iptables命令使用

偏执的太偏执、 2023-02-24 11:22 16阅读 0赞

## 待后续更新 ##

## iptables是什么 ##

iptables/ip6tables — IPv4/IPv6包过滤和NAT管理工具

## iptables简述 ##

（chain：链路，specification：规范，rulenum：规则编号，options：选项）

iptables \[-t table\] \{-A|-C|-D\} chain rule-specification

ip6tables \[-t table\] \{-A|-C|-D\} chain rule-specification

iptables \[-t table\] -I chain \[rulenum\] rule-specification

iptables \[-t table\] -R chain rulenum rule-specification

iptables \[-t table\] -D chain rulenum

iptables \[-t table\] -S \[chain \[rulenum\]\]

iptables \[-t table\] \{-F|-L|-Z\} \[chain \[rulenum\]\] \[options...\]

iptables \[-t table\] -N chain

iptables \[-t table\] -X \[chain\]

iptables \[-t table\] -P chain target

iptables \[-t table\] -E old-chain-name new-chain-name

rule-specification = \[matches...\] \[target\]

match = -m matchname \[per-match-options\]

target = -j targetname \[per-target-options\]

## 描述 ##

Iptables和ip6tables用于在Linux内核中设置、维护和检查IPv4和IPv6包过滤规则表。可以定义几个不同的表。每个表包含许多内置链路，也可能包含用户定义的链路。每条链路是一组规则，可以匹配一组数据包。每组规则定义了匹配的数据包可以执行的操作，也称作“target”，可以是跳转到同一表中的用户自定义的链路。

## Targets ##

一组防火墙规则定义了数据包到达目标的条件。如果数据包不匹配，则检查链中的下一个规则；如果匹配，则下一个规则由目标值指定，该值可以是用户定义链的名称、iptables扩展（8）中描述的目标之一，或者是特殊值ACCEPT、DROP或RETURN之一。

ACCEPT意为让包通过；DROP意为丢弃数据包；RETURN意为返回前一个链路规则；如果通过了内置链路或者匹配了带RETURN的内置链路中的规则，则链策略指定的目标将决定包的命运。

## TABLES ##

目前有五个独立的表（在任何时候出现哪些表取决于内核配置选项以及存在哪些模块）。

*  \-t, --table table

指定数据包匹配的表，如果内核配置为自动模块加载，那么将尝试加载适当的模块（如果该表不存在）。

有如下几种表：

*  filter：

这是默认表（如果没有传递-t选项）。它包含内置的链输入INPUT（用于发送到本地套接字的数据包）、转发FORWARD（用于通过盒子路由的数据包）和输出OUTPUT（用于本地生成的数据包）。

*  nat：

当遇到创建新连接的数据包时，会查阅此表。它由三个内置组件组成：预路由PREROUT‐ING（用于在数据包到达时立即更改）、输出OUTPUT（用于在路由之前更改本地生成的数据包）和后路由POSTROUTING（用于在数据包即将发出时更改数据包）。IPv6 NAT支持从内核3.7开始提供。

mangle：

此表用于专门的包更改。在内核2.4.17之前，它有两个内置的链：预路由PREROUTING（用于在路由之前更改传入的数据包）和输出OUTPUT（用于在路由之前更改本地生成的数据包）。自从内核2.4.18以来，还支持其他三个内置链：INPUT（用于进入盒中的数据包）、FORWARD（用于更改通过box路由的数据包）和POSTROUTING（用于在数据包即将发出时更改数据包）。

raw：

此表主要用于结合NOTRACK目标配置连接跟踪豁免。它注册在netfilter钩子上，具有更高的优先级，因此在ip conntrack或任何其他ip表之前被调用。它提供以下内置链：预路由PREROUTING（针对通过任何网络接口到达的数据包）输出OUTPUT（针对本地进程生成的数据包）

security：

此表用于强制访问控制（MAC）网络规则，例如由SECMARK和CONNSECMARK目标启用的规则。强制访问控制由Linux安全模块（如SELinux）实现。在筛选表之后调用安全表，允许筛选表中的任意访问控制（DAC）规则在MAC规则之前生效。此表提供了以下内置链：输入INPUT（用于进入盒子本身的数据包）、输出OUTPUT（用于在路由之前更改本地生成的数据包）和转发FORWARD（用于更改通过盒子路由的数据包）。

## 选项 ##

iptables和ip6tables识别的选项可以分为几个不同的组。

*  指令：

这些选项指定要执行的所需操作。除非另有说明，否则只能在命令行中指定其中之一。

*  \-A, --append chain rule-specification

将一个或多个规则附加到选定链的末尾。当源名称和/或目标名称解析为多个地址时，将为每个可能的地址组合添加一个规则。

*  \-C, --check chain rule-specification

检查所选链中是否存在与规范匹配的规则。此命令使用与-D相同的逻辑来查找匹配的条目，但不会更改现有的iptables配置，并使用其退出代码来指示成功或失败。

*  \-D, --delete chain rule-specification
 *  \-D, --delete chain rulenum

从所选链中删除一个或多个规则。此命令有两个版本：可以将规则指定为链中的数字（第一个规则从1开始）或要匹配的规则。