防火墙规则之iptables

防火墙规则之iptables

一 如何禁止外面应用对某个端口访问

　　　　iptables -I INPUT -p TCP ! --source 127.0.0.1 --dport 8080 -j DROP
　　　　iptables -I INPUT -p TCP ! --source 127.0.0.1 --dport 9200 -j DROP

这条命令的意思是拒绝外面的所有的IP对本机的8080和9200端口的访问，但是允许本地的127.0.0.1以及localhost能够访问本地的9200以及8080端口

二 iptables的INPUT链的一些拓展

　　iptables -t filter -A INPUT -s 10.88.32.20 -d 10.88.32.19 -p tcp -m multiport --dport 80,22 -m state --state NEW -j DROP

　　解释：该条命令使用的是filter表，INPUT链，拒绝10.88.32.20网段的IP访问主机80,22端口

　　　　-t 使用的是filter表也可以省略

　　　　-A 插入的形式

-s 源端的ip地址

　　　　-p tcp协议

　　　　-m 制定mac地址，多端口或者对tcp各种状态的限制等

　　　　-j 动作   丢弃或者接受

　　注意:这个生效的前提是iptables里面的规则不能与其有冲突

三 还可以针对某个网段的IP进行限制访问

　　例如： iptables -t filter -A INPUT -p tcp -s 10.88.0.0/16 -d 10.88.32.19 -m multiport --dport 80,22 -m state --state NEW -j DROP

　　用法解释：10.88.32.19这个IP对于源IP是10.88.0.0/16网段的

四  针对服务的某个端口仅仅只对指定的IP开放

　　例如: iptables -t filter -A INPUT -p tcp ! -s 10.88.32.20 -d 10.88.32.19 -m multiport --dport 80,22 -m state --state NEW -j DROP

　　用法解释：10.88.32.19这个地址的80以及22的端口只能允许10.88.32.19这个ip访问

五 针对某个机器的某些端口只对某个网段访问支持

　　例如：iptables -t filter -A INPUT -p tcp ! -s 10.88.0.0/16 -d 10.88.3.20 -m multiport --dport 80,22 state --state NEW -j DROP

六  如何删除一条iptables规则

　　iptables -D chainname[INPUT/OUPPUT/FORWARD]

　　例如： iptables -D INPUT 5

　　意思是删除本机的INPUT表的第五条规则

七 使用iptables对服务器禁止ping命令

　　iptables -t filter -A INPUT -p icmp ! -s 10.88.0.0/16 -d 10.88.32.19 -m state --state NEW -j DROP

　　用法解释：这条命令是可以让目的IP为10.88.32.19的服务器仅仅接受来自10.88.0.0/16网段的ip的ping测试

八 iptables的OUTPUT链的拓展

　　8.1  不允许本机服务器对外面所有的机器进行ping命令

　　　　iptables -t filter -A OUTPUT -p icmp -j DROP

　　8.2 仅仅允许对指定的10.88.0.0/16网段进行ping命令访问

　　　　iptables -t filter -A OUTPUT ! -d 10.88.0.0/16 -m state --state NEW -j DROP

　　8.3 本机仅仅只能对10.88.0.0/16网段的指定22,8888端口访问

　　　　iptables -t filter -A OUTPUT -p tcp ! -d 10.88.0.0/16 -m multiport --dport 22,8888 -m state --state NEW -j DROP

　　8.4 禁止mac为00:0c:29:27:55:3F的访问本机的22端口

　　　　iptables - t filter -A INPUT -p tcp -m tcp -s 10.88.0.0/16 --dport 22 -m mac --mac-source 00:0c:29:27:55:3F -j DROP

　　8.5 防止DDOS攻击

　　　　iptables -t filter -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-brust 100 -j ACCEPT

　　　　当链接数超过100的时候允许最多每分钟25个进行链接

九 iptables的NAT链的拓展

　　9.1  在同一个网段的地址转换，我希望的是将来自10.88.32.20的8888端口转发到10.88.32.19的80端口上面

　　　　iptables -t nat -A PREROUTING -p tcp -d 10.88.32.20 --dport 8888 -j DNAT --to-destination 10.88.32.19:80

　　　　iptables -t filter -A INPUT -p tcp -m tcp --dport 8888 -j ACCEPT

注意: 更详细的规则描述可以参考

　　https://www.cnblogs.com/kevingrace/p/6265113.html