iptables防火墙，常用规则整理

251次阅读

共计 1625 个字符，预计需要花费 5 分钟才能阅读完成。

iptables 是一个配置 Linux 内核防火墙的命令行工具，是 netfilter 项目的一部分。目前大多数 Linux 默认使用 iptables 作为防火墙，因此有必要熟悉和了解一下。

如果您的系统没有安装 iptables，可以通过以下命令安装（以 CentOS 7 为例）：

yum install -y iptables
yum install iptables-services

-t< 表 >：指定要操纵的表；-A：向规则链中添加条目；-D：从规则链中删除条目；-i：向规则链中插入条目；-R：替换规则链中的条目；-L：显示规则链中已有的条目；-F：清楚规则链中已有的条目；-Z：清空规则链中的数据包计算器和字节计数器；-N：创建新的用户自定义规则链；-P：定义规则链中的默认目标；-h：显示帮助信息；-p：指定要匹配的数据包协议类型；-s：指定要匹配的数据包源 ip 地址；-j< 目标 >：指定要跳转的目标；-i< 网络接口 >：指定数据包进入本机的网络接口；-o< 网络接口 >：指定数据包要离开本机所使用的网络接口。

# 查看当前 iptables 规则
iptables -L -n
#清空所有默认规则
iptables -F
#清空所有自定义规则
iptables -X
#允许所有进来的流量
iptables -P INPUT ACCEPT
#将规则写入配置文件保存
service iptables save
#查看 iptables 状态
service iptables status
#停止 iptables
service iptables stop
#启动
service iptables start
#重启
service iptables restart

只允许 222.209.77.60 连接 22 端口, 其它 IP 来连接 22 端口一律丢弃

iptables -I INPUT -s 222.209.77.60 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

解释下上面的参数:

-I : 以第一个规则插入链
-A : 正常添加一个规则链
-s : 源 IP
-p : 指定协议，常用的协议有 tcp/udp/icmp/http/ftp 等
--dport：指定目标端口
-j : 需要执行的动作，常用的动作有 ACCEPT（允许）、DROP（丢弃）、REJECT（拒绝）
-d : 目标 IP/ 或子网

可能您还会发现上面的规则有个 INPUT 选项，这个选项叫做规则链，最常用的链包括 INPUT（流入），OUTPUT（流出），通过规则链来管理流入、流出的流量。

依葫芦画飘，通过上面的列子，我们再来添加一个禁 ping 的规则就很简单了。下面的例子丢弃所有流入的 ICMP 包：

iptables -A INPUT -p icmp -j DROP

上面的规则都是流入（INPUT），再来一个流出的列子。下面的规则拒绝所有流出的 UDP 流量，仅允许 UDP 流量请求 119.29.29.29 的 53 端口

# 先禁止所有 UDP 流量流出
iptables -A OUTPUT -p udp -j DROP
#允许 UDP 流出到 119.29.29.29 53 端口
iptables -I OUTPUT -p udp -d 119.29.29.29 --dport 53 -j ACCEPT

# 放行 80 端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#禁止连接 3306 端口
iptables -A INPUT -p tcp --dport 3306 -j DROP
#禁 ping
iptables -A INPUT -p icmp -j DROP

直接用上面的规则只是临时生效，如果希望永久生效别忘记保存规则service iptables save

iptables 能做的事还有很多，比如端口转发等，上面的规则不过九牛一毛，有兴趣的可以自行搜索研究。部分内容参考了：