码迷,mamicode.com
首页 > 其他好文 > 详细

iptables入门到实战

时间:2020-03-01 17:07:27      阅读:88      评论:0      收藏:0      [点我收藏+]

标签:错误   连续   ipv4   选项   字符   zone   des   加密   time   

iptables 语法格式:

表及链的操作选项:

  -N :新增链

  -I  : 插入规则

  -A :添加规则

  -D :删除规则

  -R :修改某条规则

  -X :删除自定义的链(前提为该链被引用次数为0及规则为空)

  -F :清除所有规则

  -Z:清零 (清除所有链的计数值)

  -P :定义默认规则(ACCEPT,DROP,REJECT..)

  -L :列出所有规则

    -v:列出详细信息

    -n:以数字方式显示信息

    常用:iptables -vnL

  -E:改变链名称

规则匹配相关选项:

  -s   :源地址(例:192.168.2.0/16)

  -d   :目标地址

  --dport  :目标端口(例:137:140为137~140所有端口,可单独指定某个端口)

  --sport   :源端口

  -p :指定protocol (例 tcp,udp ,..)

  -i :入方向网卡接口

  -o :出方向网卡接口

 

实战:

1.使用iptables放行icmp协议,允许自己ping对端,及允许对端ping 自己

1 iptables -I OUTPUT -s 192.168.2.243 -d 192.168.2.244 -p icmp --icmp-type 8/0 -j ACCEPT   (实现自己访问对端)
2 iptables -I INPUT -s 192.168.2.244 -d 192.168.2.243 -p icmp --icmp-type 0/0 -j ACCEPT
3 
4 
5 iptables -I INPUT -s 192.168.2.244 -d 192.168.2.243 -p icmp --icmp-type 8/0 -j ACCEPT  (实现对端访问本机)
6 iptables -I OUTPUT -s 192.168.2.243 -d 192.168.2.244 -p icmp --icmp-type 0/0 -j ACCEPT

 

2.使用iptables放行DNS流量

 1 1.实现允许本机(DNS服务器)访问外部根DNS服务器作递归查询
 2 iptables -I OUTPUT -s 192.168.2.244 -p tcp --dport 53 -j ACCEPT
 3 iptables -I OUTPUT -s 192.168.2.244 -p udp --dport 53 -j ACCEPT
 4 
 5 iptables -I INPUT -d 192.168.2.244 -p tcp --sport 53 -j ACCEPT
 6 iptables -I INPUT -d 192.168.2.244 -p udp --sport 53 -j ACCEPT
 7 
 8 
 9 
10 
11 2.实现客户机访问本机作域名解析
12 iptables -I INPUT -s 192.168.15.86 -d 192.168.2.244 -p tcp --dport 53 -j ACCEPT
13 iptables -I INPUT -s 192.168.15.86 -d 192.168.2.244 -p udp --dport 53 -j ACCEPT
14 
15 iptables -I OUTPUT -s 192.168.2.244 -d 192.168.15.86 -p tcp --sport 53 -j ACCEPT
16 iptables -I OUTPUT -s 192.168.2.244 -d 192.168.15.86 -p udp --sport 53 -j ACCEPT

 

 

3. 放行samba 流量

1 iptables -I INPUT -s 192.168.2.244 -d 192.168.2.243 -p tcp -m multiport --dport 139,445 -j ACCEPT
2 iptables -I INPUT -s 192.168.2.244 -d 192.168.2.243 -p udp -m multiport --dport 137,138 -j ACCEPT
3 4 
5 iptables -I OUTPUT -s 192.168.2.243 -d 192.168.2.244 -p tcp -m multiport --sport 139,445 -j ACCEPT
6 iptables -I OUTPUT -s 192.168.2.243 -d 192.168.2.244 -p udp -m multiport --sport 137,138 -j ACCEPT

 

扩展匹配 选项:

  -m 

    multiport    (匹配多个离散端口)

      --dports 22,23,139,445 ...

      --sports ...

      示例: 同时开放多个端口

      

1 iptables -I INPUT -s 192.168.2.2 -d 192.168.2.3 -p tcp -m multiport --dport 22,23,80,445 -j ACCEPT
2 iptables -I OUTPUT -s 192.168.2.3 -d 192.168.2.2 -p tcp -m multiport --sport 22,23,80,445 -j ACCEPT

 

    iprange   (匹配地址范围)

      --src-range

      --dst-range   

      示例:icmp同时放行多个客户机访问

1 iptables -I INPUT -d 192.168.20.243 -p icmp --icmp-type 8/0 -m iprange --src-range 192.168.20.240-192.168.20.245 -j ACCEPT
2 iptables -I OUTPUT -s 192.168.20.243 -p icmp --icmp-type 0/0 -m iprange --dst-range 192.168.20.240-192.168.20.245 -j ACCEPT

 

    time  (匹配放行时间)

      --timestart

      --timestop

      [!] --weekdays day,[day,...]

      [!] --monthdays day,[day,...] 

      示例:匹配指定时间段内访问telnet-server

 

1 iptables -R INPUT 1 -s 192.168.20.244 -d 192.168.20.243 -p tcp --dport 23 -m time --timestart 10:00 --timestop 14:00 --kerneltz -j ACCEPT
2 iptables -R OUTPUT 1 -s 192.168.20.243 -d 192.168.20.244 -p tcp --sport 23 -m time --timestart 10:10 --timestop 14:00 --kerneltz -j ACCEPT
3 
4 注:--kerneltz 为使用内核时区 (时区错误会导致指定时间内无法连接)
5 timedatectl set-timezone Asia/Shanghai   (修改指定时区为Shanghai
1 iptables -R OUTPUT 1 -s 192.168.20.243 -d 192.168.20.244 -p tcp --sport 23 -m time --timestart 10:10 --timestop 14:00 --kerneltz --weekdays 1,2,3,4,5 -j ACCEPT
2 iptables -R INPUT 1 -s 192.168.20.244 -d 192.168.20.243 -p tcp --dport 23 -m time --timestart 10:00 --timestop 14:00 --kerneltz --weekdays 1,2,3,4,5 -j ACCEPT
3 
4 --weekdays 可指定工作日连接,1为周一

 

    string    (过滤字符串)

      --algo  bm   (指定http加密方式一般为bm)

      --string pattern  

  

1 iptables -I OUTPUT -s 192.168.20.243 -p tcp --sport 80 -m string --algo bm --string "iptables" -j REJECT
2 http page 中出现 iptables 字样时  REJECT 

 

    connlimit      (限制连接次数)

      --connlimit-upto    (小于多少次允许,根据防火墙默认策略制定)

      --connlimit-above   (在几次之上就拒绝)

    

1 iptables -I INPUT -s 192.168.15.86 -p tcp --syn -m connlimit --connlimit-above 5 -j REJECT
2 syn=1出现5次以上拒绝该地址连接(syn=1为TCP第一次握手状态)

 

    limit   (限制传输速率)

      --limit rate[/second /minute /hour /day ]  (速率/时间)

      --limit-burst number   (令牌桶大小)

      

1 iptables -R INPUT 1 -d 192.168.20.243 -p icmp --icmp-type 8/0 -m limit --limit-burst=5 --limit=10/minute -j ACCEPT
2 指定icmp协议允许每分钟10次请求,每分钟最多同时连续5次

 

    state   (追踪报文状态,根据状态定制策略)

        需提前装载模块:

          nf_conntrack

          nf_conntrack_ipv4

          nf_conntrack_ftp    (用于追踪FTP协议数据,装载后可使用 RELATED 状态)

      --state (NEW,ESTABLISHED,RELATED,INVALID,UNTRACKED) 

      示例:

  

1 iptables -I OUTPUT -s 192.168.20.243 -m state --state ESTABLISHED -j ACCEPT
2 出站报文状态为ESTABLISHED状态时放行,一般客户端初次请求报文状态为NEW,服务端回应时报文状态为ESTABLISHED

 

 

-j  target   (匹配条件后执行动作)

    ACCEPT    (允许)

    DROP   (丢弃)

    REJECT   (拒绝)

    LOG   (记录日志)

       --log-level    (指定日志等级)

       --log-prefix    (添加日志信息前缀)

      默认日志文件为: /var/log/message

  

1 iptables -A INPUT -d 192.168.20.243 -p tcp --dport 22 -j LOG --log-prefix access-ssh 

 

     

NAT

  当主机作为对外防火墙提供服务时,可用NAT对原,目的地址作转换;(类似与路由器NAT功能)

  示例:

  

1  iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to-source 172.16.30.254  (转换源地址为 172.16.30.254
2 
3 iptables -t nat -A PREROUTING -d 192.168.20.243 -p tcp --dport 80 -j DNAT --to-destination 192.168.10.2:8080
4 (端口非必须指定,默认为目标端口

 

        

    

    

iptables入门到实战

标签:错误   连续   ipv4   选项   字符   zone   des   加密   time   

原文地址:https://www.cnblogs.com/qingfengguoke/p/12387269.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!