Linux iptables参数详解

最新推荐文章于 2025-05-16 17:48:32 发布
原创 最新推荐文章于 2025-05-16 17:48:32 发布 · 3.1k 阅读 · 6 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#服务器 #iptables #linux

本文深入解析iptables配置文件中的关键部分，包括过滤表、转发表和输出表的基本概念，详细解释了每条规则的作用，并提供了如何允许特定端口访问、限制特定IP访问的实例。此外，还介绍了iptables中使用的各种参数和模块，如状态匹配、协议类型等，旨在帮助读者全面掌握iptables的配置技巧。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

1、下面是我的服务器/etc/sysconfig/iptables正常的配置，对每一行进行讲解
*filter

:INPUT ACCEPT [0:0]  #该规则表示INPUT表默认策略是ACCEPT，Input: 就是接入本机地址的数据，说白了就是设置别人可以访问我的那些端口的链。举一个例子：本机开启了ftp服务，有一个客户端连接下载ftp资料，那么这个连接在Input链可以进行控制。
:FORWARD ACCEPT [0:0]  #该规则表示FORWARD表默认策略是ACCEPT，Forward:是转发链。如果你的机器处于网关地址，那么你可以代理内部网络的机器上Internet的参数就在这里设置。
:OUTPUT ACCEPT [0:0]  #该规则表示OUTPUT表默认策略是ACCEPT，Output:就是从本机出去的数据，就是允许本机出去的端口。例如我可以在Output链设置我可以访问那些地址和那些端口。

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT  #对于已经建立连接的数据，是允许访问的
-A INPUT -p icmp -j ACCEPT  #允许icmp协议的访问，主要就是ping
-A INPUT -i lo -j ACCEPT  #接受本地的所有请求
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT  #允许22端口被外部访问
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

# 上面两条的意思是在INPUT表和FORWARD表中拒绝所有其他不符合上述任何一条规则的数据包。并且发送一条host prohibited的消息给被拒绝的主机。

COMMIT

2、iptables -A 规则链 -i 网络接口 -j 对数据的操作

    -A:指定需要添加规则的规则链

    -i：指定数据包流入的网络接口
    -p：数据包的协议

    -j：对数据包的处理。ACCEPT/DROP

   -s：指定作为源地址匹配，这里不能指定主机名称，必须是IP
            IP | IP/MASK | 0.0.0.0/0.0.0.0
           而且地址可以取反，加一个“!”表示除了哪个IP之外

例如：在INPUT链中添加规则，允许eth0接口中来自192.168.1.0/24的所有数据包

 #iptables -A INPUT -i eht0 -s 192.168.1.0/24 -j ACCEPT

3、-m:附加模块

按包状态匹配（state）
按来源MAC 匹配（mac）
按包速率匹配（limit）

多端口匹配（multiport）
state状态：
-m state --state 状态
状态：NEW、RELATED、ESTABLISHED、INVALID
NEW：有别于tcp 的syn
ESTABLISHED：连接态
RELATED：衍生态，与conntrack 关联（FTP）
INVALID：不能被识别属于哪个连接或没有任何状态

指定要匹配包的的状态，当前有4种状态可用：INVALID，ESTABLISHED，NEW和RELATED。 INVALID意味着这个包没有已知的流或连接与之关联，也可能是它包含的数据或包头有问题。ESTABLISHED意思是包是完全有效的，而且属于一个已建立的连接，这个连接的两端都已经有数据发送。NEW表示包将要或已经开始建立一个新的连接，或者是这个包和一个还没有在两端都有数据发送的连接有关。RELATED说明包正在建立一个新的连接，这个连接是和一个已建立的连接相关的。比如，FTP data transfer，ICMP error 和一个TCP或UDP连接相关。注意NEW状态并不在试图建立新连接的TCP包里寻找SYN标记，因此它不应该不加修改地用在只有一个防火墙或在不同的防火墙之间没有启用负载平衡的地方。

4、允许21137端口被访问：
-A INPUT -m state --state NEW -m tcp -p tcp --dport 21137 -j ACCEPT
问：-m tcp代表什么？
答：你在使用 -p tcp 的时候，需要告诉内核需要载入 tcp 模块
就好比你使用 --state 参数需要载入 state 模块一个道理
只不过 netfilter 和 iptables 已经把 tcp、udp、icmp 这些模块集成进去了，所以不用单独指定，但为了严谨 iptables-save 的时候还是会显示出来
-p tcp是指按照tcp协议操作
-m tcp是指装入tcp的协议
5、通过iptables限制9889端口的访问（只允许192.168.1.201、192.168.1.202、192.168.1.203）,其他ip都禁止访问
 iptables -I INPUT -p tcp --dport 9889 -j DROP #对9889的所有端口的访问进行拒绝
 iptables -I INPUT -s 192.168.1.201 -p tcp --dport 9889 -j ACCEPT 
 iptables -I INPUT -s 192.168.1.202 -p tcp --dport 9889 -j ACCEPT
 iptables -I INPUT -s 192.168.1.203 -p tcp --dport 9889 -j ACCEPT

全网超详细的Linux iptables命令详解以及详解iptables-save和iptables-restore命令
念兮为美
02-21 5128
全网超详细的Linux iptables命令详解，详解iptables-save和iptables-restore命令，防火墙的备份与删除，iptables的四表——filter表(过滤规则表)，nat表(地址转换规则表)，mangle表(修改数据标记位规则表)，raw表(跟踪数据表规则表)和五链——input，output，forward，preRouting，postRounting， iptables语法格式，ChatGPT的详细介绍等
Linux iptables基本使用
HWP18612324139的博客
10-24 1012
防火墙除了软件及硬件的分类，也可对数据封包的取得方式来分类，可分为及。代理服务是一种网络服务，通常就架设在路由上面，可完整的掌控局域网的对外连接。IP Filter这种方式可以直接分析最底层的封包表头数据来进行过滤，所以包括 MAC地址、IP、TCP、 UDP、ICMP 等封包的信息都可以进行过滤分析的功能，用途非常广泛。其实Iptables服务不是真正的防火墙，只是用来定义防火墙规则功能的"防火墙管理工具"，将定义好的规则交由内核中的netfilter即网络过滤器来读取，从而真正实现防火墙功能。
iptables详解
wdt3385的专栏
12-25 5252
看完下面这个iptables的讲解一下子豁然开朗，写的很详细 一：前言 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的
规则 防火墙 iptables input accept
【设计改变世界】github地址：https://github.com/guochunyang2004
11-16 1173
由于 mangle 这个表格很少被使用，如果将图 9.3-3 的 mangle 拿掉的话，那就容易看的多了： 图 9.3-4、iptables 内建各表格与链的相关性(简图) 透过图 9.3-4 你就可以更轻松的了解到，事实上与本机最有关的其实是 filter 这个表格内的 INPUT 与 OUTPUT 这两条链，如果你的 iptables 只是用来保护 Linux 主机...
【Linux】iptables 命令详解
最新发布
言之。
05-16 1万+
## **1. iptables 的作用** `iptables` 是 Linux 系统上最常用的 **防火墙工具**，用于配置内核的 **netfilter** 包过滤框架，主要功能包括： - **包过滤（Packet Filtering）**：允许/拒绝网络数据包（如防火墙规则）。 - **网络地址转换（NAT）**：实现 SNAT（源地址转换）、DNAT（目标地址转换）。 - **端口转发（Port Forwarding）**：将外部请求转发到内部服务器。 - **流量统计（Traffic Accou
防火墙 iptables input accept
wumingchao_1993的博客
08-10 4877
chwling2008.blog.sohu.com/265396232.html
iptables用法
zyzn1425077119的博客
07-01 471
查看iptables规则 iptables -L 保存规则（如原始无该文件，保存后即有文件）:(需要设置:INPUT DROP [0:0]) iptables-save > /etc/iptables.rules 5、执行以下命令，使规则生效 iptables-restore < /etc/iptables.rules 6 设置白名单： -N whitelist...
Linux iptables 命令详解
tangPHP的博客
11-27 871
iptables是一个在Linux中的管理防火墙规则的命令行工具，它作为Linux内核的netfilter框架的一部分运行，以控制传入和传出的网络流量。Chains。
Linux服务器防火墙Iptables命令使用详解
cn_yaojin
01-11 675
原文地址：https://blog.youkuaiyun.com/han156/article/details/78449253   iptables -A INPUT -s 192.168.109.10 -j DROP：拒绝192.168.109.10主机访问本服务器； 注意：-A：添加一条规则，默认是加在最后。 注意："拒绝给192.168.109.10主机提供服务"，最好使用INPUT链。使用P...
详解Linux iptables 命令
09-15
Linux iptables命令是Linux系统管理员用来管理IPv4数据包过滤和网络地址转换（NAT）的重要工具。它允许用户在操作系统内核的netfilter框架下设置规则，以控制网络流量的流入、流出和转发。iptables提供了高度灵活的...
linux iptables命令详解
09-26
iptables命令有许多选项和参数，可以用于配置不同的规则和策略。常用的命令包括： - iptables -A：添加一条规则 - iptables -D：删除一条规则 - iptables -P：设置默认策略 - iptables -F：清空所有规则 - iptables ...
iptables常用命令
热门推荐
sre救赎之路
04-14 1万+
iptables 是 Linux 中的一个防火墙软件，可以管理 Linux 系统上的网络流量，帮助保护网络安全。
Iptables
that is it的博客
05-11 925
一、Iptables命令管理1.显示内核三张表的信息  iptables -nL     ##默认为filter表Chain INPUT (policy ACCEPT)Chain FORWARD (policy ACCEPT)Chain OUTPUT (policy ACCEPT)  iptables -nL -t nat  ##显示nat表Chain PREROUTING (policy ACC...
iptables语法规则
qq_50247813的博客
03-03 673
iptables -A FORWARD -d 192.168.1.1 -j DROP //禁止转发192.168.1.1的数据包。显示详细信息，包括每条规则的匹配包数量和匹配字节数 x: 在v的基础上，禁止自动单位换算（K，M）//将源地址是192.168.1.0/24 的数据包进行地址伪装，转换成eth0上的IP地址。//把从eth0口进来访问TCP/80端口的数据包目的地址改成192.168.1.1。2、 数据包的目的（dport）地址是22，就是要访问我本地的22端口。（如为指定，则认为是所有链）
Linux iptables使用详解
JAVA领域优质创作者，基于分片网络查询方法专利发明者。
06-13 1756
一、Linux系统下使用iptables在Linux中，常用的防火墙工具是iptables。以下是一些基本的iptables命令，用于配置防火墙规则。查看现有的iptables规则：清除所有现有的规则（慎用，可能导致服务不可用）：允许特定端口（例如，允许TCP端口80）：拒绝来自特定IP的访问：# 假设要限制的IP段为192.168.1.0/24，你可以使用以下命令：允许特定IP的访问：保存规则，使其在重启后生效（可选，取决于发行版）：或者在某些系统中，您可能需要使用。
Linux防火墙iptables之概念篇
青牛踏雪御苍穹的博客
10-25 493
为什么要学Linux防火墙？当你所在公司，出于安全原因，想上防火墙，而各大云厂商云防火墙和硬件防火墙费用及其昂贵，出于成本考虑，此时Linux的防火墙就是最好的解决方案，如果有较高且复杂的防护需求时，也可以考虑上开源的WAF，如OpenResty、OpenWAF等，这里就不过多叙述了，可以自行谷歌了解。 Docker底层的网络转发是通过Linux内核模块netfilter/iptables完成工作的，以及流行编排工具Kubernetes的各个网络插件也是，如果对iptables的理解不够深入以及操作不熟..
Linux系统安全之iptables防火墙
weixin_46254171的博客
07-26 487
优先级由高到低的顺序为：
Centos使用Iptables常用命令
bhwqq的博客
11-19 721
安装iptables服务 yum install iptables-services 保存配置到内存 iptables -I INPUT -p tcp --dport 80 -j ACCEPT iptables -I INPUT -s 1.1.1.1 -p tcp --dport 3306 -j ACCEPT 保存到文件 二选一 保存配置到文件 不可靠 iptables-save > /etc/sysconfig/iptables vi /etc/sysconfig/iptab
Linux Iptables：Netfilter规则与iptables命令详解
Linux的内置防火墙机制，即iptables，是基于kernel中的netfilter模块实现的，这是一个强大的网络包过滤工具，主要用于控制Linux系统中数据包的进出。netfilter由三个核心规则表构成：filter、nat和mangle。 1. **...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值