详解/etc/sysconfig/iptables

发布时间：2023-05-19

如果你是一名系统管理员或者开发人员，那么一定会涉及到iptables，而/etc/sysconfig/iptables就是iptables的配置文件，本篇文章就从多个方面对其进行详细的阐述。

一、文件结构

首先，我们来看一下这个文件的结构：

# Generated by iptables-save v1.4.21 on Thu Nov 12 18:06:14 2015
*mangle   # mangle表
:PREROUTING ACCEPT [37252064:27810940639]
:INPUT ACCEPT [2572727:495785847]
:FORWARD ACCEPT [34664836:27213642408]
:OUTPUT ACCEPT [800121:260735656]
:POSTROUTING ACCEPT [35466240:53167302970]
-A PREROUTING -p tcp -m tcp --dport 80 -j TOS --set-tos Maximize-Delay
COMMIT
# Completed on Thu Nov 12 18:06:14 2015
# Generated by iptables-save v1.4.21 on Thu Nov 12 18:06:14 2015
*filter    # filter表
:INPUT ACCEPT [2572727:495785847]
:FORWARD ACCEPT [34664836:27213642408]
:OUTPUT ACCEPT [800121:260735656]
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Thu Nov 12 18:06:14 2015
# Generated by iptables-save v1.4.21 on Thu Nov 12 18:06:14 2015
*nat    # nat表
:PREROUTING ACCEPT [1219495:92669159]
:INPUT ACCEPT [201:9725]
:OUTPUT ACCEPT [388:32374]
:POSTROUTING ACCEPT [388:32374]
COMMIT
# Completed on Thu Nov 12 18:06:14 2015

其中，文件中有三个表，分别是：

  • mangle表：处理数据包的信息，如TOS、QoS等。
  • filter表：过滤数据包，处理转发数据包。
  • nat表：进行网络地址转换。 每个表中都有对应的链，iptables会依次按表、链处理数据包。

二、配置文件说明

1. 表示注释

配置文件中，使用#表示注释。

2. 表示表和链

iptables中最常见的的关键字除了表示注释的#之外，就是表示表和链的关键字。 格式：*table name table name为表名，常见的有三个：mangle、nat、filter，表示其他进程、网络地址转换、过滤。 在表名下方是链。格式：:chain name action [parameters] chain name为链名，action为操作，parameters为参数。 其中，链名是使用自定义名称，操作为ACCEPT、DROP、REJECT等操作用于匹配、操作数据包，参数根据具体使用情况决定。

3. 表示规则

iptables中的规则有两个关键字：-A和-I。

  • -A表示追加规则（append），即在链末尾添加新规则。
  • -I表示插入规则（insert），即在链首部插入新规则。 规则格式：
-A chain[-i|-o] [-s source/][--sport sport][:d [i [p protocol] [--dport dport]]] [-j target]

其中，[-i|-o]可选参数指定输入和输出接口。[-s source/][--sport sport][:d [i [p protocol] [--dport dport]]]用来指定来或去目的地IP地址/端口号，protocol表示协议。[-j target]指定匹配规则后对应的操作，如ACCEPT、DROP等。

三、实例

1. 允许本地访问

配置文件内容：

# 允许本地访问
-A INPUT -i lo -j ACCEPT

-A表示追加规则，INPUT表示过滤表中的输入链。 此处表示访问本机网络接口的数据包，因为规则中指定了-i lo，所以这个规则只允许从本地访问。 如果要禁止本地访问，可以将-j ACCEPT改成-j DROP。

2. 允许ICMP协议包的进入

配置文件内容：

# 允许ICMP协议包
-A INPUT -p icmp -j ACCEPT

-p表示筛选协议（protocol），输入心跳数据包的协议是ICMP，-j ACCEPT表示通过。 如果要关闭ICMP协议包的进入，可以将-j ACCEPT改成-j DROP。

3. 允许SSH远程连接

配置文件内容：

# 允许SSH
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

-p tcp表示规则为TCP协议。--dport 22表示端口为22（SSH默认端口），-j ACCEPT表示此数据包允许通过。 如果要禁止SSH远程连接，可以将-j ACCEPT改成-j DROP。

总结

以上就是iptables的主要配置格式和用法，此外iptables还有很多其他的使用和配置方式，如标记、跟踪、链特性等，需要根据具体情况使用。 总之，掌握iptables的基本配置和规则将会对系统运维和安全有很大帮助。

推荐文章