iptables總結_01

一、3表5鏈

     4表(規則表)：Filter、NAT、Mangle、Raw

    filter: 數據包過濾

    nat: 網絡地址轉換

    mangle: 為數據包設置標簽

    raw: 對數據包進行狀態跟蹤

    5鏈：INPUT、OUTPUT、FORWARD、PREROUTING、POSTROUTING

    input: 發往本地運行的守護程序的數據包

    forward： 來自遠程主機，發往遠程主機的數據包

    output： 發源于本地運行的守護程序的數據包

    Filter表(默認)：INPUT、OUTPUT、FORWARD

    NAT表：PREROUTING、POSTROUTING、OUTPUT

    Mangle（破壞者）：早期僅有PREROUTING及OUTPUT鏈，從kernel 2.4.18之后加入INPUT及FORWARD鏈

二、iptables語法

    1、規則的查看與清除

        iptables [-t table] [-L] [-nv]

        -t :后接table，比如nat或filter，默認為filter

        -L :列出table的規則

        -n :不進行IP與HOSTNAME反查

        -v :列出更多信息

    2、列出完整防火墻規則

        iptables-save [-t table]

    3、清除規則

        iptables [-t table] [-FXZ]

        -F :清除所有的已制定的規則

        -Z :清除掉所有自定義的tables

        -X :將所有的chain的計數與流量統計都歸零

    4、定義默認的策略（policy）

        iptables [-t nat] -P [INPUT,OUTPUT,FORWARD] [ACCEPT,DROP]

    5、針對IP、網絡及接口設備的設置

        iptables [-AI 鏈名] [-io 網絡接口] [-p 協議] [-s 來源IP/網絡] [-d 目標IP/網絡] 

                 -j [ACCEPT|DROP|REJECT|LOG]

        -A :新增一條規則

        -I ;插入一條規則

        -i :數據包進入的網絡接口，如eth0,lo等。需與INPUT鏈結合

        -o :數據包出去的網絡接口，需與OUTPUT鏈結合

        -p :協議

    6、針對端口的設置

        iptables [-AI 鏈] [-io 接口] [-p tcp,udp] [-s 來源IP/網絡] [--sport 端口范圍]

                 [-d 目標IP/網絡] [--dport 端口范圍] -j [ACCEPT|DROP|REJECT|LOG]

    7、iptables外掛模塊：mac與state

        iptables -A INPUT [-m state] [--state 狀態]

        -m :iptables的外掛模塊

            state :狀態模塊

            mac :網卡硬件地址

                --mac-source :來源主機mac

        --state :一些數據包的狀態

            INVALID :無效數據包

            ESTABLISHED :已經連接成功的連接狀態

            NEW :新建立連接的數據包狀態

            RELATED :數據包是與主機發送出去的數據包有關

    8、針對ICMP數據包規則設置

        iptables -A INPUT [-p icmp] [--icmp-type 類型] -j ACCEPT

    9、規則保存

        /etc/init.d/iptables save

    10、IPV4的內核管理功能：/proc/sys/net/ipv4/*

        1)/proc/sys/net/ipv4/tcp_syncookies(阻擋SYN Flooding)

            echo "1" > /proc/sys/net/ipv4/tcp_syncookies

        2)/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

            echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

        3)/proc/sys/net/ipv4/conf/網絡接口/*

            rp_filter:逆向路徑過濾

            log_martians:記錄不合法的IP來源

         注：可以修改系統設置，即/etc/sysctl.conf

            vi /etc/sysctl.conf

                ……

            sysctl -P