iptables 继续学习 “增删改查” 、MASQUERADE

iptables 继续学习 “增删改查”

1.当我想在路由表中添加拒绝192.168.10.182 发来的sshd （服务端口为22）请求时如何设置：

iptables -t filter -I INPUT -s 192.168.10.182 -p tcp -m tcp --dport 22 -j DROP

---

2.当我想在路由表添加 去往192.168.10.182 只允许20到443端口的tcp ，其他都拒绝怎么设置：

iptables -t filter -I FORWARD -d 192.168.10.182 -p tcp -m tcp --dport 20:443 -j ACCEPT
iptables -t filter -I FORWARD 2 -d 192.168.10.182 -j DROP 

注意不能写成如下：它表示的是去往192.168.10.182 当接受的是tcp数据报且端口不是20到443才拒绝，则其它协议例如udp也是可以接收得到的

iptables -t filter -I FORWARD -d 192.168.10.182  -p tcp -m tcp ! --sport 20:443 -j DROP

端口有0到65535个，eg： --dport :30 表示0到30端口 eg： --dport 80: 表示80到65535端口 --dport 可以指定连续端口

---

3.当我想在路由表添加 去往192.168.10.182 拒绝22、80、443端口（tcp的），怎么设置：（离散端口需指定扩展条件 -m multiport (仅适用于tcp，udp) 并且能够在指定连续的端口范围的同时，指定离散的端口号 eg：-m multiport --sport 22,80:443）相当于拒绝192.168.10.182访问ssh http 和https，此时打开浏览器是上不了网的!!!

iptables -t filter -I FORWARD -d 192.168.10.182 -p tcp -m multiport --sport 22,80,443 -j DROP

---

4.当我想拒绝转发源地址是连续的ip地址如何设置：(目的地址时：-m iprange --dst-range)

iptables -t filter -I FORWARD -m iprange --src-range 192.168.10.2-192.168.10.10 -j DROP

---

MASQUERADE

若想学习–tcp-flags 用于匹配tcpflag字段的 可以参考博客