iptables使用

使用iptables命令设置防火墙规则时，其基本的命令格式如下：

iptables [ -t 表名] 命令选项 [链名] [条件匹配] [-j 目标动作或跳转]

iptables 表
表名      包含的链                            主要作用
filter  INPUT,FORWARD,OUTPUT             对数据包进行过滤
nat     PREROUTING，POSTROUTING，OUTPUT   修改数据包的IP地址、端口号等信息
mangle  PREROUTING，POSTROUTING，         不常用
        INPUT，OUTPUT，FORWARD
raw     OUTPUT、PREROUTING               1.2.9新增表不常用

iptables 链
链名             作用
INPUT           入站
OUTPUT          出战
FORWARD         转发
PREROUTING      对数据包作路由选择之前
POSTROUTING     对数据包作路由选择之后

iptables 命令选项
选项名     功能及特点
-A      在指定链的末尾添加（--append）一条新的规则
-D      删除（--delete）指定链中的某一条规则，按规则序号或内容确定要删除的规则
-I      在指定链中插入（--insert）一条新的规则，若未指定插入位置，则默认在链的开头插入
-R      修改、替换（--replace）指定链中的某一条规则，按规则序号或内容确定要替换的规则
-L      列出（--list）指定链中的所有的规则进行查看，若未指定链名，则列出表中所有链的内容
-F      清空（--flush）指定链中的所有规则，若未指定链名，则清空表中所有链的内容
-N      新建（--new-chain）一条用户自己定义的规则链
-X      删除指定表中用户自定义的规则链（--delete-chain）
-P      设置指定链的默认策略（--policy）
-n      使用数字形式（--numeric）显示输出结果，若显示主机的IP地址而不是主机名
-v      查看规则列表时显示详细（--verbose）的信息
-V      查看iptables命令工具的版本（--Version）信息
-h      查看命令帮助信息（--help）
--line-number   查看规则列表时，同时显示规则在链中的顺序号

iptables    目标动作或跳转
常用动作        作用
ACCEPT      允许数据包通过
DROP        直接丢弃数据包，不给出任何回应信息
REJECT      拒绝数据包通过，必须时会给数据发送端一个响应信息
LOG         在/var/log/messages 文件中记录日志信息，然后将数据包传递给下一条规则
RETURN      不再根据当前链的其他规则来检查数据包，而是直接返回，继续被发送到其目的地址，或下一个链

通过情况下，只要在规则链中找到一条相匹配的规则，则不再继续检查该链内后面的规则；但使用LOG处理方式的规则是一个特例，因为LOG只是一个辅助动作，并没有真正的处理数据包

常用语句

查看iptables规则

iptables [-t 表名] <-L> <链名> //(后面将链名换为-n表示查看所有该表的所有链规则)

定义规则链的默认策略

iptables [-t 表名] <-P> <链名> <动作>

增加、插入、删除和替换规则

iptables [-t 表名]　<-A | I | D | R>链名 [规则编号] [-i | o 网卡] [-p 协议类型] [-s 源IP | 源子网] [--sport 源端口号] [-d 目标IP ｜ 目标子网] [--dport 目标端口号] <-j 动作>

-A：新增一条规则，该规则将增加到规则列表的最后一行，该参数不能使用规则编号

-I：插入一条规则，原来该位置上的规则就会身后顺序移动，如果没有指定规则编号，则在第一条规则前插入

-D：删除一条规则，可以输入完整规则，或直接指定规则编号

-R：替换某条规则，规则被替换并不会改变顺序，必须要指定替换的规则编号

[-i | o 网卡名称]：i是指数据包从哪块网卡输入，o是批数据包从哪块网卡输出

利用iptables过滤URL目标请求

iptables [-t 表名] -A 链名 -m string –string “XXX” –algo bm -j DROP

-m string

使用string功能，string是iptables的一个module，也就是做字符串匹配的。

–string “xxxx”

定义字符串内容，可以是URL里任意字符，如果是需要block下载某些类型的文件或请求，这个有很大的发挥空间，可自由想象喔。

–algo bm

设置字符匹配的查询算法，一般默认使用bm算法效果就可以了，另外还可以设置kmp算法，那是一种更复杂的算法，详细内容可自行参见高等数学里的资料。（bm = Boyer-Moore, kmp = Knuth-Pratt-Morris）

清除规则和计数器

iptables [-t 表名] <-F | Z>

-F：删除指定表中所有规则

-Z：将指定表中数据包计数器和流量计数器归零

记录与恢复防火墙规则

iptables-save > 文件名 (记录当前防火墙规则)

iptables-restore > 文件名 (将防火墙规则恢复到当前主机环境)

新增、删除自定义规则链

iptables -t raw -N <链名>

iptables -t raw -X