iptables命令，实验笔记

四表tables，五链 chain
tables：raw > mangle > nat > filter
chain：PREROUTING, INPUT, OUTPUT , FORWARD , POSTROUTING

iptables [-t tables] COMMAND CHAIN 匹配标准 -j target
查看命令

COMMAND ：
-A：添加为最后一条
-I：默认添加为第一条，或者在CHAIN后指定位置。
-D：删除第几条规则
-R：修改第几条规则
-L：查看iptables 规则，默认会解析成主机名，后面可以加一下选项：
-n：不要解析成主机名
-v：查看规则匹配次数
--line-number：查看规则排列序号

-j ：target
主要有：DROP,ACCEPT,REJECT,LOG
LOG
--log-prefix "STRING"

一、匹配标准：

一、通用匹配标准：

-s：源地址
-d：目标地址
-p：协议
-
二、扩展匹配标准：
1.隐含扩展：
-p tcp ：
--dport，源端口--sport，目的端口
--tcp-flags mask comp，通过flags位匹配。比如 --tcp-flags SYN,ACK,RST,FIN SYN
2.显式扩展：
-m 扩展名 特别选项
① -m state --state 根据连接状态控制
ip_conntrack ( 在centos6.0 是nf_conntrack ) 连接追踪模块
TCP,UDP,ICMP
通过修改内核参数：/proc/net/ip_conntrack，/proc/sys/net/ipv4/ip_conntrack_max ，/proc/sys/net/ipv4/netfilter。特别注意ip_conntrack_max ，会因为访问数超过最大数导致iptables限制正常的访问连接。

NEW,ESTABLISHED,RELATED,INVALID
② -m multiport：可以使控制端口不连续
--source-ports，--destination-ports，--ports
③ -m iprange：可以range端口
--src-range ， --dst-range
例子：允许INPUT口进入的流量，且IP为192.168.1.1-192.168.1.10 访问任意主机的22端口，连接状态为NEW，或者ESTABLISHED。

iptalbes -A INPUT -p tcp -m iprange --src-range 192.168.1.1-192.168.1.10 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

④ -m connlimit：连接数限制
! --connlimit-above n：一般与“!”一起合用，限制最大连接数。
例子：限制192.168.1.1 主机22端口最大连接数超过3就丢弃。

iptables -A INPUT -d 192.168.1.1 -p tcp --dport 22 -m connlimit   --connlimit-above 3 -j DROP

⑤ -m string：根据内容字符串进行操作
--algo {bm|kmp} 字符串检测算法，任选一
--string "STRING" 所要匹配检测的字符串。
例子：从192.168.1.1地址访问的数据内容带 xxxx的全部丢弃。

iptables -I OUTPUT -s 192.168.1.1 -m string --algo kmp --string "xxxx" -j DROP