将使用默认过滤器。
-L:列出某个表的所有链或者某个链的规则。
-n:直接显示IP会快很多。
-v:列出更多信息，包括通过此规则的数据包总数、相关网络接口等。
列出过滤表输入链的规则：
$ sudo iptables -L输入
列出nat表的三个链的规则：
$ sudo iptables -t nat -L -n
列出过滤表的三个链的规则：
$ sudo iptables -L
红框中的内容是链的名称及其默认策略。过滤器表中所有链的默认策略是接受。红框下面的线代表什么？
目标：表示采取的行动。接受意味着释放，拒绝意味着拒绝，丢弃意味着丢弃数据包。
端口：代表使用的协议，主要包括tcp、udp、icmp。
Opt:附加选项说明。
Source:规则指向的源IP。
目标：规则的目标IP。
因为默认情况下没有添加自定义规则，所以上图中的所有行下面都是空的。
清除本机防火墙规则
清除规则的命令格式如下：
iptables [-t tables] [-FXZ]
-F:清除所有已建立的规则。
-X:删除所有用户定义链(表)
-Z:将所有链计数和流量统计清除为零。
如果我们想要制定一套防火墙规则，我们通常会先清除现有的规则，然后从头开始创建新的规则。让我们清除本机过滤器表中的所有规则：
$ sudo iptables -F
$ sudo iptables -X
$ sudo iptables -Z
定义默认策略(policy)
如果数据包与链中的任何规则都不匹配，将为该数据包实施链的默认策略，默认策略可以是ACCEPT或DROP。
链中默认策略的存在允许我们在设计防火墙时有两种选择：
将默认策略设置为丢弃所有数据包，然后添加一个规则来接受来自可信IP地址的数据包，或来自我们的服务侦听的端口(如bittorrent、FTP服务器、Web服务器、Samba文件服务器等)的数据包。
将默认策略设置为接受所有数据包，然后添加一个丢弃特定数据包的规则。比如来自一些恶意IP的数据包，或者访问一些我们不提供公共服务的端口的数据包。
通常，上面的第一个选项用于输入链，因为我们想要控制访问资源。而第二个选项经常用在输出链中，因为我们通常信任离开机器的数据包(数据包来自机器)。
设置默认策略的命令格式如下：
iptables[-t table]-P[输入，输出，转发][接受，丢弃]
P选项用于定义默认策略。注意这是大写字母p，ACCEPT表示接受数据包，DROP表示丢弃数据包。
一般来说，我们会把过滤表的输入链的默认策略做得更严格一些，比如设置为DROP。而转发和输出可以放松并设置为接受。例如，我们可以通过以下命令将过滤器表的输入链的默认策略设置为DROP:
$ sudo iptables -P输入下降
添加规则
我们可以通过规则匹配数据包，具体匹配条件包括IP、网段、网络接口、传输协议(tcp、udp等。).
添加规则的命令格式如下：
iptables[-ai chain][-io interface][-p协议] [-s源IP] [-d目标IP]-j[接受、丢弃、拒绝、记录]
-A:为一个规则链添加一个规则，新添加的规则排在已有规则之后。
-I:为一个规则链插入一个规则，可以指定链中新插入的规则的序号。如果不指定序号，新规则将成为第一个规则。
-i:指定数据包进入的网络接口，如eth0、lo等。需要和输入链配合使用。
-o:指定传出数据包的网络接口，它需要与输出链一起使用。
-p:指定此规则适用于哪个网络协议(常用的协议有tcp、udp、icmp和适用于所有协议的所有手段)。
-s:指定数据包的源IP/网段。您可以指定一个IP，如192.168.1.100，也可以指定一个网段，如192.168.1.0/24。还是可以通过的！表示没有，比如！192.168.1.0/24表示192.168.1.0/24以外的数据包。
-d:指定数据包的目的IP/网段，其他同-s选项。
-j:指定匹配成功后的行为，主要包括接受、丢弃、拒绝和日志。
我们来看几个例子。
打开本地接口lo:
$ sudo iptables -A输入-i lo -j接受
上述命令假设l0接口是一个可信设备，所有进出该接口的数据包都将被接受。
请注意，在上面的命令中没有设置-s和-d等参数。事实上，没有指定的参数表明可以接受该参数的任何值。
完全释放一个接口。
类似于lo接口，如果您完全信任一个接口，您可以像设置lo一样设置它：
$ sudo iptables -A输入-i eth1 -j接受
仅接受来自内部网网段的数据包：
$ sudo iptables -A输入-i eth2 -s 192.168.10.0/24 -j接受
接受/丢弃来自指定IP的数据包：
$ sudo iptables -A输入-i eth3 -s 192.168.100.5 -j接受
$ sudo iptables-A INPUT-I eth 3-s 192 . 168 . 100 . 6-j DROP
然后看看过滤表的规则：
$ sudo iptables -L -v
Iptables-save命令提供了另一种风格的输出：
$ sudo iptables-保存
在规则中使用端口号。
在我们添加的规则中，经常需要指定网络协议(tcp，udp等。)和相关的端口号。基本命令格式如下：
iptables[-ai chain][-io interface][-p TCP，UDP] [-s源IP] [ - sport端口范围] [-d目标IP][-d端口范围]-j[接受，丢弃，拒绝]
- sport:受限源的端口号，可以是单个端口，也可以是一个范围，比如1024:1050。
- dport:受限目标的端口号。
注意，因为只有 tcp 协议和 udp 协议使用了端口号，所以在使用 --sport 和 --dport 时，一定要指定协议的类型(-p tcp 或 -p udp)。
这里有几个例子。
丢弃所有通过tcp协议访问本机端口21的数据包：
$ sudo iptables-A INPUT-I eth 0-p TCP-dport 21-j DROP
从访问本地ssh端口的192.168.1.0/24的端口1024:65535丢弃数据包：
$ sudo iptables-A INPUT-I eth 0-p TCP-s 192 . 168 . 1 . 0/24-sport 1024:65535-d port ssh-j DROP
通用插件模块
在linux内核2.2之前，使用ipchains管理防火墙时，需要控制数据包的进出方向。
例如，当连接到远程主机的端口22时，必须设置两条规则：
本地端口1024:65535到远程端口22必须释放(输出链)；
远程主机端口22到本地端口1024:65535必须释放(输入链)；
这个很麻烦。例如，如果您想要连接10台远程主机的22个端口，即使您的本地输出设置为ACCEPT，
您仍然需要添加10个输入接受规则，以接受来自这10台远程主机的22端口数据包(输入的默认策略是DROP)。
Iptables解决了这个问题，它会通过一个状态模块对其进行分析：这个数据包是您想要输入的对您发送的请求的响应吗？如果判断是对自己请求的响应，就释放这个包。
使用状态模块的基本命令格式如下：
iptables-输入[-m状态] [ -状态无效、已建立、新、相关]
-m:指定iptables的插件模块。通用模块包括：
状态：状态模块
Mac:处理网卡硬件地址的模块。
- state:指定数据包的状态。常见的状态有：
无效：无效的数据包状态
已建立：成功连接的数据包状态。
NEW:要为其建立新连接的数据包的状态。
相关：这是最常用的一个。意味着该数据包与我们的主机发送的数据包相关。
这里有几个例子。
只要连接已经建立或相关数据包被接受：
$ sudo iptables -A输入-m状态-状态相关，ESTABLISHED -j接受
只要是非法数据包，就将其丢弃：
$ sudo iptables-A INPUT-m state-state无效-j DROP
保存iptables的配置
请注意，我们通过iptables命令设置的规则存储在内存中，这意味着当系统重新启动时，所有配置都将丢失。
我们可以通过iptables-save命令将iptables的配置保存到一个文件中：
$ sudo touch /etc/iptables.conf
$ sudo chmod 666/etc/iptables . conf
$ sudo iptables-save/etc/iptables . conf
必要时，通过iptables-restore命令导入文件中的配置信息：
$ sudo iptables-restore/etc/iptables . conf
总结
Iptables是一个复杂的命令，本文只介绍一些基本用法。接下来，我们将介绍如何通过iptables构建基本的防火墙配置和NAT服务器。
参考：
netfilter/iptables文档
iptables手册页
Ubuntu IptablesHowTo
Iptables教程
总结
以上是边肖为您介绍的Linux iptables命令。希望对你有帮助。如果您有任何问题，请给我留言，边肖将及时回复您。非常感谢您对我们网站的支持！
郑重声明：本文由网友发布，不代表盛行IT的观点，版权归原作者所有，仅为传播更多信息之目的，如有侵权请联系，我们将第一时间修改或删除，多谢。