iptables 的基本操作

[root@www ~]# iptables [-t nat] -P [INPUT,OUTPUT,FORWARD] [ACCEPT,DROP]選項與參數：
-P ：定義政策( Policy )。注意，這個 P 為大寫啊！
ACCEPT ：該封包可接受
DROP   ：該封包直接丟棄，不會讓 client 端知道為何被丟棄


[root@www ~]# iptables [-AI 鏈名] [-io 網絡接口] [-p 協議] \> [-s 來源IP/網域] [-d 目標IP/網域] -j [ACCEPT|DROP|REJECT|LOG]選項與參數：
-AI 鏈名：針對某的鏈進行規則的 "插入" 或 "累加"
    -A ：新增加一條規則，該規則增加在原本規則的最后面。例如原本已經有四條規則，
         使用 -A 就可以加上第五條規則！
    -I ：插入一條規則。如果沒有指定此規則的順序，默認是插入變成第一條規則。
         例如原本有四條規則，使用 -I 則該規則變成第一條，而原本四條變成 2~5 號
    鏈 ：有 INPUT, OUTPUT, FORWARD 等，此鏈名稱又與 -io 有關，請看底下。

-io 網絡接口：設定封包進出的接口規范
    -i ：封包所進入的那個網絡接口，例如 eth0, lo 等接口。需與 INPUT 鏈配合；
    -o ：封包所傳出的那個網絡接口，需與 OUTPUT 鏈配合；

-p 協定：設定此規則適用于哪種封包格式
   主要的封包格式有： tcp, udp, icmp 及 all 。

-s 來源 IP/網域：設定此規則之封包的來源項目，可指定單純的 IP 或包括網域，例如：
   IP  ：192.168.0.100
   網域：192.168.0.0/24, 192.168.0.0/255.255.255.0 均可。
   若規范為『不許』時，則加上 ! 即可，例如：
   -s ! 192.168.100.0/24 表示不許 192.168.100.0/24 之封包來源；

-d 目標 IP/網域：同 -s ，只不過這里指的是目標的 IP 或網域。

-j ：后面接動作，主要的動作有接受(ACCEPT)、丟棄(DROP)、拒絕(REJECT)及記錄(LOG)

# iptables [-AI 鏈] [-io 網絡接口] [-p tcp,udp] 
\> [-s 來源IP/網域] [--sport 埠口范圍] 
\> [-d 目標IP/網域] [--dport 埠口范圍] -j [ACCEPT|DROP|REJECT]

[root@www ~]# iptables -A INPUT [-m state] [--state 狀態]選項與參數：
-m ：一些 iptables 的外掛模塊，主要常見的有：
     state ：狀態模塊
     mac   ：網絡卡硬件地址 (hardware address)
--state ：一些封包的狀態，主要有：
     INVALID    ：無效的封包，例如數據破損的封包狀態
     ESTABLISHED：已經聯機成功的聯機狀態；
     NEW        ：想要新建立聯機的封包狀態；
     RELATED    ：這個最常用！表示這個封包是與我們主機發送出去的封包有關

iptables -F
#殺掉所有使用者"自定義"的chain
iptables -X
#將所有chain的計數與流量都歸零
iptables -Z

#給filter表格的三條chain設置默認規則
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

#基本規則
iptables -i lo -j ACCEPT 
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A INPUT -m mac --mac-source 94:de:80:89:41:93 -j DROP
#只要是來自lo接口或者通過lo接口出去都放行
iptables -A INPUT -icmp -j ACCEPT

#自定義規則
#對于filter 的INPUT chain,來自192.168.200.158的ip，目標主機接口是
eth0,目標port是22的丟棄,且進行的是tcp連接則丟棄,ssh
iptables -A INPUT -p tcp -s 192.168.200.158  -i eth0 --dport 22 -j DROP
iptables -A INPUT -p udp -s 192.168.200.158  -i eth0 --dport 22 -j DROP

#對于filter 的INPUT chain,來來自端口號1024:65000，在通過192.168.200.158的ip,到通過主機接口
#eth0 到端口號21 進行tcp連接，則丟棄.注意:這里-p 一定要在 --sport 的前面.
iptables -A INPUT -p tcp --sport 1024:65000 -s 192.168.200.158 -i eth0 --dport 21 -j DROP
#注意syn:主動連接標志
iptables -A INPUT -p tcp --sport 1024:65000 -i eth0 --dport 22 --syn -j DROP

iptables -A INPUT -s 192.168.200.156 -i eth0 -j DROP
#對于INPUT chain,來自192.168.200.0這個網段的ip 經過主機的eth0網絡接口都放行
iptables -A INPUT -s 192.168.200.0/24 -i eth0 -j ACCEPT

#icmp
icmp_type="0 3 4 8 11 12 14 16 18"
for typeicmp in $icmp_type
do
    iptables -A INPUT -p icmp --icmp-type $typeicmp -s 192.168.200.156 -j ACCEPT
    iptables -A INPUT -p icmp --icmp-type $typeicmp -s 192.168.200.158 -j ACCEPT
done
iptables -A INPUT  -s 192.168.200.157 -j ACCEPT #使得192.168.200.157能夠ping 192.168.200.157
iptables -A INPUT -s 127.0.0.1 -j ACCEPT #使得192.168.200.157能夠ping通127.0.0.1（localhost）
service iptables save