防火墙iptables规则编写1

iptables/netfilter:

表:(table)
filter、nat、mangle和raw

链:(chain)
PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING

filter:
INPUT、FORWARD和OUTPUT

nat:
PREROUTING(DNAT)、OUTPUT、POSTROUTING(SNAT)

mangle:
PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING

raw:
PREROUTING、OUTPUT

iptables：

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]

表名、链名：指定iptables命令所操作的表和链，未指定表名时将默认使用filter表；
管理选项：表示iptables规则的操作方式，比如：插入、增加、删除、查看等；
匹配条件：指定要处理的数据包的特征，不符合指定条件的数据包不在处理；
控制类型：指数据包的处理方式，比如：允许、拒绝、丢弃等；

匹配条件
   通用匹配
       -s:ip报文中源地址
       -d:ip报文中目的地址
       -p {tcp|udp|icmp}:匹配协议
       -i INTERFACE: 指定数据报文流入的接口
           可用于定义标准的链：PREROUTING,INPUT,FORWARD
       -o INTERFACE: 指定数据报文流出的接口
           可用于标准定义的链：OUTPUT,POSTROUTING,FORWARD

例如

iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT # 允许 192.168.1.0 段 IP 访问

iptables -A INPUT -s 192.168.1.10 -j DROP # 对 1.10 数据包丢弃
扩展匹配
       隐含扩展
           -p tcp
               --sport PORT[-PORT]: 源端口
               --dport PORT[-PORT]: 目标端口
               --tcp-flags mask comp: 只检查mask指定的标志位，是逗号分隔的标志位列表；
               comp：此列表中出现的标记位必须为1，comp中没出现，而mask中出现的，必须为0；
                   --tcp-flags SYN,FIN,ACK,RST SYN = --syn
               --syn
               例如:

iptables -I INPUT -d 172.16.100.7 -p tcp --dport 80 -j ACCEPT
               iptables -I OUTPUT -s 172.16.100.7 -p tcp --sport 80 -j ACCEPT
               iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -i lo -j ACCEPT
               iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -o lo -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 允许 TCP 的 22 端口访问

iptables -I INPUT -p udp --dport 53 -j ACCEPT # 允许 UDP 的 53 端口访问，插入在第一条

iptables -A INPUT -p tcp --dport 22:25 -j ACCEPT # 允许端口范围访问

           -p icmp
               --icmp-type
                   0: echo-reply
                   8: echo-request
                   例如:

iptables -A OUTPUT -s 172.16.100.7 -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -d 172.16.100.7 -p icmp --icmp-type 0 -j ACCEPT

iptables -A INPUT -i eth0 -p icmp -j DROP # eth0 网卡 ICMP 数据包丢弃，也就是禁 ping

           -p udp
               --sport
               --dport
       显式扩展: 使用额外的匹配机制
           -m EXTESTION --spe-opt

state 包状态，有四个：NEW、RELATED、ESTABLISHED 和 INVALID
mac 源 MAC 地址
limit 包速率限制
multiport 多端口，以逗号分隔
iprange 端口范围，以逗号分隔

           state: 状态扩展
               结合ip_conntrack追踪会话的状态
                   NEW: 新连接请求
                   ESTABLISHED：已建立的连接
                   INVALID：非法连接
                   RELATED：相关联的
               -m state --state NEW,ESTABLISHED -j ACCEPT
               例如:

iptables -R INPUT 6 -d 172.16.100.7 -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -I INPUT -d 172.16.100.7 -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

multiport 多端口，以逗号分隔

           multiport: 离散的多端口匹配扩展
               --source-ports
               --destination-ports
               --ports

例如：

iptables -A INPUT -p tcp -m multiport --dports 22,80,8080 -j ACCEPT

iprange 端口范围，以逗号分隔

           -m iprange
               --src-range
               --dst-range

-m connlimit: 连接数限制
--connlimit-above n

iptables -A INPUT -d 172.16.100.7 -p tcp --dport 80 -m connlimit --connlimit-above 2 -j ACCEPT

# 限制并发连接数，超过 30 个拒绝

iptables -I INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 30 -j REJECT

           -m limit
               --limit RATE
               --limit-burst

例如:

# 限制每个 IP 每秒并发连接数最大 3 个

iptables -I INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT

iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT

https://mp.weixin.qq.com/s/W6Z0K0eq-ZMe3sf6_CwqOw

来源：CSDN

作者：fighting545847013

链接：https://blog.csdn.net/weixin_43857096/article/details/104087615

标签

防火墙