【Iptables】07 IPtables扩展匹配条件之UDP扩展与ICMP扩展

关注

转载最新推荐文章于 2026-05-22 09:11:29 发布 444 阅读 AI 写同款· GEO 优化 ›

iptables(4)规则匹配条件(源、目、协议、接口、端口) 上篇文章中我们介绍的规则是匹配源地址，通过-s参数指定源地址，那我们从源地址开始逐步介绍。图中我指定的源地址是单个IP地址一次指定多个源IP地址通过“，”隔开多个地址，可以一次性指定多个源地址，但是指定了多个不连续的源地址后，在iptables列表中会列出多行显示。注意逗号两侧都没有空格，多个IP之间通过逗号隔开一次性指定一个网段直接使用网段信息，来设置源地址段，那么该条规则就会匹配源地址是这个网段来的所有数据反向匹配(条件取反)！阅读详情

特别说明：此系列博文根据朱双印博客-iptables系列博文，个人实践后总结，此为个人笔记精简版，更通俗易懂请参考朱双印博客-iptables系列博文原文内容，诸君必能有所收获

07 IPtables扩展匹配条件之UDP扩展与ICMP扩展

udp扩展模块

先来看看UDP扩展模块，该模块和tcp扩展模块相似，但只要两个扩展选项，即 --sport 和 --dport，用于匹配源地址端口号和目标地址端口号，使用方式也和tcp扩展模块一样，只不过在使用时用 -p 指定udp端口和 -m 选项指定了 udp 扩展模块；

下面是一些示例，如匹配目标地址的UDP端口10050，可以定义以下规则

iptables -I INPUT -p udp -m udp --dport 10050 -j REJECT

在使用了-p 选项指定了udp端口后，可以不使用 -m选项指定dup扩展模块

iptables -I INPUT -p udp --dport 10050 -j REJECT

也同样可以指定连续端口，同样可以使用multiport扩展模块指定不连续端口

iptables -t filter -I INPUT -p udp --dports 22:80 -j REJECT

iptables -I INPUT -p udp -m multiport --dports 22,80,3306 -j REJECT

icmp扩展模块

ICMP协议即互联网控制报文协议，它主要是用于探测网络上的主机是否可用，目标是否到达，网络是否通畅等，我们常用的ping命令就是使用的这个协议

当我们使用ping命令时，如果可用联通，主机一般会对Ping命令做出回应，虽然都是icmp协议的报文，但是它们的所属类型是不一样的，如发出去的ping请求类型为8的icmp报文，对方主机返回的ping报文则属于类型0的ICMP报文，由于类型较多，这里只介绍常用的几个类型
在这里插入图片描述
如，所以表示"目标不可达"的icmp报文的type码都是3，而目标不可达有可能是网络不可达，主机不可达，端口不可达等，我们就需要细化区分，icmp对每种type细分了对应的code，用不同的code对应具体的场景，使用时，一般用type/code去匹配具体类型的icmp报文，如使用"3/1"去表示主机不可达的icmp报文

我们常用的ping命令的回应icmp报文类型为0，其code也为0，并且它是属于Query，即查询类型的报文，而类型3这种，属于的是错误类报文

我们发出的ping命令，其报文类型为8，code为0；而对方回复(回应)，则类型是0，code为0；

现在，我们假设不让所有的icmp类型的报文进入本机，可以直接 -p选项指定协议类型，进行协议匹配，不区分type和code这些

iptables -I INPUT -p icmp -j REJECT

如果想要我们能ping通别人，别人不能ping通我们，我们就需要更改规则了

iptables -I INPUT -p icmp -m icmp --icmp-type 8/0 -j REJECT
在这里插入图片描述

可以看到，别的主机ping本机时会返回错误信息，ping发送的报文信息type为8，code为0，返回的报文信息type为0，code为0；所以我们能ping通别人，因为没有INPUT链上的规则禁止了类型为0，code为0的报文，而别人ping我们主机时，则因为是类型为8的报文，被规则匹配后拒绝