iptables小记

开启
/etc/init.d/iptables start

关闭
/etc/init.d/iptables stop

设定每次开启不启动该服务项目，可以使用 chkconfig 来关闭。
chkconfig iptables off

查看当前iptables
iptables -L

保存规则
iptables-save > /etc/sysconfig/iptables

恢复规则
iptables-restore < /etc/sysconfig/iptables 禁止123.456.789.0-123.456.789.255的流进和流出 iptables -t filter -A INPUT -s 123.456.789.0/24 -j DROP iptables -t filter -A OUTPUT -d 123.456.789.0/24 -j DROP 删除规则 iptables -t filter -D OUTPUT -d 123.456.789.0/24 -j DROP 禁止流进ip段 iptables -I INPUT -s 211.0.0.0/8 -j DROP iptables -I INPUT -s 211.1.0.0/16 -j DROP iptables -I INPUT -s 211.2.0.0/16 -j DROP iptables -I INPUT -s 211.3.0.0/16 -j DROP iptables -I INPUT -s 61.37.80.0/24 -j DROP iptables -I INPUT -s 61.37.81.0/24 -j DROP 默认策略： iptables -P INPUT ACCEPT iptables -P OUTPUT DROP iptables -P FORWARD DROP 接受所有ssh连接： iptables -A INPUT -p tcp -m tcp -s 0/0 --dport 22 -j ACCEPT 管理FTP连接： iptables -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT iptables -A INPUT -p tcp -s 127.0.0.1/8 -d 0/0 --destination-port 20 --syn -j ACCEPT iptables -A INPUT -p tcp -s 127.0.0.1/8 -d 0/0 --destination-port 21 --syn -j ACCEPT 监视SNMP: iptables -A INPUT -p udp -m udp --dport 161 -j ACCEPT iptables -A INPUT -p udp -m udp --sport 1023:2999 -j ACCEPT 管理POP电子邮件： iptables -A INPUT -p tcp -m tcp --dport 110 -j ACCEPT --syn HTTPS服务： iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT --syn SMTP连接： iptables -A INPUT -p tcp -m tcp --dport 25 -j ACCEPT --syn 管理HTTP： iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT --syn 管理MySQL数据库： iptables -A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT --syn iptables -A INPUT -p udp -m udp --dport 3306 -j ACCEPT IMAP邮件服务： iptables -A INPUT -p tcp -m tcp --dport 143 -j ACCEPT --syn 管理DNS服务： iptables -A INPUT -p tcp -m tcp --dport 53 -j ACCEPT --syn iptables -A INPUT -p udp -m udp --dport 53 -j ACCEPT iptables -A INPUT -p udp -m udp -s 0/0 -d 0/0 --sport 53 -j ACCEPT 管理本地主机连接： iptables -A INPUT -i lo -j ACCEPT -m tcp 丢弃所有其它的新请求： iptables -A INPUT -p tcp -m tcp -j REJECT --syn iptables -A INPUT -p udp -m udp -j REJECT 防止SYN洪水攻击： iptables -A INPUT -p tcp --syn -m limit --limit 5/second -j ACCEPT 屏蔽恶意主机（比如，192.168.0.8）： iptables -A INPUT -p tcp -m tcp -s 192.168.0.8 -j DROP 检查防火墙日志： iptables -A INPUT -j LOG --log-level alert iptables -A INPUT -j LOG --log-prefix "Dropped: " 做 NAT： iptables -A POSTROUTING -t nat -o eth0 -s 192.168.1.0/24 -d 0/0 -j MASQUERADE iptables -A FORWARD -t filter -o eth0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -t filter -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT 清空所有规则： iptables -F && iptables -t nat -F && iptables -t mangle -F && iptables -X http://bbs.chinaunix.net/thread-216752-1-1.html