Linux-iptables

• 是一个基于命令行的防火墙工具，使用规则来允许/阻止网络流量。当一条网络连接试图在你的系统中建立时，iptable会查找其他指定链。
• 可以进行启动，停止的。启动，则将规则直接生效，停止，则将规则撤销。

安装配置

//iptable安装
yum install iptables iptables-services
//启动
systemctl start iptables
//关闭
systemctl stop firewalld

相关应用

• 重启ipables，所有规则全部消失
• 使用：service iptables save 保存iptables的规则
• cat /etc/sysconfig/iptables 存放命令行

//将端口号以数字形式显示默认表filter中的规则
iptables -L
iptables -nL  

//这两条命令一旦执行，所有流量无法进入，所有流量无法出站，断网状态
iptables -I INPUT -j DROP   所有入站流量全部丢弃，包括SSH请求
iptables -I OUTPUT -j DROP  所有出站流量全部丢弃，包括SSH响应

//所有经过我这台服务器的流量全部被丢弃，包括SSH请求/响应
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP

//打开目标端口22,80;接收流经该端口的流量
iptables -I INPUT -p tcp --dport 22 -j ACCEPT
iptables -I INPUT -p tcp --dport 80 -j ACCEPT
//打开源端口22,80;接收流经该端口的流量
iptables -I OUTPUT -p tcp --sport 22 -j ACCEPT
iptables -I OUTPUT -p tcp --sport 80 -j ACCEPT

//可以同时设定多个端口被允许
iptables -I INPUT -p tcp -m multiport --dports 22,80,443 -j ACCEPT
//清空
iptables -F

端口转发

PREROUTING访问8888时，转发给目标服务器和目标端口

• 本机端口转发，例：80端口对外封闭，开放一个45692供外部访问，外部只知道45692，不知道80 可以避免协议猜测

iptables -t nat -A PREROUTING -p tcp --dport 7777 -j REDIRECT --to-port 80

• 远程端口转发，把本机接收到的请求转发到远程电脑和对于端口上（远程可以是本地局域网，也可以是公网服务器）

iptables -t nat -A PREROUTING -d 192.168.102.140 -p tcp --dport 8888 -j DNAT --to-destination

远程端口转发需要确定端口转发功能是启用的
vi /etc/sysctl.conf
net.ipv4.ip_forward = 1
sysctl -p /etc/sysctl.conf