# Generated by iptables-save v1.4.21 on Sun Apr 28 15:46:01 2019 *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [165:18437] -A INPUT -p tcp -m tcp --dport 20022 -j ACCEPT -A INPUT -p tcp -m tcp --dport 15122 -j ACCEPT -A INPUT -p tcp -m tcp --dport 18888 -j ACCEPT -A INPUT -m state --state RELATED,ESTABLISHED -m comment --comment "允许已经建立的连接" -j ACCEPT -A INPUT -i lo -m comment --comment "允许lo口所有流量通过" -j ACCEPT -A INPUT -p tcp -m tcp --dport 9999 -m state --state NEW -m comment --comment "开启APPNODE服务" -j ACCEPT -A INPUT -p tcp -m tcp --dport 8888 -m state --state NEW -m comment --comment "开启APPNODE服务" -j ACCEPT -A INPUT -m comment --comment "拒绝所有没有显式开启的" -j REJECT --reject-with icmp-host-prohibited -A FORWARD -m comment --comment "拒绝所有没有显式开启的转发" -j REJECT --reject-with icmp-host-prohibited
iptables规则默认保存在cat /etc/sysconfig/iptables文件中
按照序号查询iptables规则
iptables -L -n --line-number
保存iptables规则使其生效
service iptables save
指定序号删除规则
iptables -D INPUT 编号
iptables转发，将所有来自于172.30.10.7：9002的请求转发到172.30.10.64:9002
iptables -t nat -I PREROUTING -d 172.30.10.7 -p tcp -m tcp --dport 9002 -j DNAT --to-destination 172.30.10.64:9002
把所有来自192.168.122.0/255.255.255.0网段访问192.168.122.173：22的数据全部通过192.168.122.1这个网关转发出去
iptables -t nat -A POSTROUTING -s 192.168.122.0/255.255.255.0 -d 192.168.122.173 -p tcp -m tcp –dport 22 -j SNAT –to-source 192.168.122.1
开启服务器的IPtables的转发功能，br0指实际网卡名称
iptables -t nat -A POSTROUTING -o br0 -j MASQUERADE
参考：https://www.ilanni.com/?p=7016
注意事项：放在reject之前的规则才是有效的，放在reject之后的开放的端口是无效的，这里需要注意iptables的链顺序
iptables -A INPUT -m comment --comment "拒绝所有没有显式开启的" -j REJECT --reject-with icmp-host-prohibited
e.g
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -p icmp -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT -A INPUT -m state --state NEW -m tcp -p tcp --dport 50000 -j ACCEPT -A INPUT -m state --state NEW -m tcp -p tcp --dport 1521 -j ACCEPT -A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT -A FORWARD -m tcp -p tcp --dport 8080 -j ACCEPT -A FORWARD -m tcp -p tcp --dport 1521 -j ACCEPT -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT