iptables/netfilter:
表:(table)
filter、nat、mangle和raw
链:(chain)
PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING
filter:
INPUT、FORWARD和OUTPUT
nat:
PREROUTING(DNAT)、OUTPUT、POSTROUTING(SNAT)
mangle:
PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING
raw:
PREROUTING、OUTPUT
iptables：
iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
-
表名、链名：指定iptables命令所操作的表和链，未指定表名时将默认使用filter表； -
管理选项：表示iptables规则的操作方式，比如：插入、增加、删除、查看等； -
匹配条件：指定要处理的数据包的特征，不符合指定条件的数据包不在处理； -
控制类型：指数据包的处理方式，比如：允许、拒绝、丢弃等；
匹配条件
通用匹配
-s:ip报文中源地址
-d:ip报文中目的地址
-p {tcp|udp|icmp}:匹配协议
-i INTERFACE: 指定数据报文流入的接口
可用于定义标准的链：PREROUTING,INPUT,FORWARD
-o INTERFACE: 指定数据报文流出的接口
可用于标准定义的链：OUTPUT,POSTROUTING,FORWARD
扩展匹配
隐含扩展
-p tcp
--sport PORT[-PORT]: 源端口
--dport PORT[-PORT]: 目标端口
--tcp-flags mask comp: 只检查mask指定的标志位，是逗号分隔的标志位列表；
comp：此列表中出现的标记位必须为1，comp中没出现，而mask中出现的，必须为0；
--tcp-flags SYN,FIN,ACK,RST SYN = --syn
--syn
例如:
iptables -I INPUT -d 172.16.100.7 -p tcp --dport 80 -j ACCEPT
iptables -I OUTPUT -s 172.16.100.7 -p tcp --sport 80 -j ACCEPT
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -i lo -j ACCEPT
iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -o lo -j ACCEPT
-p icmp
--icmp-type
0: echo-reply
8: echo-request
例如:
iptables -A OUTPUT -s 172.16.100.7 -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -d 172.16.100.7 -p icmp --icmp-type 0 -j ACCEPT
-p udp
--sport
--dport
-p tcp --dport
显式扩展: 使用额外的匹配机制
-m EXTESTION --spe-opt
state: 状态扩展
结合ip_conntrack追踪会话的状态
NEW: 新连接请求
ESTABLISHED：已建立的连接
INVALID：非法连接
RELATED：相关联的
-m state --state NEW,ESTABLISHED -j ACCEPT
例如:iptables -R INPUT 6 -d 172.16.100.7 -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -I INPUT -d 172.16.100.7 -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
