iptable中文学习文档 二

本文详细介绍了iptables防火墙中各种规则选项的使用方法,包括输出接口指定、分片处理、详细输出模式、数字输出模式等基本配置选项,以及tcp、udp、icmp等协议的高级匹配扩展。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

摘自:linux宝库 (http://www.linuxmine.com)

 

-o --out-interface [!][name]

-o --输出接口[名称]

这是包经由该接口送出的可选的出口名称,包通过该口输出(在链FORWARD、OUTPUT和POSTROUTING中送出的包)。当在接口名前使用"!"说明后,指的是相反的名称。如果接口名后面加上"+",则所有以此接口名开头的接口都会被匹配。如果这个选项被忽略,会假设为"+",那么将匹配所有任意接口。

 

[!] -f, --fragment

[!] -f --分片

这意味着在分片的包中,规则只询问第二及以后的片。自那以后由于无法判断这种把包的源端口或目标端口(或者是ICMP类型的),这类包将不能匹配任何指定对他们进行匹配的规则。如果"!"说明用在了"-f"标志之前,表示相反的意思。

 

OTHER OPTIONS

其他选项

还可以指定下列附加选项:

 

-v --verbose

-v --详细

详细输出。这个选项让list命令显示接口地址、规则选项(如果有)和TOS(Type of Service)掩码。包和字节计数器也将被显示,分别用K、M、G(前缀)表示1000、1,000,000和1,000,000,000倍(不过请参看-x标志改变它),对于添加,插入,删除和替换命令,这会使一个或多个规则的相关详细信息被打印。

 

-n --numeric

-n --数字

数字输出。IP地址和端口会以数字的形式打印。默认情况下,程序试显示主机名、网络名或者服务(只要可用)。

 

-x -exact

-x -精确

扩展数字。显示包和字节计数器的精确值,代替用K,M,G表示的约数。这个选项仅能用于 -L 命令。

 

--line-numbers

当列表显示规则时,在每个规则的前面加上行号,与该规则在链中的位置相对应。

 

MATCH EXTENSIONS

对应的扩展

iptables能够使用一些与模块匹配的扩展包。以下就是含于基本包内的扩展包,而且他们大多数都可以通过在前面加上!来表示相反的意思。

 

tcp

当 --protocol tcp 被指定,且其他匹配的扩展未被指定时,这些扩展被装载。它提供以下选项:

 

--source-port [!] [port[:port]]

源端口或端口范围指定。这可以是服务名或端口号。使用格式端口:端口也可以指定包含的(端口)范围。如果首端口号被忽略,默认是"0",如果末端口号被忽略,默认是"65535",如果第二个端口号大于第一个,那么它们会被交换。这个选项可以使用 --sport的别名。

 

--destionation-port [!] [port:[port]]

目标端口或端口范围指定。这个选项可以使用 --dport别名来代替。

 

--tcp-flags [!] mask comp

匹配指定的TCP标记。第一个参数是我们要检查的标记,一个用逗号分开的列表,第二个参数是用逗号分开的标记表,是必须被设置的。标记如下: SYN ACK FIN RST URG PSH ALL NONE。因此这条命令:iptables -A FORWARD -p tcp --tcp-flags SYN, ACK, FIN, RST SYN只匹配那些SYN标记被设置而ACK、FIN和RST标记没有设置的包。

 

[!] --syn

只匹配那些设置了SYN位而清除了ACK和FIN位的TCP包。这些包用于TCP连接初始化时发出请求;例如,大量的这种包进入一个接口发生堵塞时会阻止进入的TCP连接,而出去的TCP连接不会受到影响。这等于 --tcp-flags SYN, RST, ACK SYN。如果"--syn"前面有"!"标记,表示相反的意思。

 

--tcp-option [!] number

匹配设置了TCP选项的。

 

udp

当protocol udp 被指定,且其他匹配的扩展未被指定时,这些扩展被装载,它提供以下选项:

 

--source-port [!] [port:[port]]

源端口或端口范围指定。详见 TCP扩展的--source-port选项说明。

 

--destination-port [!] [port:[port]]

目标端口或端口范围指定。详见 TCP扩展的--destination-port选项说明。

 

icmp

当protocol icmp被指定,且其他匹配的扩展未被指定时,该扩展被装载。它提供以下选项:

--icmp-type [!] typename

这个选项允许指定ICMP类型,可以是一个数值型的ICMP类型,或者是某个由命令iptables -p icmp -h所显示的ICMP类型名。

 

mac

--mac-source [!] address

匹配物理地址。必须是XX:XX:XX:XX:XX这样的格式。注意它只对来自以太设备并进入PREROUTING、FORWORD和INPUT链的包有效。

 

limit

这个模块匹配标志用一个标记桶过滤器一一定速度进行匹配,它和LOG目标结合使用来给出有限的登陆数.当达到这个极限值时,使用这个扩展包的规则将进行匹配.(除非使用了"!"标记)

 

--limit rate

最大平均匹配速率:可赋的值有'/second', '/minute', '/hour', or '/day'这样的单位,默认是3/hour。

 

--limit-burst number

待匹配包初始个数的最大值:若前面指定的极限还没达到这个数值,则概数字加1.默认值为5

 

multiport

这个模块匹配一组源端口或目标端口,最多可以指定15个端口。只能和-p tcp 或者 -p udp 连着使用。

 

--source-port [port[, port]]

如果源端口是其中一个给定端口则匹配

 

--destination-port [port[, port]]

如果目标端口是其中一个给定端口则匹配

 

--port [port[, port]]

若源端口和目的端口相等并与某个给定端口相等,则匹配。

mark

这个模块和与netfilter过滤器标记字段匹配(就可以在下面设置为使用MARK标记)。

 

--mark value [/mask]

匹配那些无符号标记值的包(如果指定mask,在比较之前会给掩码加上逻辑的标记)。

 

owner

此模块试为本地生成包匹配包创建者的不同特征。只能用于OUTPUT链,而且即使这样一些包(如ICMP ping应答)还可能没有所有者,因此永远不会匹配。

 

--uid-owner userid

如果给出有效的user id,那么匹配它的进程产生的包。

 

--gid-owner groupid

如果给出有效的group id,那么匹配它的进程产生的包。

 

--sid-owner seessionid

根据给出的会话组匹配该进程产生的包。

 

state

此模块,当与连接跟踪结合使用时,允许访问包的连接跟踪状态。

 

--state state

这里state是一个逗号分割的匹配连接状态列表。可能的状态是:INVALID表示包是未知连接,ESTABLISHED表示是双向传送的连接,NEW表示包为新的连接,否则是非双向传送的,而RELATED表示包由新连接开始,但是和一个已存在的连接在一起,如FTP数据传送,或者一个 ICMP错误。

 

<think>嗯,用户想了解iptables的使用指南和配置示例。首先,我需要确定用户对iptables的了解程度。可能他们刚开始接触Linux防火墙,或者需要复习一些基本操作。根据提供的引用内容,我需要整合这些信息,确保回答准确且符合格式要求。 首先,系统级指令要求所有数学表达式用$...$,不过这里可能用不上,但要注意其他格式,比如代码块用反引号。然后,用户要求生成相关问题,放在最后。回答结构要清晰,分步骤说明,并且引用对应的引用标记。 用户提供的引用有关于保存规则、添加规则的命令、基本概念、firewalld的注意事项等。需要将这些信息组织成逻辑连贯的内容。可能需要分成几个部分,比如基本概念、常用命令、配置示例、注意事项等。 需要检查引用是否正确对应,比如引用[^1]对应保存规则,引用[^2]对应添加规则的命令,引用[^5]提到firewalld的替换。在回答中引用这些内容时,要自然地在相关段落末尾添加标识。 另外,用户可能对iptables和firewalld的关系有疑问,所以要在注意事项中提到CentOS 7以上版本使用firewalld,避免混淆。配置示例部分可以包括开放端口、禁止IP、NAT转发等常见场景,每个示例给出代码块,并说明用途。 最后,生成的相关问题要围绕用户可能进一步想了解的内容,比如表和链的作用、迁移到firewalld、调试技巧、规则顺序影响等。确保问题有针对性,帮助用户深入学习。 需要确保语言简洁,步骤清晰,避免技术术语过多,同时保持专业性。检查LaTeX语法是否正确,虽然这里可能用不上数学公式,但代码块和引用格式要正确。确认所有引用标记正确对应,没有遗漏或错误。</think>### iptables 使用指南及配置示例 #### 一、基本概念 iptables 是 Linux 系统中管理网络流量规则的核心工具,通过定义**表**(Tables)、**链**(Chains)和**规则**(Rules)来实现防火墙功能。主要表包括: - **filter 表**:默认表,用于数据包过滤 - **nat 表**:网络地址转换 - **mangle 表**:修改数据包头部信息 网络流量会依次经过不同链的处理流程,例如输入链(`INPUT`)、转发链(`FORWARD`)和输出链(`OUTPUT`)[^3][^4]。 --- #### 、常用命令格式 1. **添加规则** ```bash sudo iptables -A <链名> -p <协议> --dport <端口> -j <动作> ``` 示例:允许 SSH 连接 ```bash sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT ``` 2. **查看规则** ```bash sudo iptables -L -n -v # 显示详细规则列表 ``` 3. **删除规则** ```bash sudo iptables -D <链名> <规则编号> # 按编号删除 sudo iptables -F # 清空所有规则 ``` --- #### 三、配置示例 **场景 1:开放 Web 服务端口** ```bash sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT # HTTP sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT # HTTPS ``` **场景 2:禁止特定 IP 访问** ```bash sudo iptables -A INPUT -s 192.168.1.100 -j DROP ``` **场景 3:配置 NAT 转发** ```bash sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE # 共享上网 ``` --- #### 四、规则持久化 临时规则重启后会丢失,需保存至配置文件: ```bash sudo iptables-save > /etc/iptables/rules.v4 # IPv4规则保存[^1] ``` --- #### 五、注意事项 1. 操作前建议备份现有规则 2. CentOS 7+/RHEL 7+ 默认使用 `firewalld`,如需切换回 iptables: ```bash systemctl stop firewalld systemctl mask firewalld yum install iptables-services ``` [^5] ---
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值