man帮助

man iptables
man iptables-extensions

规则格式

image.png

iptables [-t table] SUBCOMMAND chain [-m matchname [per-match-options] ] -j targetname [per-target-options]

-t table

raw, mangle, nat, [filter]默认

SUBCOMMAND

链管理

-N：new 自定义一条新的规则链
-X：delete，删除自定义的空的规则链
-P：policy，设置默认策略；对filter表而言，默认策略有ACCEPT和DROP
-E：重命名自定义链

查看

-L list，列出指定链上的所有规则，本选项须置后
-n numberic，以数字格式显示地址和端口号
-v verbose，详细信息，-vv
-x exactly，显示计数器结果的精确值，而非单位转换后的易读值
--line-numbers：显示规则序号

iptables -vnL
iptables --vvnxL --line_numbers

规则管理

-A append，追加
-I insert，插入，要指明插入至的规则编号，默认为第一条
-D delete，删除，（1）指明规则序号，指明规则本身
-R replace，替换指定链上的指定规则编号
-F flush，清空指定规则链
-Z zero，置零
iptables每条规则都有2个计数器，（1）匹配到的报文个数（2）匹配到的所有报文大小之和

chain

PREROUTING, INPUT, FORWARD,OUPUT, POSTROUTING

匹配条件

基本匹配条件

-s address[/mask] 源IP地址或范围
-d address[/mask] 目标IP地址或范围
-p protocol tcp,udp, icmp, ...
-i 报文流入接口，INPUT，FORWARD，PREROUTING
-o 报文流出接口，OUTPUT，FORWARD，POSTROUTING

扩展匹配条件

需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效

隐式扩展

tcp
udp
icmp

显式扩展

multiport
允许多个端口
iprange
mac
string
time
connlimit
limit
stat

处理动作

-j targetname [per-target-options]
target
ACCEPT, DROP, REJECT, RETURN
LOG, SNAT, DNAT, REDIRECT, MASQUERADE
LOG, 将日志记录在/var/log/messages

规则优化

安全放行所有入站和出站的状态为ESTABLISHED状态连接
谨慎放行入站的新请求
有特殊目的限制访问功能，要在放行规则之前加以拒绝
同类规则（访问同一应用），匹配范围小的放在前面，用于特殊处理
不同类的规则（访问不同应用），匹配范围大的放在前面
应该将那些可由一条规则能够描述的多个规则合并为一条
设置默认策略，建议白名单（只放行特定连接）

iptables -P，不建议
建议在规则的最后定义规则做为默认策略

保存恢复iptables rule

iptables-save > /data/my.rules
iptables-restore < /data/my.rules

vim /etc/rc.d/rc.local
iptables-restore < /data/my.rules

实践

# 删除rule
iptables -D INPUT 2
# 
iptables -A INPUT -s 192.168.80.3 -j ACCEPT
iptables -A INPUT -s 192.168.80.0/24 -j REJECT

# 插入规则
iptables -I INPUT -s 192.168.80.13 -j ACCEPT
iptables -I INPUT 2 -s 192.168.80.13 -j ACCEPT
# 替代规则
iptables -R INPUT 2 -s 192.168.80.14 -j ACCEPT
# INPUT计数清零
iptables -Z INPUT

# 一次添加多个规则
iptables -I INPUT 2 -s 192.168.80.14,192.168.80.15 -j ACCEPT
# 拒绝所有输入
iptables -A INPUT -j REJECT
# 允许网卡lo
iptables -I INPUT 5 -i lo -j ACCEPT

# INPUT默认policy为DROP
# iptebales -P INPUT DROP

# 允许http访问
iptables -I INPUT 2 -s 192.168.80.12 -p tcp --dport 80 -j ACCEPT

# 允许mysql
iptables -I INPUT 2 -s 192.168.80.12 -p tcp --dport 3306 -j ACCEPT

# 拒绝握手
iptables -I INPUT 3 -s 192.168.80.13 -p tcp --syn -j REJECT

# 允许icmp响应报文
iptables -I INPUT 4 -p icmp --icmp-type 0 -j ACCEPT

# 允许多个端口
iptables -R INPUT 4 -p tcp -m multiport --dport 139,445 -j ACCEPT

# 设置mac
iptables -I INPUT 3 -m mac --mac-source 00:0c:29:00:a1:17 -j ACCEPT

# 设置过滤string
iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --string "google" -j REJECT

# 设置访问时间
iptables -I INPUT 3 -m time --timestart 1:00 --timestop 10:00 -j ACCEPT

# 并发连接超过100时拒绝连接
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 100 -j REJECT

# 超过10个连接时每分钟只能连接20次
iptables -I INPUT -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 10 -j ACCEPT

# 老用户不受影响，新用户拒绝
iptables -I INPUT 3 -p tcp --dport 22 -m state --state ESTABLISHED,RELATED -j ACCEPT

# 日志记录
iptables -I INPUT -s 10.0.1.0/24 -p tcp -m multiport --dports 80,21,22,23 
-m state --state NEW -j LOG --log-prefix "new connections: "

iptables命令