快速理解iptables入门教程
一、iptables安装
成都创新互联是一家企业级云计算解决方案提供商,超15年IDC数据中心运营经验。主营GPU显卡服务器,站群服务器,绵阳服务器托管,海外高防服务器,大带宽服务器,动态拨号VPS,海外云手机,海外云服务器,海外服务器租用托管等。
二、三表五链
三个表: Filter、NAT、Mangle。默认使用Filter。
Filter:用于一般信息包过滤,包含了INPUT、OUTPUT、FORWARD链。
NAT:用于需转发(NAT)的信息包,包含了OUTPUT、PREROUTING、POSTROUTING。
Mangle:包含一些规则来标记用于高级路由,包含PREROUTING和OUTPUT链。如查信息包及其头内进行了任何更改,则使用该表。
五个内置链:
PREROUTING 数据包进入路由表之前,用于修改目的地址(DNAT)。
INPUT 通过路由表后目的地为本机,匹配目的 IP 是本机的数据包。
FORWARD 通过路由表后,目的地不为本机,匹配穿过本机的数据包。
OUTPUT 由本机产生,向外转发。
POSTROUTING 发送到网卡接口之前,用于修改源地址 (SNAT)。
iptables(netfilter)五条链相互关系
三表五链处理过程中的位置
三、目标(target)
ACCEPT (-j ACCEPT) 当信息包与ACCEPT目标的规则完全匹配时,会被接受即允许前往目的地,并将停止遍历链。
DROP (-j DROP) 当信息包与DROP目标的规则完全匹配时,会阻塞该包即丢弃该包。
REJECT (-j REJECT) 该目标工作方式与DROP目标相同,比DROP好的是REJECT不会在服务器和客户机上留下死套接字,并将错误消息发回给信息包的发送方。
RETURN (-j RETURN) 该目标是让与该规则相匹配的信息包停止遍历所有链,如果该链是INPUT之类的链,则使用该链的缺省策略处理该信息包。
还有其它的高级点的目标,如LOG、REDIRECT、MARK、MIRROR和MASQUERADE等。
四、命令和语法
--out-interface eth0短格式:-o eth0 表示从eth0出
按包状态匹配 (state)
按来源 MAC 匹配(mac)
按包速率匹配 (limit)
多端口匹配 (multiport)
iptables -t nat -A POSTROUTING -o 网络接口 -j SNAT --to-source IP地址
配置DNAT命令基本语法
iptables -t nat -A PREROUTING -i 网络接口 -p 协议 --dport 端口 -j DNAT --to-destination IP地址
五、策略保存
六、常用实用策略
该内容来自其互联网。
注意:确保规则循序正确,弄清逻辑关系,学会时刻使用 -vnL
先开启转发:echo 1 >/proc/sys/net/ipv4/ip_forward
iptables -F 清除预设表filter中的所有规则链的规则
iptables -X 清除预设表filter中使用者自定链中的规则
iptables -Z 清除预设表filter中使用计数器
iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat
可根据需求设置默认策略
iptables –P INPUT DROP
iptables –P FORWARD DROP
iptables –P OUTPUT ACCEPT
这样默认把INPUT 、FORWARD 设置成DROP,只有OUTPUT是ACCEPT,如需要也可以设置成DROP。
(以后再来完成)按拓扑图进行一个案例设置:
FTP
SSH
MySQL
NAT1-3389
NAT2-web
文章题目:快速理解iptables入门教程
本文来源:http://myzitong.com/article/piijcj.html