iptables 是 Linux 防火墻系統(tǒng)的重要組成部分，iptables 的主要功能是實現(xiàn)對網(wǎng)絡(luò)數(shù)據(jù)包進出設(shè)備及轉(zhuǎn)發(fā)的控制。當(dāng)數(shù)據(jù)包需要進入設(shè)備、從設(shè)備中流出或者由該設(shè)備轉(zhuǎn)發(fā)、路由時，都可以使用 iptables 進行控制。下面良許小編就將從幾個方面對于Linux iptables命令進行詳述，希望對大家有所幫助。

iptables簡介

iptables 是集成在 Linux 內(nèi)核中的包過濾防火墻系統(tǒng)。使用 iptables 可以添加、刪除具體的過濾規(guī)則，iptables 默認(rèn)維護著 4 個表和 5 個鏈，所有的防火墻策略規(guī)則都被分別寫入這些表與鏈中。

“四表”是指 iptables 的功能，默認(rèn)的 iptable s規(guī)則表有 filter 表（過濾規(guī)則表）、nat 表（地址轉(zhuǎn)換規(guī)則表）、mangle（修改數(shù)據(jù)標(biāo)記位規(guī)則表）、raw（跟蹤數(shù)據(jù)表規(guī)則表）：

filter 表：控制數(shù)據(jù)包是否允許進出及轉(zhuǎn)發(fā)，可以控制的鏈路有 INPUT、FORWARD 和 OUTPUT。

nat 表：控制數(shù)據(jù)包中地址轉(zhuǎn)換，可以控制的鏈路有 PREROUTING、INPUT、OUTPUT 和 POSTROUTING。

mangle：修改數(shù)據(jù)包中的原數(shù)據(jù)，可以控制的鏈路有 PREROUTING、INPUT、OUTPUT、FORWARD 和 POSTROUTING。

raw：控制 nat 表中連接追蹤機制的啟用狀況，可以控制的鏈路有 PREROUTING、OUTPUT。

————————————————

Linux 防火墻的過濾框架，如圖 1 所示。

可以看出，如果是外部主機發(fā)送數(shù)據(jù)包給防火墻本機，數(shù)據(jù)將會經(jīng)過 PREROUTING 鏈與 INPUT 鏈；如果是防火墻本機發(fā)送數(shù)據(jù)包到外部主機，數(shù)據(jù)將會經(jīng)過 OUTPUT 鏈與 POSTROUTING 鏈；如果防火墻作為路由負(fù)責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)，則數(shù)據(jù)將經(jīng)過 PREROUTING 鏈、FORWARD 鏈以及 POSTROUTING 鏈。

————————————————

iptables語法格式

iptables 命令的基本語法格式如下：

[root@liangxu ~]# iptables [-t table] COMMAND [chain] CRETIRIA -j ACTION

各參數(shù)的含義為：

-t：指定需要維護的防火墻規(guī)則表 filter、nat、mangle或raw。在不使用 -t 時則默認(rèn)使用 filter 表。

COMMAND：子命令，定義對規(guī)則的管理。

chain：指明鏈表。

CRETIRIA：匹配參數(shù)。

ACTION：觸發(fā)動作。

————————————————

iptables 命令常用的選項及各自的功能如表 2 所示

選 項功 能

iptables 命令常用匹配參數(shù)及各自的功能如表 3 所示。

參 數(shù)功 能

[!]-p匹配協(xié)議，! 表示取反

[!]-s匹配源地址

[!]-d匹配目標(biāo)地址

[!]-i匹配入站網(wǎng)卡接口

[!]-o匹配出站網(wǎng)卡接口

[!]--sport匹配源端口

[!]--dport匹配目標(biāo)端口

[!]--src-range匹配源地址范圍

[!]--dst-range匹配目標(biāo)地址范圍

[!]--limit四配數(shù)據(jù)表速率

[!]--mac-source匹配源MAC地址

[!]--sports匹配源端口

[!]--dports匹配目標(biāo)端口

[!]--stste匹配狀態(tài)（INVALID、ESTABLISHED、NEW、RELATED)

[!]--string匹配應(yīng)用層字串

iptables 命令觸發(fā)動作及各自的功能如表 4 所示。

觸發(fā)動作功 能

ACCEPT允許數(shù)據(jù)包通過

DROP丟棄數(shù)據(jù)包

REJECT拒絕數(shù)據(jù)包通過

LOG將數(shù)據(jù)包信息記錄 syslog 曰志

DNAT目標(biāo)地址轉(zhuǎn)換

SNAT源地址轉(zhuǎn)換

MASQUERADE地址欺騙

REDIRECT重定向

內(nèi)核會按照順序依次檢查 iptables 防火墻規(guī)則，如果發(fā)現(xiàn)有匹配的規(guī)則目錄，則立刻執(zhí)行相關(guān)動作，停止繼續(xù)向下查找規(guī)則目錄；如果所有的防火墻規(guī)則都未能匹配成功，則按照默認(rèn)策略處理。使用 -A 選項添加防火墻規(guī)則會將該規(guī)則追加到整個鏈的最后，而使用 -I 選項添加的防火墻規(guī)則則會默認(rèn)插入到鏈中作為第一條規(guī)則。

注意，在 Linux CentOS 系統(tǒng)中，iptables 是默認(rèn)安裝的，如果系統(tǒng)中沒有 iptables 工具，可以先進行安裝。

規(guī)則的查看與清除

使用 iptables 命令可以對具體的規(guī)則進行查看、添加、修改和刪除

1) 查看規(guī)則

對規(guī)則的查看需要使用如下命令：

[root@liangxu ~]# iptables -nvL

各參數(shù)的含義為：

-L 表示查看當(dāng)前表的所有規(guī)則，默認(rèn)查看的是 filter 表，如果要查看 nat 表，可以加上 -t nat 參數(shù)。

-n 表示不對 IP 地址進行反查，加上這個參數(shù)顯示速度將會加快。

-v 表示輸出詳細(xì)信息，包含通過該規(guī)則的數(shù)據(jù)包數(shù)量、總字節(jié)數(shù)以及相應(yīng)的網(wǎng)絡(luò)接口。

【例 1】查看規(guī)則。 首先需要使用 su 命令，切換當(dāng)前用戶到 root 用戶。然后在終端頁面輸入命令如下：

root@liangxu ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination        
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere           
ACCEPT     all  --  anywhere             anywhere           
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ssh
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited

復(fù)制代碼

2) 添加規(guī)則

添加規(guī)則有兩個參數(shù)分別是 -A 和 -I。其中 -A 是添加到規(guī)則的末尾；-I 可以插入到指定位置，沒有指定位置的話默認(rèn)插入到規(guī)則的首部。

【例 2】查看當(dāng)前規(guī)則。首先需要使用 su 命令，切換當(dāng)前用戶到 root 用戶，然后在終端頁面輸入命令如下：

[root@liangxu ~]# iptables -nL --line-number
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination        
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0          
3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0          
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
......

【例 3】添加一條規(guī)則到尾部。 首先需要使用 su 命令，切換當(dāng)前用戶到 root 用戶，然后在終端頁面輸入如下命令：

[root@liangxu ~]# iptables -A INPUT -s 192.168.1.5 -j DROP
[root@liangxu ~]# iptables -nL --line-number
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination        
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0          
3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0          
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
6    DROP       all  --  192.168.1.5          0.0.0.0/0

3) 修改規(guī)則

在修改規(guī)則時需要使用-R參數(shù)。 【例 4】把添加在第 6 行規(guī)則的 DROP 修改為 ACCEPT。首先需要使用 su 命令，切換當(dāng)前用戶到 root 用戶，然后在終端頁面輸入如下命令：

[root@liangxu ~]# iptables -R INPUT 6 -s 194.168.1.5 -j ACCEPT
[root@liangxu ~]# iptables -nL --line-number
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination        
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0          
3    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0          
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
5    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
6    ACCEPT     all  --  194.168.1.5          0.0.0.0/0

對比發(fā)現(xiàn)，第 6 行規(guī)則的 target 已修改為 ACCEPT。

4) 刪除規(guī)則

刪除規(guī)則有兩種方法，但都必須使用 -D 參數(shù)。 【例 5】刪除添加的第 6 行的規(guī)則。首先需要使用su命令，切換當(dāng)前用戶到 root 用戶，然后在終端頁面輸入如下命令：

[root@liangxu ~]# iptables -D INPUT 6 -s 194.168.1.5 -j ACCEPT

或

[root@liangxu ~]# iptables -D INPUT 6

注意，有時需要刪除的規(guī)則較長，刪除時需要寫一大串的代碼，這樣比較容易寫錯，這時可以先使用 -line-number 找出該條規(guī)則的行號，再通過行號刪除規(guī)則。

防火墻的備份與還原

默認(rèn)的 iptables 防火墻規(guī)則會立刻生效，但如果不保存，當(dāng)計算機重啟后所有的規(guī)則都會丟失，所以對防火墻規(guī)則進行及時保存的操作是非常必要的。

iptables 軟件包提供了兩個非常有用的工具，我們可以使用這兩個工具處理大量的防火墻規(guī)則。這兩個工具分別是 iptables-save 和 iptables-restore，使用該工具可以實現(xiàn)防火墻規(guī)則的保存與還原。這兩個工具的最大優(yōu)勢是處理龐大的規(guī)則集時速度非?？?。

CentOS 7 系統(tǒng)中防火墻規(guī)則默認(rèn)保存在 /etc/sysconfig/iptables 文件中，使用 iptables-save 將規(guī)則保存至該文件中可以實現(xiàn)保存防火墻規(guī)則的作用，計算機重啟后會自動加載該文件中的規(guī)則。如果使用 iptables-save 將規(guī)則保存至其他位置，可以實現(xiàn)備份防火墻規(guī)則的作用。當(dāng)防火墻規(guī)則需要做還原操作時，可以使用 iptables-restore 將備份文件直接導(dǎo)入當(dāng)前防火墻規(guī)則。

1、iptables-save命令

iptables-save 命令用來批量導(dǎo)出 Linux 防火墻規(guī)則，語法介紹如下：

保存在默認(rèn)文件夾中（保存防火墻規(guī)則）： [root@liangxu ~]# iptables-save > /etc/sysconfig/iptables

保存在其他位置（備份防火墻規(guī)則）： [root@liangxu ~]# iptables-save > 文件名稱

直接執(zhí)行 iptables-save 命令：顯示出當(dāng)前啟用的所有規(guī)則，按照 raw、mangle、nat、filter 表的順序依次列出，如下所示：

[root@liangxu ~]# iptables-save # Generated by iptables-save v1.4.7 on Thu Aug 27 07:06:36 2020 *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [602:39026] ....... COMMIT # Completed on Thu Aug 27 07:06:36 2020

其中：

“#”號開頭的表示注釋；

“*filter”表示所在的表；

“：鏈名默認(rèn)策略”表示相應(yīng)的鏈及默認(rèn)策略，具體的規(guī)則部分省略了命令名“iptables”；

在末尾處“COMMIT”表示提交前面的規(guī)則設(shè)置。

備份到其他文件中。例如文件：text，如下所示：

[root@liangxu ~]# iptables-save > test [root@liangxu ~]# ls test [root@bogon ~]# cat test # Generated by iptables-save v1.4.7 on Thu Aug 27 07:09:47 2020 *filter ......

列出nat表的規(guī)則內(nèi)容，命令如下：

[root@liangxu ~]# iptables-save -t nat

“-t表名”：表示列出某一個表。

2、iptables-restore命令

iptables-restore 命令可以批量導(dǎo)入Linux防火墻規(guī)則，同時也需要結(jié)合重定向輸入來指定備份文件的位置。命令如下：

[root@liangxu ~]# iptables-restore < 文件名稱

注意，導(dǎo)入的文件必須是使用 iptables-save工具導(dǎo)出來的才可以。

先使用 iptables-restore 命令還原 text 文件，然后使用 iptables -t nat -nvL 命令查看清空的規(guī)則是否已經(jīng)還原，如下所示：

[root@liangxu ~]# iptables-restore < test [root@liangxu ~]# iptables -t nat -nvL Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination

————————————————

原文鏈接：https://blog.csdn.net/daocaokafei/article/details/115091313