iptables命令大全(windows iptables命令)

目录：

• 1、linux/unix -shell值iptables基础知识
• 2、linux iptables设置
• 3、帮我解析下iptables和ip6tables相关命令
• 4、linux怎么关闭iptables linux如何关闭防火墙
• 5、Linux里面iptables -F作用是什么？
• 6、iptables保存规则

linux/unix -shell值iptables基础知识

原文参考：

iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置 iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工 作原理，你会发现其实它很简单。

首先介绍iptables的结构：iptables - Tables - Chains - Rules. 简单地讲，tables由chains组成，而chains又由rules组成。如下图所示。 [图片上传失败...(image-ba5408-1536195185275)]

图: IPTables Table, Chain, and Rule Structure

一、iptables的表与链

iptables具有Filter, NAT, Mangle, Raw四种内建表：

1. Filter表

Filter表示iptables的默认表，因此如果你没有自定义表，那么就默认使用filter表，它具有以下三种内建链：

2. NAT表

NAT表有三种内建链：

3. Mangle表

Mangle表用于指定如何处理数据包。它能改变TCP头中的QoS位。Mangle表具有5个内建链：

4. Raw表

Raw表用于处理异常，它具有2个内建链：

5.小结

下图展示了iptables的三个内建表：

[图片上传失败...(image-753d8c-1536195185272)]

图: IPTables 内建表

二、IPTABLES 规则(Rules)

牢记以下三点式理解iptables规则的关键：

目标值（Target Values）

下面是你可以在target里指定的特殊值：

如果你执行iptables –list你将看到防火墙上的可用规则。下例说明当前系统没有定义防火墙，你可以看到，它显示了默认的filter表，以及表内默认的input链, forward链, output链。

Chain INPUT (policy ACCEPT)

target prot opt source destination

Chain FORWARD (policy ACCEPT)

target prot opt source destination

Chain OUTPUT (policy ACCEPT)

target prot opt source destination

查看mangle表：

查看NAT表：

查看RAW表：

!注意：如果不指定 -t 选项，就只会显示默认的 filter 表。因此，以下两种命令形式是一个意思：

(or)

以下例子表明在filter表的input链, forward链, output链中存在规则：

Chain INPUT (policy ACCEPT)

num target prot opt source destination

1 RH-Firewall-1-INPUT all — 0.0.0.0/0 0.0.0.0/0

Chain FORWARD (policy ACCEPT)

num target prot opt source destination

1 RH-Firewall-1-INPUT all – 0.0.0.0/0 0.0.0.0/0

Chain OUTPUT (policy ACCEPT)

num target prot opt source destination

Chain RH-Firewall-1-INPUT (2 references)

num target prot opt source destination

1 ACCEPT all – 0.0.0.0/0 0.0.0.0/0

2 ACCEPT icmp – 0.0.0.0/0 0.0.0.0/0 icmp type 255

3 ACCEPT esp – 0.0.0.0/0 0.0.0.0/0

4 ACCEPT ah – 0.0.0.0/0 0.0.0.0/0

5 ACCEPT udp – 0.0.0.0/0 224.0.0.251 udp dpt:5353

6 ACCEPT udp – 0.0.0.0/0 0.0.0.0/0 udp dpt:631

7 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp dpt:631

8 ACCEPT all – 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

9 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22

10 REJECT all – 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

以上输出包含下列字段：

三、清空所有iptables规则

在配置iptables之前，你通常需要用iptables –list命令或者iptables-save命令查看有无现存规则，因为有时需要删除现有的iptables规则：

iptables –flush

或者

iptables -F

这两条命令是等效的。但是并非执行后就万事大吉了。你仍然需要检查规则是不是真的清空了，因为有的linux发行版上这个命令不会清除NAT表中的规则，此时只能手动清除：

iptables -t NAT -F

四、永久生效

当你删除、添加规则后，这些更改并不能永久生效，这些规则很有可能在系统重启后恢复原样。为了让配置永久生效，根据平台的不同，具体操作也不同。下面进行简单介绍：

1.Ubuntu

首先，保存现有的规则：

iptables-save /etc/iptables.rules

然后新建一个bash脚本，并保存到 /etc/network/if-pre-up.d/ 目录下：

iptables-restore /etc/iptables.rules

这样，每次系统重启后iptables规则都会被自动加载。

！注意：不要尝试在.bashrc或者.profile中执行以上命令，因为用户通常不是root，而且这只能在登录时加载iptables规则。

2.CentOS, RedHat

service iptables save

service iptables stop

service iptables start

查看当前规则：

cat /etc/sysconfig/iptables

五、追加iptables规则

可以使用iptables -A命令追加新规则，其中 -A 表示 Append 。因此， 新的规则将追加到链尾。

一般而言，最后一条规则用于丢弃(DROP)所有数据包。如果你已经有这样的规则了，并且使用 -A 参数添加新规则，那么就是无用功。

1.语法

iptables -A chain firewall-rule

2.描述规则的基本参数

以下这些规则参数用于描述数据包的协议、源地址、目的地址、允许经过的网络接口，以及如何处理这些数据包。这些描述是对规则的基本描述。

-p 协议（protocol）

-s 源地址（source）

-d 目的地址（destination）

-j 执行目标（jump to target）

-i 输入接口（input interface）

-o 输出（out interface）

3.描述规则的扩展参数

对规则有了一个基本描述之后，有时候我们还希望指定端口、TCP标志、ICMP类型等内容。

–sport 源端口（source port）针对 -p tcp 或者 -p udp

–-dport 目的端口（destination port）针对-p tcp 或者 -p udp

-–tcp-flags TCP标志 针对-p tcp

-–icmp-type ICMP类型 针对-p icmp

4.追加规则的完整实例：仅允许SSH服务

本例实现的规则将仅允许SSH数据包通过本地计算机，其他一切连接（包括ping）都将被拒绝。

iptables -F

iptables -A INPUT -i eth0 -p tcp –dport 22 -j ACCEPT

iptables -A INPUT -j DROP

六、更改默认策略

上例的例子仅对接收的数据包过滤，而对于要发送出去的数据包却没有任何限制。本节主要介绍如何更改链策略，以改变链的行为。

1. 默认链策略

/!\警告 ：请勿在远程连接的服务器、虚拟机上测试！

当我们使用-L选项验证当前规则是发现，所有的链旁边都有 policy ACCEPT 标注，这表明当前链的默认策略为ACCEPT：

Chain INPUT (policy ACCEPT)

target prot opt source destination

ACCEPT tcp – anywhere anywhere tcp dpt:ssh

DROP all – anywhere anywhere

Chain FORWARD (policy ACCEPT)

target prot opt source destination

Chain OUTPUT (policy ACCEPT)

target prot opt source destination

这种情况下，如果没有明确添加DROP规则，那么默认情况下将采用ACCEPT策略进行过滤。除非：

a)为以上三个链单独添加DROP规则：

iptables -A INPUT -j DROP

iptables -A OUTPUT -j DROP

iptables -A FORWARD -j DROP

b)更改默认策略：

iptables -P INPUT DROP

iptables -P OUTPUT DROP

iptables -P FORWARD DROP

糟糕！！如果你严格按照上一节的例子配置了iptables，并且现在使用的是SSH进行连接的，那么会话恐怕已经被迫终止了！

为什么呢？因为我们已经把OUTPUT链策略更改为DROP了。此时虽然服务器能接收数据，但是无法发送数据：

Chain INPUT (policy DROP)

target prot opt source destination

ACCEPT tcp – anywhere anywhere tcp dpt:ssh

DROP all – anywhere anywhere

Chain FORWARD (policy DROP)

target prot opt source destination

Chain OUTPUT (policy DROP)

target prot opt source destination

七、配置应用程序规则

尽管5.4节已经介绍了如何初步限制除SSH以外的其他连接，但是那是在链默认策略为ACCEPT的情况下实现的，并且没有对输出数据包进行限 制。本节在上一节基础上，以SSH和HTTP所使用的端口为例，教大家如何在默认链策略为DROP的情况下，进行防火墙设置。在这里，我们将引进一种新的 参数-m state，并检查数据包的状态字段。

1.SSH

iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

如果服务器也需要使用SSH连接其他远程主机，则还需要增加以下配置：

iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

2.HTTP

HTTP的配置与SSH类似：

iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT

3.完整的配置

iptables -F

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -P OUTPUT DROP

iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT

References

[1] Linux Firewall Tutorial: IPTables Tables, Chains, Rules Fundamentals

[2] IPTables Flush: Delete / Remove All Rules On RedHat and CentOS Linux

[3] Linux IPTables: How to Add Firewall Rules (With Allow SSH Example)

[4] Linux IPTables: Incoming and Outgoing Rule Examples (SSH and HTTP)

[5] 25 Most Frequently Used Linux IPTables Rules Examples

[6] man 8 iptables

linux iptables设置

一、Linux下开启/关闭防火墙命令

1、永久性生效，重启后不会复原。

开启： chkconfig iptables on

关闭： chkconfig iptables off

2、 即时生效，重启后复原

开启： service iptables start

关闭： service iptables stop

需要说明的是对于Linux下的其它服务都可以用以上命令执行开启和关闭操作。

在当开启了防火墙时，做如下设置，开启相关端口，

修改/etc/sysconfig/iptables 文件，添加以下内容：

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

二、UBuntu关闭防火墙

iptables -A INPUT -i ! PPP0 -j ACCEPT

三、CentOS Linux 防火墙配置及关闭

执行”setup”命令启动文字模式配置实用程序,在”选择一种工具”中选择”防火墙配置”,然后选择”运行工具”按钮,出现防火墙配置界面,将”安全级别”设为”禁用”,然后选择”确定”即可.

或者用命令:

#/sbin/iptables -I INPUT -p tcp –dport 80 -j ACCEPT

#/sbin/iptables -I INPUT -p tcp –dport 22 -j ACCEPT

#/etc/rc.d/init.d/iptables save

这样重启计算机后,防火墙默认已经开放了80和22端口

这里应该也可以不重启计算机：

#/etc/init.d/iptables restart

关闭防火墙服务即可：

查看防火墙信息：

#/etc/init.d/iptables status

关闭防火墙服务：

#/etc/init.d/iptables stop

帮我解析下iptables和ip6tables相关命令

不太懂，解析几条

iptables -A INPUT -i lo -j ACCEPT

从lo端口入站的包接受

iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

入站的已经连接的包接受

iptables -A INPUT -m state --state NEW -s IP/prefix -p tcp -m tcp --dport 22 -j ACCEPT

入站的新的连接，从IP/prefix这个网段来的，目的端口22的包接受

本地22端口应该是开了什么服务

iptables -A INPUT -j DROP

不符合以上规则的包，就适用这一条规则了，入站的包丢弃。用在这里的规则和策略差不多。

ip6tables没玩过。

linux怎么关闭iptables linux如何关闭防火墙

打开SSH软件，首先检查防火墙状态，输入命令“／etc/init.d/iptables stop”停止服务即可，详细步骤：

工具／原料：

Linux系统Centos

SSH远程软件

1、首先打开SSH软件，按回车键就会提示进行登录，输入IP和用户名进行登录。

2、执行命令：／etc/init.d/iptables status，会得到一系列信息，说明防火墙开着，如图。

3、执行命令：／etc/init.d/iptables stop，停止服务。

4、执行命令：chkconfig --levels 35 iptables off，关闭防火墙服务开机启动。

5、还需要关闭Selinux，现在，先查看当前SELinux状态，执行命令：／usr/sbin/sestatus -v//参数为enabled即为开启状态。

6、执行命令：vi /etc/selinux/config，按“i”进入编辑模式将SELINUX=enforcing改为SELINUX=disabled，然后按“ESC”退出编辑模式，按Shift+;然后再输入wq回车即可。

7、关闭成功，重启系统即可。

Linux里面iptables -F作用是什么？

Linux里面iptables -F作用是：清空当前表的所有规则，和iptables -t filter -F等价

以下是iptables详细文档：可以看看

iptables保存规则

iptables的配置文件保存在/etc/sysconfig/iptables-config 下，书写了iptables规则后，如果需要保存规则，可以使用命令：iptables-save，使用此命令的规则位置可以是任意的，此时保存的规则在重启机器后无法自动生效，需要使用命令iptables-restart恢复，或者写入机器启动脚本/etc/rc.d/rc.local里面。

以下为教材里使用的命令：

保存规则：shelliptables-save /etc/iptables-script

恢复规则：shelliptables-restore /etc/iptables-script

保存和恢复的位置只要是两者一致就可以了，如果iptables-script没有则需要创建。

若想开机启动脚本，则可以使用一下命令放到系统初始化shell脚本/etc/rc.d/rc.local中

shellecho '/sbin/iptables-restore /etc/iptables-script' /etc/rc.d/rc.local

但是近日查看资料，发现规则保存的位置是在/etc/sysconfig/iptables下，所以一些资料就有规则：

保存规则:shelliptables-save /etc/sysconfig/iptalbes

恢复规则：shelliptables-restore /etc/sysconfig/iptables

若想开机启动脚本，可以使用如下命令放到系统初始化脚本/etc/rc.d/rc.local中

shellecho ‘/sbin/iptables-restore /etc/sysconfig/iptables'/etc/rc.d/rc.local