本指南将试图用易于理解的语言解释如何在linux上使用iptables。

Contents [hide] 1 Overview 2 Usage 2.1 Blocking a Single IP Address 2.2 Allowing All Traffic from an IP Address 2.3 Blocking a Port From All Addresses 2.4 Allowing a Single Port from a Single IP 2.5 Viewing the Current Rules 2.6 Clearing the Current Rules 3 Distribution-Specific 3.1 Gentoo

概述

Iptables是一个基于规则的防火墙，它将按顺序处理每个规则，直到找到一个匹配的规则。

Todo:在此处包括示例

使用

iptables实用程序通常预先安装在linux发行版上，但实际上没有运行任何规则。您可以在大多数发行版上找到此实用程序：

/**in/iptables

阻止单个ip地址

您可以使用-s参数来阻止IP，将10.10.10.10替换为要阻止的地址。在本例中，您将注意到我们使用了-I参数（或者-insert也可以）而不是append，因为我们希望确保在任何allow规则之前首先显示该规则。

/**in/iptables -I INPUT -s 10.10.10.10 -j DROP

允许来自ip地址的所有通信

您也可以使用与上面相同的命令，但将DROP替换为ACCEPT，从而允许来自IP地址的所有通信。您需要确保在删除任何规则之前先显示此规则。

/**in/iptables -A INPUT -s 10.10.10.10 -j ACCEPT

从所有地址阻塞端口

通过使用–dport开关并添加要阻止的服务的端口，可以完全阻止通过网络访问端口。在本例中，我们将阻止mysql端口：

/**in/iptables -A INPUT -p tcp --dport 3306 -j DROP

允许来自单个ip的单个端口

可以将-s命令与–dport命令一起添加，以进一步将规则限制到特定端口：

/**in/iptables -A INPUT -p tcp -s 10.10.10.10 --dport 3306 -j ACCEPT

查看当前规则

可以使用以下命令查看当前规则：

/**in/iptables -L

这将为您提供类似于以下内容的输出：

Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- 192.168.1.1/24 anywhere ACCEPT all -- 10.10.10.0/24 anywhere DROP tcp -- anywhere anywhere tcp dpt:ssh DROP tcp -- anywhere anywhere tcp dpt:mysql

当然，实际输出会更长一些。

清除当前规则

可以使用flush参数清除所有当前规则。如果需要将规则按正确的顺序排列，或者在测试时，这非常有用。

/**in/iptables --flush

特定分布

虽然大多数Linux发行版都包含iptables的一种形式，但其中一些发行版还包含包装器，这使得管理变得更加简单。大多数情况下，这些“插件”采用init脚本的形式，这些脚本负责在启动时初始化iptables，尽管有些发行版还包括试图简化常见情况的完整包装应用程序。

正统

Gentoo上的iptables init脚本能够处理许多常见的场景。对于初学者，它允许您配置iptables以在启动时加载（通常是您想要的）：

rc-update add iptables default

使用init脚本，可以用一个易于记忆的命令加载和清除防火墙：

/etc/init.d/iptables start /etc/init.d/iptables stop

init脚本处理在启动/停止时保持当前防火墙配置的细节。因此，您的防火墙始终处于您离开它时的状态。如果需要手动保存新规则，init脚本也可以处理此问题：

/etc/init.d/iptables save

此外，您可以将防火墙恢复到以前保存的状态（对于您正在试验规则，现在要恢复以前的工作配置的情况）：

/etc/init.d/iptables reload

最后，init脚本可以将iptables置于“紧急”模式，所有传入和传出的通信都被阻塞。我不知道为什么这种模式有用，但是所有的Linux防火墙似乎都有这种模式。

/etc/init.d/iptables panic

警告：如果您通过SSH连接到服务器，请不要启动紧急模式；您将被断开连接！唯一应该将iptables置于紧急模式的时间是当您实际地在计算机前面时。