Linux入职基础-5.27_防火墙iptables简单应用（应用实战11）

防火墙iptables简单应用
简介：iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置iptables将会帮助你更有效地管理Linux防火墙。iptables的结构：包含4个内建表， Rules->Chains -> Tables。简单地讲，tables由chains组成，而chains又由rules组成。如下图：


1）这4个表的优先级别：raw> mangle > nat > filter2）每个表有相关的链   raw表有2个链：prerouting、output   mangle表有5个链：prerouting、postrouting、input、output、forward   nat表有3个链：prerouting、postrouting、output   filter表中有3个链：input、output、forward如果是第一次接触iptables，会觉得它很复杂，但是一旦理解iptables的工作原理，会发现其实它很简单。建议先看看IPTABLES基础知识。语法：iptables [-t 表]  -命令  匹配规则   规则的动作n  -t 表：用于指定命令应用于哪个iptables内置表n  命令：用于指定iptables的执行方式，包括插入规则，删除规则和添加规则n  匹配规则：用于指定数据包与规则匹配所具有的特征，包括源地址，目的地址，传输协议和端口号。n  操作：用于指定规则的动作，比如常用动作：ACCEPT、REJECT、DROP、REDIRECT 、MASQUERADE等。命令说明：-P   --policy  链名>        定义默认策略-L   --list  链名>           查看iptables规则列表-A   --append  链名>       在规则列表的最后增加1条规则-I   --insert  链名>         在指定的位置插入1条规则-D   --delete  链名>        从规则列表中删除1条规则-R   --replace  链名>       替换规则列表中的某条规则-F   --flush  链名>          删除表中所有规则-Z   --zero  链名>           将表中数据包计数器和流量计数器归零-X   --delete-chain  链名>   删除自定义链-v   --verbose  链名>        与-L他命令一起使用显示更多更详细的信息匹配规则：-i    --in-interface    网络接口名>     指定数据包从哪个网络接口进入-o   --out-interface   网络接口名>     指定数据包从哪个网络接口输出-p   ---proto协议类型               指定数据包匹配的协议，如TCP、UDP和ICMP等-s    --source  源地址或子网>       指定数据包匹配的源地址--sport  源端口号>                    指定数据包匹配的源端口号--dport  目的端口号>                  指定数据包匹配的目的端口号-m --match  匹配的模块              指定数据包规则所使用的过滤模块规则的匹配过程：Iptables程序匹配规则时，是从规则表中从上至下顺序执行的，如果数据包没遇到匹配的规则，就一条一条往下执行，如果遇到匹配的规则后，那么就执行本规则，执行后根据本规则的动作(accept，reject，log，drop等)，决定下一步执行的情况，后续执行一般有三种情况：①一种是继续执行当前规则队列内的下一条规则。比如执行过Filter队列内的LOG后，还会执行Filter队列内的下一条规则。②一种是中止当前规则队列的执行，转到下一条规则队列。比如从执行过accept后就中断Filter队列内其它规则，跳到nat队列规则去执行。③一种是中止所有规则队列的执行。规则的动作：reject  拦阻该数据包，并返回数据包通知对方，可以返回的数据包有几个选择：ICMP port-unreachable、ICMP echo-reply 或是tcp-reset（这个数据包包会要求对方关闭联机），进行完此处理动作后，将不再比对其它规则，直接中断过滤程序。drop 丢弃数据包不予处理，进行完此处理动作后，将不再比对其它规则，直接中断过滤程序。redirect将封包重新导向到另一个端口（PNAT），进行完此处理动作后，将会继续比对其它规则。这个功能可以用来实作透明代理或用来保护web 服务器。范例：(1防火墙的关闭、启动、重启[root@lamp02 ~]# service iptablesstart   //启动[root@lamp02 ~]# service iptables stop   //关闭[root@lamp02 ~]# service iptablesrestart  //重新启动(2)查看本机关于IPTABLES的设置情况[root@lamp02 ~]# iptables -L –n   //默认显示的是filter表中的三个chain：input、forward、output的规则[root@lamp02 ~]# iptables -t nat -L –n  //显示nat表中的所有规则[root@lamp02 ~]# iptables -t mangle -L–n  //显示mangle表中的所有规则(3)清除原有规则.[root@lamp01~]# iptables -F        //清除表filter中的所有规则链的规则[root@lamp01~]#iptables -X        //清除表filter中用户自定义链中的规则[root@lamp02~]# iptables -t nat -F[root@lamp02~]# iptables -t nat -X[root@lamp02~]# iptables -t mangle -F[root@lamp02~]# iptables -t mangle –X注意，这里清除规则是暂时的，系统重新启动后会恢复之前样式，只要使用保存命令才能永久生效(4)保存规则[root@tp~]# /etc/rc.d/init.d/iptables save  //把配置结果写到/etc/sysconfig/iptables文件里[root@lamp02~]# service iptables restart   //重新启动，加载/etc/sysconfig/iptables配置文件