iptables服务详解

最新推荐文章于 2025-08-25 19:35:30 发布
转载 最新推荐文章于 2025-08-25 19:35:30 发布 · 46 阅读 · 0 ·
CC 4.0 BY-SA版权
原文链接：https://www.cnblogs.com/zqfstack/p/19034534
文章标签：

#it

安装iptables

/* by yours.tools - online tools website : yours.tools/zh/bootstrapicon.html */
# 1. 关闭selinux,不关闭selinux，iptables不读取配置文件　　　
sed -i 's#SELINUX=enforcing#SELINUX=disabled#' /etc/selinux/config
setenforce 0

# 2. 关闭firewalld并关闭开机自启
centos7中默认的防火墙是firewalld，使用iptables需要先关闭firewalld防火墙
systemctl stop firewalld
systemctl disable firewalld

# 3. 安装iptables
yum install iptables-services   iptables  -y

# 4. 启动和查看iptables状态
systemctl start iptables
systemctl enable iptables

# 5. 检查内核模块
lsmod |egrep "nat|filter|ip"
ip_tables              27126  1 iptable_filter   ###真正处理规则的。

# 6. 加载如下模块到linux内核
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state

# 7. 添加开机自动加载
cat >> /etc/rc.local  << EOF
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state
EOF
chmod +x /etc/rc.d/rc.local

# 8. 开启ipv4转发
echo "net.ipv4.ip_forward = 1"  >> /etc/sysctl.conf
sysctl -p
net.ipv4.ip_forward = 1

iptables工作流程

iptables是采用数据包过滤机制工作的，所以它会对请求的数据包的包头数据进行分析，并根据我们预先设定的规则进行匹配来决定是否可以进入主机。

  1. 防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。
  2. 如果匹配上了规则，即明确表明是阻止还是通过，此时数据包就不在向下匹配新规则了。
  3. 如果所有规则中没有明确表明是阻止还是通过这个数据包，也就是没有匹配上规则，向下进行匹配，直到匹配默认规则（最后一条）得到明确的阻止还是通过。
  4. 防火墙的默认规则是对应链的所有的规则执行完以后才会执行的（最后执行的规则）。

iptables的表与链介绍

  1. Filter表(常用)：
    • INPUT链: 处理来自外部的数据。
    • OUTPUT链: 处理向外发送的数据。
    • FORWARD链: 处理转发到本机的其他网卡设备上的数据。
  2. NAT表（常用）:
    • PREROUTING: 处理刚到达本机并在路由转发前的数据包。它会转换数据包中的目标IP地址（destination ip address），通常用于DNAT(destination NAT)。
    • POSTROUTING链: 处理即将离开本机的数据包。它会转换数据包中的源IP地址（source ip address），通常用于SNAT（source NAT）。
    • OUTPUT链: 处理本机产生的数据包。
  3. Mangle表（基本不用）: 用于指定如何处理数据包。它能改变TCP头中的QoS位
  4. Raw表（基本不用）: 用于处理异常

iptables默认规则解析

/* by yours.tools - online tools website : yours.tools/zh/bootstrapicon.html */
cat /etc/sysconfig/iptables
# sample configuration for iptables service
# you can edit this manually or use system-config-firewall
# please do not ask us to add additional ports/services to this default configuration
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
# 放行所有 已建立的连接（ESTABLISHED） 和 关联的连接（RELATED）,确保正常的双向通信，避免影响现有会话。
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# 允许所有 ICMP 协议流量
-A INPUT -p icmp -j ACCEPT
# 允许本地回环流量
-A INPUT -i lo -j ACCEPT
# 允许 SSH 连接 ,放行新的 SSH 连接请求,当ssh连接已经建立时，再发起请求时第一条规则发挥作用（放行）
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
# 拒绝所有转发流量，并且以ICMP协议回应，生产环境中建议直接把（REJECT --reject-with icmp-host-prohibited）改为（DROP），因为默认的规则会有回应操作，如果遭受大量攻击访问，也是不小的请求负载，而DROP直接拒绝，不回应任何信息。
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

iptables的rules解释

Rules包括一个条件和一个目标(target)，如果满足条件，就执行目标(target)中的规则或者特定值。如果不满足条件，就判断下一条Rules。

目标值

ACCEPT: 允许防火墙接收数据包
DROP: 防火墙丢弃包
QUEUE: 防火墙将数据包移交到用户空间
RETURN: 防火墙停止执行当前链中的后续Rules，并返回到调用链(the calling chain)中。

描述规则的参数

以下这些规则参数用于描述数据包的协议、源地址、目的地址、允许经过的网络接口，以及如何处理这些数据包。这些描述是对规则的基本描述。

-p 协议: 指定规则的协议，如tcp, udp, icmp等，可以使用all来指定所有协议。如果不指定-p参数，则默认是all值。
-s 源地址: 指定数据包的源地址,如果不指定-s参数，就代表所有地址
-d 目的地址: 指定目的地址
-j 执行目标: 指定了当与规则(Rule)匹配时如何处理数据包,可能的值是ACCEPT, DROP, QUEUE, RETURN
-i 输入接口: 指定了要处理来自哪个接口的数据包,如果不指定-i参数，那么将处理进入所有接口的数据包
-o 输出接口: 指定了数据包由哪个接口输出,如果不指定-o选项，那么系统上的所有接口都可以作为输出接口
-sport 源端口: 针对 -p tcp 或者 -p udp, 缺省情况下，将匹配所有端口
--dport 目的端口: 针对-p tcp 或者 -p udp
--icmp-type ICMP类型: 针对-p icmp

iptables常用命令

查看现有规则

# 查看所有表中的规则：
sudo iptables -L -v -n
# -L:列出规则
# -v:显示详细信息，包括数据包计数和字节数
# -n: 以数字形式显示 IP 地址和端口号，而不是解析主机名

# 查看特定表中的规则：
sudo iptables -t nat -L -v -n

# 查看对应规则的序号:
iptables -L -n --line-numbers

添加规则

iptables -A INPUT -p tcp -s 192.168.1.10 --dport 80 -j ACCEPT
# -A:将规则添加到INPUT链
# -p:指定协议
# -s:指定源ip
# --dport:目标端口
# -j ACCEPT:表示接受流量

# FORWARD链中添加一条规则，丢弃来自特定 IP 的所有流量：
sudo iptables -A FORWARD -s 10.0.0.5 -j DROP
# -s:源ip地址
# -j DROP:匹配后丢弃流量

# 根据序号添加规则：
iptables -I  INPUT 2 -s 172.0.0.0/8  -p tcp --dport 10255 -j ACCEPT
# 上述命令会在 INPUT 链的第 2 条规则之前插入一条新规则

删除规则

# 删除特定链中的一条规则，假设规则编号为 2：
iptables -D INPUT 2

# 删除特定表特定链中的一条规则
iptables -t nat -D  PREROUTING 1
# -D: 表示删除
# 1: 规则编号
# -t 表示选择哪个表

# 根据规则内容删除规则：
iptables -D INPUT -p tcp -s 192.168.1.10 --dport 80 -j ACCEPT
# 与添加规则时相同的选项，但使用-D来删除规则

修改规则

不支持直接修改规则，只能先删除原有规则，再添加修改后的规则。

# 先删除旧规则：
iptables -D  INPUT -p tcp -s 192.168.1.10 --dport 80 -j ACCEPT

# 然后添加修改后的规则：
iptables -A  INPUT -p tcp -s 192.168.1.10 --dport 8080 -j ACCEPT

清空规则

# 清空所有链中的规则，默认为filter表
sudo iptables -F 

# 清空特定链中的规则
sudo iptables -F INPUT

# 清空特定表中的规则
sudo iptables -t nat -F  

# 清空特定表特定链中的规则
sudo iptables -t nat -F PREROUTING

设置链的默认策略

# 设置INPUT链的默认策略为丢弃流量
iptables -P INPUT DROP

# 设置默认策略为接受
iptables -P INPUT ACCEPT

设置端口转发

  1. 192.168.171.139:5555转发到192.168.171.1:9999端口
iptables -t nat -A PREROUTING --dst 192.168.171.139 -p tcp --dport 5555 -j DNAT --to-destination 192.168.171.1:9999
iptables -t nat -A POSTROUTING --dst 192.168.171.1 -p tcp --dport 9999 -j SNAT --to-source 192.168.171.139

# -t:指定表
# -A:添加
# -j DNAT --to-destination:目标地址转换
  1. 实现内网机器访问外网

A机器：公网100.100.137.20 内网192.168.1.10

B机器：内网：192.168.1.11

1. 将B机器的默认路由网关改为A机器的内网IP
2. iptables -t nat -A POSTROUTING -s 192.168.1.0/255.255.255.0 -j SNAT --to-source 100.100.137.20

iptables备份和恢复

备份iptables规则

# 备份所有表的规则:
iptables-save > /opt/iprules_all.txt

# 默认将所有规则保存到“/etc/sysconfig/iptables”文件中
service iptables save

恢复iptables规则

# 将上面所备份的规则恢复到iptables中：
iptables-restore < /opt/iprules_all.txt

# 默认将/etc/sysconfig/iptables文件中的内容加载到iptables中，也就是说，如果备份使用的是service iptables save那么恢复的时候就应该使用service iptables start
service iptables start
cmdos
关注
全网超详细的Linux iptables命令详解以及详解iptables-save和iptables-restore命令
念兮为美
02-21 5293
全网超详细的Linux iptables命令详解，详解iptables-save和iptables-restore命令，防火墙的备份与删除，iptables的四表——filter表(过滤规则表)，nat表(地址转换规则表)，mangle表(修改数据标记位规则表)，raw表(跟踪数据表规则表)和五链——input，output，forward，preRouting，postRounting， iptables语法格式，ChatGPT的详细介绍等
Linux ❀ iptables服务详解
无糖可乐没有灵魂
06-29 2332
在iptables中，-J选项用于指定应该执行哪个目标（target）动作，允许用户定义自己的目标动作。
iptables详解
sky学linux的博客
07-17 1561
1.表：优先级：数据包按 raw → mangle → nat → filter 的顺序经过各表raw 表：控制数据包是否被状态跟踪机制处理，绕过连接跟踪以提升性能PREROUTINGOUTPUTmangle 表：修改数据包的标记或元数据（如TTL、TOS、MARK），用于流量整形或策略路由。PREROUTINGINPUTOUTPUTFORWARDnat 表：网络地址转换PREROUTING：数据包进入“路由前”，修改“目标”地址（DNAT），路由重定向。
【Linux】iptables 命令详解
言之。
05-16 1万+
## **1. iptables 的作用** `iptables` 是 Linux 系统上最常用的 **防火墙工具**，用于配置内核的 **netfilter** 包过滤框架，主要功能包括： - **包过滤（Packet Filtering）**：允许/拒绝网络数据包（如防火墙规则）。 - **网络地址转换（NAT）**：实现 SNAT（源地址转换）、DNAT（目标地址转换）。 - **端口转发（Port Forwarding）**：将外部请求转发到内部服务器。 - **流量统计（Traffic Accou
iptables使用详解
热门推荐
weixin_38166318的博客
10-16 3万+
如何使用Iptables实现网络安全访问？iptables为什么默认限制不了docker暴露的端口？
Iptables加固服务器安全
菜鸟运维升级之路
12-31 846
当项目过三级等保或者服务器安全测评时,常常会被客户找的第三方测评公司进行安全扫描,常被扫描出来各种系统问题,针对严重问题可以进行系统升级、服务再次改造等,如果是一些次要问题或者必须要放开一些端口时,这种情况就得使用服务器上的防火墙进行安全加固,例如:iptables、firewalld。再本文中将使用iptables的使用、原理展开学习。
iptables 防火墙详解
jstjx__ml的博客
08-25 1040
Netfilter：Linux 内核的一个子系统，集成在内核中，是防火墙功能的实际实现者，工作在内核空间。它提供了一套框架，允许对网络数据包进行过滤、修改（NAT）等操作。iptables：是一个用户空间的命令行工具，用于设置、维护和检查 Linux 内核中 Netfilter 的防火墙规则表。它是用户与 Netfilter 交互的接口。简单来说，Netfilter 是引擎，iptables 是方向盘和仪表盘。iptables 哪个几个组成 netfiter内核态 iptables 用户态。
iptables防火墙详解
2401_87322981的博客
12-07 1258
检查iptables状态在开始配置iptables之前，首先要确保iptables服务是否已启动并检查当前的规则。查看iptables服务状态此命令会显示iptables服务是否正在运行。查看当前iptables规则此命令列出当前生效的iptables规则。若未安装iptables或无配置规则，可能不会显示任何内容。安装iptables如果服务器上未安装iptables，可以使用以下步骤进行安装。下载iptables安装包：通过wget命令下载所需的安装包。安装iptables。
Linux iptables使用详解
JAVA领域优质创作者，基于分片网络查询方法专利发明者。
06-13 1992
一、Linux系统下使用iptables在Linux中，常用的防火墙工具是iptables。以下是一些基本的iptables命令，用于配置防火墙规则。查看现有的iptables规则：清除所有现有的规则（慎用，可能导致服务不可用）：允许特定端口（例如，允许TCP端口80）：拒绝来自特定IP的访问：# 假设要限制的IP段为192.168.1.0/24，你可以使用以下命令：允许特定IP的访问：保存规则，使其在重启后生效（可选，取决于发行版）：或者在某些系统中，您可能需要使用。
iptables服务讲解
Liang_GaRy的博客
10-18 1389
Linux-iptables服务讲解
精选资源
iptables详解：图文并茂理解iptables.pdf
05-18
iptables 防火墙 linux
iptables手册详解
11-08
iptables手册详解，静态网页版，对netfile网络基础知识做全面介绍，详细讲解iptables命令以及应用场景。
mamba-ssm-2.2.2-cp310-cp310-win-amd64.whl+安装环境+测试脚本.7z
最新发布
12-15
编译环境： vs2022 win10 x64 anaconda3+python3.10 torch==2.3.1+cu118 cuda11.8.0+cudnn8.9.7 triton==2.1.0 causal_conv1d==1.4.0 mamba==2.2.2 RTX2070显卡 注意编译的whl是不能用于RTX50显卡的，可以用于RTX20-RTX40系列显卡，安装时候尽量和模块一致
toplus1s_calculator_32040_1765656584703.zip
12-15
toplus1s_calculator_32040_1765656584703.zip
【创新无忧】基于多元宇宙优化算法MVO优化相关向量机RVM实现数据多输入单输出回归预测附matlab代码.zip
12-15
1.版本：matlab2014a/2019b/2024b 2.附赠案例数据可直接运行。 3.代码特点：参数化编程、参数可方便更改、代码编程思路清晰、注释明细。 4.适用对象：计算机，电子信息工程、数学等专业的大学生课程设计、期末大作业和毕业设计。
基于可靠性评估序贯蒙特卡洛模拟法的配电网可靠性评估研究（Matlab代码实现）
12-15
基于可靠性评估序贯蒙特卡洛模拟法的配电网可靠性评估研究（Matlab代码实现）内容概要：本文围绕“基于可靠性评估序贯蒙特卡洛模拟法的配电网可靠性评估研究”，介绍了利用Matlab代码实现配电网可靠性的仿真分析方法。重点采用序贯蒙特卡洛模拟法对配电网进行长时间段的状态抽样与统计，通过模拟系统元件的故障与修复过程，评估配电网的关键可靠性指标，如系统停电频率、停电持续时间、负荷点可靠性等。该方法能够有效处理复杂网络结构与设备时序特性，提升评估精度，适用于含分布式电源、电动汽车等新型负荷接入的现代配电网。文中提供了完整的Matlab实现代码与案例分析，便于复现和扩展应用。; 适合人群：具备电力系统基础知识和Matlab编程能力的高校研究生、科研人员及电力行业技术人员，尤其适合从事配电网规划、运行与可靠性分析相关工作的人员； 使用场景及目标：①掌握序贯蒙特卡洛模拟法在电力系统可靠性评估中的基本原理与实现流程；②学习如何通过Matlab构建配电网仿真模型并进行状态转移模拟；③应用于含新能源接入的复杂配电网可靠性定量评估与优化设计； 阅读建议：建议结合文中提供的Matlab代码逐段调试运行，理解状态抽样、故障判断、修复逻辑及指标统计的具体实现方式，同时可扩展至不同网络结构或加入更多不确定性因素进行深化研究。
基于控制李雅普诺夫-屏障函数(CLBF)与分布式模型预测控制（DMPC）研究（Matlab代码实现）
12-15
基于控制李雅普诺夫-屏障函数(CLBF)与分布式模型预测控制（DMPC）研究（Matlab代码实现）内容概要：本文介绍了基于控制李雅普诺夫-屏障函数（CLBF）与分布式模型预测控制（DMPC）的电力系统优化控制研究，并提供了相应的Matlab代码实现。该研究聚焦于提升含光热电站电力系统的安全性与稳定性，特别计及N-k安全约束，通过结合CLBF的稳定性保证能力和DMPC的分布式协同优化优势，实现对复杂电力系统的高效、可靠控制。文中还展示了多个相关
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值