软件防火墙，它是建立在netfilter架构基础上的一个包过滤管理工具；提供包过滤、NAT(网络地址转换)和通用的pro-route packet mangling。
所在目录：/etc/init.d/iptables
所有规则文件:/etc/sysconfig/iptables
自身基本操作
- 启动iptables:service iptables start
- 关闭iptables:service iptables stop
- 重启iptables:service iptables restart
- 查看iptables状态：service iptables status
- 保存iptables配置：service iptables save
- iptables服务配置文件：/etc/sysconfig/iptables-config
- iptables规则保存文件：/etc/sysconfig/iptables
- 打开iptables转发：echo "1" > /proc/sys/net/ipv4/ip_forward
三种内建链
1、INPUT链 处理来自外部的数据；
2、OUTPUT链 处理向外发送的数据；
3、FORWARD链 将数据转发到本机上的其他网卡设备上；
指令
- ACCEPT:数据包被允许到达目的地；
- REJECT:数据包被拒绝并返回给发数据包主机一个简单的解释；
- DROP:数据包被拒绝不返回任何信息；
包状态
- NEW:第一服务器发送给第二服务器一个SYN数据包来新建一个连接；
- RELATED：第二服务器接收SYN数据库并发送给第一服务器一个SYN-ACK数据包来确定连接正常；
- ESTABLISHED:第一服务器收到SYN-ACK数据包并发送给第二服务器，TCP三次握手完成；
注意
1、规则的顺序；如果一开始就添加了阻止任何的规则，那么下面的规则就不起作用了。
2、编写的规则是存储在内存中的，重启后就会失效，因此需要手工执行初始化脚本来保存规则；
3、如何你是通过SSH等远程管理服务器的，那么首先配置规则添加允许ssh的规则。
参数-A：增加一个规则
-D 删除规则
-R 替换
-I 插入
-L 显示所有规则
-F 删除所有规则
-s：来源IP
-d:目的地址
-i：指定网卡
-p：指定通信协议
--sport:源端口
--dport:目的端口
--state:状态
-j：指令
基于TCP/IP状态的规则
iptables -A INPUT -m state --state RELATED,ESTABLISHED j ACCEPT
iptables -A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED
阻止IP
iptables -A INPUT -s ip -j DROP
保存规则
/etc/init.d/iptables save
/etc/init.d/iptables stop
/etc/init.d/iptables start
