iptables命令详解

一、iptables简介

iptables是一个Linux内核中的重要命令，用于控制网络数据包的转发。使用iptables可以对网络数据包进行控制和管理，包括策略控制、端口控制、NAT设置、防火墙配置等。

下面我们将从iptables的基本结构、iptables规则链、iptables命令参数、iptables的应用等方面对iptables做详细阐述。

二、iptables基本结构

iptables命令的基本结构为：

iptables [-t table] command chain rule-specification [match-extension] [target-extension]

其中，参数的含义分别为：

• -t table：指定需要处理的表，常用的表有filter、nat和mangle三种，缺省为filter表；
• command：命令，常用的命令有-A、-D、-I、-R、-L、-F和-Z，分别表示添加规则、删除规则、插入规则、替换规则、列出规则、清除规则和重置计数器；
• chain：规则链，包括INPUT、OUTPUT、FORWARD等，默认为INPUT；
• rule-specification：规则的具体内容，包括源地址、目标地址、协议、端口等信息；
• match-extension：用于匹配数据包的扩展模块，常见的扩展模块有TCP、UDP、ICMP、state等，缺省为state扩展模块；
• target-extension：用于指定数据包的目标处理方式，常用的目标处理方式有ACCEPT、DROP、REJECT等。

三、iptables规则链

iptables命令中的规则链表示优先级，它们按照处理顺序被排列。

常用的iptables规则链包括：

• INPUT：用于处理进入本机的数据包；
• OUTPUT：用于处理从本机出发的数据包；
• FORWARD：用于处理转发的数据包；
• PREROUTING：用于进行网络地址转换（NAT）之前的处理；
• POSTROUTING：用于进行NAT之后的处理。

四、iptables命令参数

1. 基本参数

• -A：添加一条新规则到指定链的末尾；
• -D：删除指定链中的某条规则；
• -I：插入一条规则到指定链的开始；
• -R：替换指定链中的某条规则；
• -L：列出指定链中的规则；
• -F：清除指定链中的所有规则；
• -Z：重置指定链中的计数器。

2. 扩展模块参数

iptables命令可以通过使用扩展模块来进行更加精细的网络数据包匹配和处理。

常见的扩展模块包括：

• tcp：用于匹配TCP协议的相关参数；
• udp：用于匹配UDP协议的相关参数；
• icmp：用于匹配ICMP协议的相关参数；
• state：用于匹配连接状态。

3. 目标处理方式参数

iptables命令可以通过使用不同的目标处理方式来对网络数据包进行不同的处理。

常见的目标处理方式包括：

• ACCEPT：接受数据包；
• DROP：废除数据包，而不给出任何响应；
• REJECT：废除数据包，并返回错误响应；
• SNAT：用于源地址转换；
• DNAT：用于目标地址转换。

五、iptables应用实例

1. 设置防火墙

iptables命令可以用于防火墙设置，可以通过控制源地址、目标地址、协议、端口等信息来限制网络数据包的进出。

例如，下面的命令将限制所有到本地22端口的SSH连接并只允许来自192.168.1.0/24的主机访问：

iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

2. 定义NAT规则

iptables命令可以用于定义NAT规则，包括源地址转换和目标地址转换。

例如，下面的命令将把所有发往外部服务器的网络数据包的源地址设置为192.168.1.1，以隐藏源网络的真实地址：

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.1

3. 限制DDoS攻击

iptables命令可以用于限制DDoS攻击，可以通过限制同一IP地址的请求次数来防止DDoS攻击。

例如，下面的命令将限制同一IP地址在10秒内只能发送3个SSH连接请求：

iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --update --seconds 10 --hitcount 3 -j DROP