linux下防火墙iptables用法规则详解

iptables规则

规则--顾名思义就是规矩和原则，和现实生活中的事情是一样的，国有国法，家有家规，所以要遵纪守法的嘛。当然在防火墙上的规则，在内核看来，规则就是决定如何处理一个包的语句。如果一个包符合所有的条件，我们就用相应的处理动作来处理。书写规则的语法格式为：

iptables [-t table] command chains [creteria] -j action

-t table就是表名，filter/nat/mangle三个表中的一个，默认是filter表

command告诉程序如何做，比如：插入一个规则，还是删除等

chains 链，有五个，PREROUTING POSTROUTING INPUT OUTPUT FORWARD

action 处理动作，有ACCEPT DENY DROP REJECT SNAT DNAT

理一下思路





下面一点点的说

一、Tables

选项-t用来指定用哪个表，它可以是下面的任何一个，默认的是filter表





二、COMMANDS
command指定iptables对我们提交的规则要做什么样的操作。这些操作可能是在某个表里增加或删除一些东西，或其他的动作。一下是iptables可用的command（如不做说明，默认表是filter)



和命令结合常用的选项





三、chains

简单说一下五个链的作用：

PREROUTING 是在包进入防火墙之后、路由决策之前做处理

POSTROUTING 是在路由决策之后，做处理

INPUT 在包被路由到本地之后，但在出去用户控件之前做处理

OUTPUT在去顶包的目的之前做处理

FORWARD在最初的路由决策之后，做转发处理

四、匹配条件

4.1 基本匹配





4.2 隐含扩展匹配

这种匹配操作是自动的或隐含的装入内核的。例如使用-p tcp时，不需要再装入任何东西就可以匹配只有IP包才有的特点。隐含匹配针对三种不同的协议，即TCP UDP ICMP。它们分别有一套适用于相应协议的判断标准

TCP匹配 只能匹配TCP包的细节，必须有-p tcp作为前提

--sport port 基于TCP包的源端口来匹配包

--dport port 基于TCP包的目的端口来匹配包

--tcp-flags tcp标志位 有两个参数列表。第一个是指定要检查的标识位；第二个是指定为1的标识位

UDP匹配

--sprot port

--dport port

ICMP匹配

--icmp-type

8 request 请求

0 reply 回复 响应
本文出自 “眼下的幸福” 博客，请务必保留此出处http://xinghuiru.blog.51cto.com/5118848/924039