1、IPtables简介
Netfilter/Iptables是（linux/unix）自带的一款优秀开源代码的完全自由的基于包过滤的防火墙工具。可以对流入和输出服务器的数据包进行很精细的控制。IPtables主要工作在OSI七层的二、三、四层。
IPtables是linux内核集成的IP信息过滤系统。对于接入网络或者服务器，则该系统有利于在linux系统上控制IP信息包过滤和防火墙配置。
两大组件：netfilter iptables 。
netfilter 组件称为内核空间（kernelspace）,是内核一部分，由信息包过滤表组成。这些表包含内核用来控制信息包过滤处理的规则集。
IPtables 组件是一种工具，称为用户空间（userspace）,使插入、修改、除去信息包过滤表中的规则变得容易。
2 IPtables表与链功能
IPtables的规则链分为三种：输入、转发和输出。
1)输入——用于过滤目的地址是本机的连接。
2)转发——用来过滤目的地址和原地址都不是本机的连接。如路由器收到大多数数据均需要转发给其他主机。
3)输出——用来过滤地址是本机的连接。如ping baidu.com，iptables会检查输出链中与ping和baidu.com相关的规则，然后决定允许还是拒绝你的连接请求。
3 IPtables数据包流程
数据包先经过PREOUTING，由该链确定数据包走向：
1) 目的地址是本地，则发送到INPUT，让INPUT决定是否接收下来送到用户空间，流程为①--->②；
2) 若满足PREROUTING的nat表上的转发规则，则发送给FORWARD，然后再经过POSTROUTING发送出去，流程为： ①--->③--->④--->⑥；
3) 主机发送数据包时，流程则是⑤--->⑥；
4) 其中PREROUTING和POSTROUTING指的是数据包的流向，如上图所示POSTROUTING指的是发往公网的数据包，而PREROUTING指的是来自公网的数据包。
4、IPtables四张表、五条链。
IPtables具有Filter,、NAT、Mangle、Raw四个内建表。
5、linux下的IPtables下filter表
filter表示iptables的默认表，默认有三种内建表：
INPUT链：处理来自外部的数据
OUTPUT链：处理向外发送的数据
FORWARD链：将数据转发到本机或其他网卡设备上。
6、linux下IPtables下的NAT表
NAT表有三种内建链：
PREROUTING链：处理到达本机并在路由转发前的数据包，它会转发数据包中的目标IP地址（destination ip address）,通常用于DNAT(destination NAT)
POSTROUTING链 – 处理即将离开本机的数据包。它会转换数据包中的源IP地址（source ip address），通常用于SNAT（source NAT）
OUTPUT链：处理本机产生的数据包
7、linux下IPtables命令
1.命令： -A 顺序添加，添加一条新规则 -I 插入，插入一条新规则 -I 后面加一数字表示插入到哪行 -R 修改， 删除一条新规则 -D 后面加一数字表示删除哪行 -D 删除，删除一条新规则 -D 后面加一数字表示删除哪行 -N 新建一个链 -X 删除一个自定义链,删除之前要保证次链是空的,而且没有被引用 -L 查看 @1.iptables -L -n 以数字的方式显示 @2. iptables -L -v显示详细信息 @3. iptables -L -x 显示精确信息 -E 重命名链 -F 清空链中的所有规则 -Z 清除链中使用的规则 -P 设置默认规则 2.匹配条件： 隐含匹配： -p tcp udp icmp --sport指定源端口 --dport指定目标端 -s 源地址 -d 目的地址 -i 数据包进入的网卡 -o 数据包出口的网卡 扩展匹配： -m state --state 匹配状态的 -m mutiport --source-port 端口匹配 ,指定一组端口 -m limit --limit 3/minute 每三分种一次 -m limit --limit-burst 5 只匹配5个数据包 -m string --string --algo bm|kmp --string"xxxx" 匹配字符串 -mtime--timestart 8:00 --timestop 12:00 表示从哪个时间到哪个时间段 -mtime--days 表示那天 -m mac --mac-source xx:xx:xx:xx:xx:xx 匹配源MAC地址 -m layer7 --l7proto qq 表示匹配腾讯qq的 当然也支持很多协议,这个默认是没有的,需要我们给内核打补丁并重新编译内核及iptables才可以使用 -m layer7 这个显示扩展匹配 3.动作： -j DROP 直接丢掉 ACCEPT 允许通过 REJECT 丢掉，但是回复信息 LOG --log-prefix"说明信息,自己随便定义" ，记录日志 SNAT 源地址转换 DNAT 目标地址转换 REDIRECT 重定向 MASQUERAED 地址伪装 保存iptables规则 service iptables save # 重启iptables服务 service iptables stop service iptables start
WEB服务器，开启80端口： iptables -A INPUT -p tcp --dport 80 -j ACCEPT 邮件服务器，开启25,110端口 iptables -A INPUT -P tcp --dport 110 -j ACCEPT iptables -A INPUT -P tcp --dport 25 -j ACCEPT FTP服务器，开启21端口 iptables -A INPUT -P tcp --dport 20 -j ACCEPT iptables -A INPUT -P tcp --dport 21 -j ACCEPT DNS服务器开启53号端口 iptables -A INPUT -p tcp --dport 53 -j ACCEPT 允许icmp包通过，也就是允许ping iptables -A OUTPUT -p icmp -j ACCEPT(DROP) iptables -A INPUT -p icmp -j ACCEPT(DROP) 将本机的8080端口转发至其他主机，主机IP:192.168.0.111 ,目标主机和端口：192.168.0.112:80 iptables -t nat -A PREROUTING -p tcp -m tcp -d 192.168.0.111 --dport 8080 -j DNAT --to-destination 192.168.0.112:80 iptables -t nat -A POSTROUTING -p tcp -m tcp --dport 80 -j SNAT --to-source 192.168.0.111:8080 echo 1>/proc/sys/net/ipv4/ip_forward 同时开启iptables forward
用 iptables 将 192.168.0.100 的 80 端口映射到 192.168.0.111 的 8080 端口 iptables -t nat -A PREROUTING -p tcp -d 192.168.0.100 --dport 80 -j DNAT -to-destination 192.168.0.111:8080 本机的80端口转到8080端口 iptables -t nat -A PREROUTING -p tcp --dport -j REDIRECT --to-ports 8080
门户网站iptables规则策略如下
*filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [602:39593] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -s 192.168.0.111 -j DROP -A INPUT -s 192.168.0.112 -j ACCEPT -A INPUT -p icmp -j ACCEPT -A INPUT -P tcp -m state --state NEW -M tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT -A INPUT -s 116.243.139.7 -p tcp -m state --state NEW -m tcp --dport 7001 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 8801 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 25 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 110 -j ACCEPT #### -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT