iptables规则基本用法

iptables规则基本语法iptables [-t table] option argutable: 可选4表其中之一，raw，mangle，nat，filter，不指定默认为filter表
option：根据对规则的不同操作，可分为-N，-X，-E，-P，-F，-L，-Z，-A等
argu：根据选择的option的不同，所对应的参数也不同，下面会具体讲解

iptables规则详细解析创建一条自定义的空规则链iptables [-t table] -N chain_name删除一条自定义的空规则链iptables [-t table] -X [chain_name]注：5大内置的主链不可删除；不指定链名，则会删除指定表中非内置的所有空链修改自定义链名iptables [-t table] -E old-chain-name new-chain-name为链指定默认策略iptables [-t table] -P chain_name target注：target是ACCEPT或DROP
对链中的规则进行清空操作iptables [-t table] -F [chain_name] 注：清空指定链中的所有规则；无chain_name参数时，则清空指定表中所有链的规则对链中的规则进行显示操作iptables [-t table] -L [chain_name [rulenum]] [options...]注：显示指定链中的规则；一般都不指定chain_name参数，则会显示指定表中所有链的规则配合options使用，可以获得更加详细的信息，如-n：数字格式显示IP和PORT
-v：以详细格式显示
-vv，-vvv：以更加详细的格式显示
-x：显示精确值(如bytes的值)，不执行单位换算
--line-numbers：显示各规则的编号，链中的规则依据编号顺序执行，编号为正整数并从1开始计数
详细显示格式图解

注：一般显示格式可简写为iptables -L -nv或iptables -nvL对链中的规则进行计数器(如上图中的pkts或bytes参数)清零操作iptables [-t table] -Z [chain_name [rulenum]]注：可指定对链中的某一条规则计数器清零；也可不指定链名，则直接清零表中所有链的规则计数器删除指定规则iptables [-t table] -D chain_name rulenumiptables [-t table] -D chain_name rule-specification注：指定规则编号或规则的详细信息，一般都使用第一种，指定规则编号rulenum即可
显示指定链上的规则添加命令iptables [-t table] -S [chain_name [rulenum]]注：显示的是当初添加规则时使用的iptables命令，而非-L的显示格式；不指定链名，则显示指定表下所有链下规则的添加命令插入规则iptables [-t table] -I chain_name [rulenum] rule-specification注：可指定规则编号，已将新的规则插入指定位置；若不指定规则编号，则新规则的编号将默认为1修改规则iptables [-t table] -R chain_name rulenum rule-specification注：指定需修改规则的编号即可，rule-specification指定修改后的规则内容附加规则iptables [-t table] -A chain_name rule-specification注：本命令是在指定链下规则队列的最后附加规则；若要指定规则添加的位置，则需使用插入命令-I而规则的具体信息在于rule-specification的格式，详解如下
rule-specification规则说明rule-specification=匹配条件 -j 处理机制匹配条件：通用匹配-s：匹配源地址（单IP地址或者网络地址），等同于--src，--source
-d：匹配目标地址（单IP地址或者网络地址），等同于--dst，--destination
-p：匹配协议，通常使用{tcp | udp | icmp}其中之一
-i：匹配数据报文流入接口，如eth0
-o：匹配数据报文流出接口，如eth1
扩展匹配隐含扩展匹配：使用-p {tcp | udp | icmp}后，自动能够对协议进行的扩展-p tcp：
--dport m[-n]：匹配目标端口，m表示单个端口，如80，m-n表示连续多个端口，如20-25

--sport m[-n]：匹配源端口

--tcp-flags rst,syn,ack,fin syn：匹配TCP Header中6个符号位(URG,ACK,PSH,RST,SYN,FIN)的值，第一组显示需匹配的符号位(此例中为rst,syn,ack,fin)，第二组显示值为1的符号位(此例中为syn)，其它都为0

-p udp：
--dport m[-n]：匹配目标端口

--sport m[-n]：匹配源端口

注：UDP是无状态的协议，故无符号位flags的匹配

-p icmp：
--icmp-type：匹配icmp报文的类型，一般使用8代表PING请求，使用0代表PING应答

显示扩展匹配：必须要明确指定扩展的模块，格式为：-m 扩展模块名称 --选项1 --选项2 ...
multiport模块：多端口匹配，一次指定多个离散端口--dports：目的端口匹配，等同于--destination-ports，如 --dports 53,80
--sports：源端口匹配，等同于--source-ports
注：离散端口和端口范围可混用，如 --sports 23,80-100 ，但端口个数最好不要超过15个，端口范围计数为2个端口
iprange模块：IP地址范围匹配--dst-range from[-to]：目标地址匹配，如 --dst-range 192.168.100.10-192.168.100.20
--src-range from[-to]：源地址匹配
time模块：时间范围匹配--datestart,--datestop：日期时间匹配，日期时间格式为YYYY[-MM[-D[Thh[:mm[:ss]]]]]，如--datestart 2014-03-29T12:05:00 --datestop 2014-03-30T08:00:00
--timestart,--timestop：仅时间匹配，时间格式为hh:mm[:ss],如 --timestart 14:05:00 --timestop 18:00:00
--weekdays day[,day...]：星期匹配，可使用Mon，Tue，Web，Thu，Fri，Sat，Sun表示星期，或用1-7表示，如--weekdays 1,2,3,4,5
string模块：字符串匹配(需linux kernel >= 2.6.14)--algo {bm|kmp} --string pattern：先制定匹配算法bm或kmp，然后制定匹配模式，如 --algo bm --string hello，表示匹配带有hello字符串的报文
--algo {bm|kmp} --hex-string pattern：先将匹配模式编码成十六进制格式，再跟报文中的数据进行匹配，可提高匹配速度
connlimit模块：连接数限制匹配--connlimit-above：单IP对指定服务的最大并发连接数，如 --connlimit-above 5
limit模块：报文传输速率限制(利用令牌桶token bucket原理)--limit #[/second | /minute | /hour | /day]：如 --limit 5/s，默认是3/hour
--limit-burst：初始峰值
state模块：连接状态匹配连接状态追踪原理：在内存中维护一张会话表，记录进入的连接，并赋予每个连接条目一个计数器(即超时时间)，当计数器为0时，清除出此会话表；
当有新连接到来，对比此会话表，会话中无记录时，则此连接状态为NEW，否则为ESTABLISHED状态；
若进来的新连接与已建立的连接有关联，如FTP中的数据连接对于命令连接来说，则此连接状态为RELATED
连接追踪功能涉及的内核模块：ip_conntrack和nf_conntrack连接状态主要类型：NEW，ESTABLISHED，RELATED，INVALIDstate模块用法：--state {NEW|ESTABLISHED|RELATED|INVALID}连接状态过滤法则：对于进入的状态为ESTABLISHED和RELATED的连接都应该放行
对于出去的状态为ESTABLISHED的连接都应该放行
严格检查进入的状态为NEW的连接
所有状态为INVALID的连接都应该拒绝
注：因iptables的state模块对于进出的报文都进行严格的状态匹配，非常消耗系统资源，故在繁忙的前端服务器（如反向代理服务器）上，勿开启此功能！
取反匹配：以上介绍的匹配条件，大部分都可以在匹配条件前加 ! 号，以表示匹配条件取反，格式是：! 匹配条件，注意感叹号后的空格
处理机制：ACCEPT：报文接受DROP：报文丢弃自定义链名：调用自定义链，如 -j clean_inRETURN：返回调用链，一般用于自定义链的末尾规则

上一篇：iptables/netfilter原理及基本操作
下一篇：iptables/netfilter网络防火墙实现及实战分析