學(xué)習使用 iptables
作者：
王聰iptables 相關(guān)概念iptables 介紹iptables 高級功能iptables 使用實(shí)例參考資料iptables 相關(guān)概念
在正式介紹 iptables 的使用之前，我們先來(lái)看一下和 iptables 相關(guān)的一些基本概念。我們下面將會(huì )頻繁使用到它們。
匹配（match）：符合指定的條件，比如指定的 IP 地址和端口。
丟棄（drop）：當一個(gè)包到達時(shí)，簡(jiǎn)單地丟棄，不做其它任何處理。
接受（accept）：和丟棄相反，接受這個(gè)包，讓這個(gè)包通過(guò)。
拒絕（reject）：和丟棄相似，但它還會(huì )向發(fā)送這個(gè)包的源主機發(fā)送錯誤消息。這個(gè)錯誤消息可以指定，也可以自動(dòng)產(chǎn)生。
目標（target）：指定的動(dòng)作，說(shuō)明如何處理一個(gè)包，比如：丟棄，接受，或拒絕。
跳轉（jump）：和目標類(lèi)似，不過(guò)它指定的不是一個(gè)具體的動(dòng)作，而是另一個(gè)鏈，表示要跳轉到那個(gè)鏈上。
規則（rule）：一個(gè)或多個(gè)匹配及其對應的目標。
鏈（chain）：每條鏈都包含有一系列的規則，這些規則會(huì )被依次應用到每個(gè)遍歷該鏈的數據包上。每個(gè)鏈都有各自專(zhuān)門(mén)的用途， 這一點(diǎn)我們下面會(huì )詳細討論。
表 （table）：每個(gè)表包含有若干個(gè)不同的鏈，比如 filter 表默認包含有 INPUT，FORWARD，OUTPUT 三個(gè)鏈。iptables 有四個(gè)表，分別是：raw，nat，mangle和filter，每個(gè)表都有自己專(zhuān)門(mén)的用處，比如最常用filter表就是專(zhuān)門(mén)用來(lái)做包過(guò)濾的，而 nat 表是專(zhuān)門(mén)用來(lái)做NAT的。
策略（police）：我們在這里提到的策略是指，對于 iptables 中某條鏈，當所有規則都匹配不成功時(shí)其默認的處理動(dòng)作。
連接跟蹤（connection track）：又稱(chēng)為動(dòng)態(tài)過(guò)濾，可以根據指定連接的狀態(tài)進(jìn)行一些適當的過(guò)濾，是一個(gè)很強大的功能，但同時(shí)也比較消耗內存資源。
iptables 介紹
iptables 的表和鏈：
現在，讓我們看看當一個(gè)數據包到達時(shí)它是怎么依次穿過(guò)各個(gè)鏈和表的?；静襟E如下：
1. 數據包到達網(wǎng)絡(luò )接口，比如 eth0。
2. 進(jìn)入 raw 表的 PREROUTING 鏈，這個(gè)鏈的作用是趕在連接跟蹤之前處理數據包。
3. 如果進(jìn)行了連接跟蹤，在此處理。
4. 進(jìn)入 mangle 表的 PREROUTING 鏈，在此可以修改數據包，比如 TOS 等。
5. 進(jìn)入 nat 表的 PREROUTING 鏈，可以在此做DNAT，但不要做過(guò)濾。
6. 決定路由，看是交給本地主機還是轉發(fā)給其它主機。
到了這里我們就得分兩種不同的情況進(jìn)行討論了，一種情況就是數據包要轉發(fā)給其它主機，這時(shí)候它會(huì )依次經(jīng)過(guò)： 7. 進(jìn)入 mangle 表的 FORWARD 鏈，這里也比較特殊，這是在第一次路由決定之后，在進(jìn)行最后的路由決定之前， 我們仍然可以對數據包進(jìn)行某些修改。
8. 進(jìn)入 filter 表的 FORWARD 鏈，在這里我們可以對所有轉發(fā)的數據包進(jìn)行過(guò)濾。需要注意的是：經(jīng)過(guò)這里的數據包是轉發(fā)的，方向是雙向的。
9. 進(jìn)入 mangle 表的 POSTROUTING 鏈，到這里已經(jīng)做完了所有的路由決定，但數據包仍然在本地主機，我們還可以進(jìn)行某些修改。
10. 進(jìn)入 nat 表的 POSTROUTING 鏈，在這里一般都是用來(lái)做 SNAT ，不要在這里進(jìn)行過(guò)濾。
11. 進(jìn)入出去的網(wǎng)絡(luò )接口。完畢。
另一種情況是，數據包就是發(fā)給本地主機的，那么它會(huì )依次穿過(guò)： 7. 進(jìn)入 mangle 表的 INPUT 鏈，這里是在路由之后，交由本地主機之前，我們也可以進(jìn)行一些相應的修改。
8. 進(jìn)入 filter 表的 INPUT 鏈，在這里我們可以對流入的所有數據包進(jìn)行過(guò)濾，無(wú)論它來(lái)自哪個(gè)網(wǎng)絡(luò )接口。
9. 交給本地主機的應用程序進(jìn)行處理。
10. 處理完畢后進(jìn)行路由決定，看該往那里發(fā)出。
11. 進(jìn)入 raw 表的 OUTPUT 鏈，這里是在連接跟蹤處理本地的數據包之前。
12. 連接跟蹤對本地的數據包進(jìn)行處理。
13. 進(jìn)入 mangle 表的 OUTPUT 鏈，在這里我們可以修改數據包，但不要做過(guò)濾。
14. 進(jìn)入 nat 表的 OUTPUT 鏈，可以對防火墻自己發(fā)出的數據做 NAT 。
15. 再次進(jìn)行路由決定。
16. 進(jìn)入 filter 表的 OUTPUT 鏈，可以對本地出去的數據包進(jìn)行過(guò)濾。
17. 進(jìn)入 mangle 表的 POSTROUTING 鏈，同上一種情況的第9步。注意，這里不光對經(jīng)過(guò)防火墻的數據包進(jìn)行處理，還對防火墻自己產(chǎn)生的數據包進(jìn)行處理。
18. 進(jìn)入 nat 表的 POSTROUTING 鏈，同上一種情況的第10步。
19. 進(jìn)入出去的網(wǎng)絡(luò )接口。完畢。
用一張圖總結上面所有的步驟，如下（取自
參考資料1）：
iptables 的基本用法： iptables [-t table] -[AD] chain rule-specification [options]
iptables [-t table] -I chain [rulenum] rule-specification [options]
iptables [-t table] -R chain rulenum rule-specification [options]
iptables [-t table] -D chain rulenum [options]
iptables [-t table] -[LFZ] [chain] [options]
iptables [-t table] -N chain
iptables [-t table] -X [chain]
iptables [-t table] -P chain target [options]
iptables [-t table] -E old-chain-name new-chain-name
下面我們來(lái)詳細看一下各個(gè)選項的作用： -t, --table table
對指定的表 table 進(jìn)行操作， table 必須是 raw， nat，filter，mangle 中的一個(gè)。如果不指定此選項，默認的是 filter 表。
-L, --list [chain]
列出鏈 chain 上面的所有規則，如果沒(méi)有指定鏈，列出表上所有鏈的所有規則。例子： # iptables -L INPUT
-F, --flush [chain]
清空指定鏈 chain 上面的所有規則。如果沒(méi)有指定鏈，清空該表上所有鏈的所有規則。例子： # iptables -F
-A, --append chain rule-specification
在指定鏈 chain 的末尾插入指定的規則，也就是說(shuō)，這條規則會(huì )被放到最后，最后才會(huì )被執行。規則是由后面的匹配來(lái)指定。例子： # iptables -A INPUT -s 192.168.20.13 -d 192.168.1.1 -p TCP –dport 22 -j ACCEPT
-D, --delete chain rule-specification
-D, --delete chain rulenum
在指定的鏈 chain 中刪除一個(gè)或多個(gè)指定規則。如上所示，它有兩種格式的用法。例子： # iptables -D INPUT --dport 80 -j DROP
# iptables -D INPUT 1
-I, --insert chain [rulenum] rule-specification
在鏈 chain 中的指定位置插入一條或多條規則。如果指定的規則號是1，則在鏈的頭部插入。這也是默認的情況，如果沒(méi)有指定規則號。 例子： # iptables -I INPUT 1 --dport 80 -j ACCEPT
-R, --replace chain rulenum rule-specification
用新規則替換指定鏈 chain 上面的指定規則，規則號從1開(kāi)始。例子： # iptables -R INPUT 1 -s 192.168.1.41 -j DROP
-N, --new-chain chain
用指定的名字創(chuàng )建一個(gè)新的鏈。例子： # iptables -N mychain
-X, --delete-chain [chain]
刪除指定的鏈，這個(gè)鏈必須沒(méi)有被其它任何規則引用，而且這條上必須沒(méi)有任何規則。如果沒(méi)有指定鏈名，則會(huì )刪除該表中所有非內置的鏈。例子： # iptables -X mychain
-E, --rename-chain old-chain new-chain
用指定的新名字去重命名指定的鏈。這并不會(huì )對鏈內部照成任何影響。例子： # iptables -E mychain yourchain
-P, --policy chain target
為指定的鏈 chain 設置策略 target。注意，只有內置的鏈才允許有策略，用戶(hù)自定義的是不允許的。例子： # iptables -P INPUT DROP
-Z, --zero [chain]
把指定鏈，或者表中的所有鏈上的所有計數器清零。例子： # iptables -Z INPUT
上面列出的都是對鏈或者表的操作，下面我們再來(lái)看一下對規則進(jìn)行操作的基本選項： -p, --protocol [!] proto
指定使用的協(xié)議為 proto ，其中 proto 必須為 tcp udp icmp 或者 all ，或者表示某個(gè)協(xié)議的數字。 如果 proto 前面有“!”，表示對取反。例子： # iptables -A INPUT -p tcp [...]
-j, --jump target
指定目標，即滿(mǎn)足某條件時(shí)該執行什么樣的動(dòng)作。target 可以是內置的目標，比如 ACCEPT，也可以是用戶(hù)自定義的鏈。例子： # iptables -A INPUT -p tcp -j ACCEPT
-s, --source [!] address[/mask]
把指定的一個(gè)／一組地址作為源地址，按此規則進(jìn)行過(guò)濾。當后面沒(méi)有 mask 時(shí)，address 是一個(gè)地址，比如：192.168.1.1；當 mask 指定時(shí)，可以表示一組范圍內的地址，比如：192.168.1.0/255.255.255.0。一個(gè)完整的例子： # iptables -A INPUT -s 192.168.1.1/24 -p tcp -j DROP
-d, --destination [!] address[/mask]
地址格式同上，但這里是指定地址為目的地址，按此進(jìn)行過(guò)濾。例如： # iptables -A INPUT -d 192.168.1.254 -p tcp -j ACCEPT
-i, --in-interface [!] name
指定數據包的來(lái)自來(lái)自網(wǎng)絡(luò )接口，比如最常見(jiàn)的 eth0 。注意：它只對 INPUT，FORWARD，PREROUTING 這三個(gè)鏈起作用。如果沒(méi)有指定此選項， 說(shuō)明可以來(lái)自任何一個(gè)網(wǎng)絡(luò )接口。同前面類(lèi)似，"!" 表示取反。例子： # iptables -A INPUT -i eth0
-o, --out-interface [!] name
指定數據包出去的網(wǎng)絡(luò )接口。只對 OUTPUT，FORWARD，POSTROUTING 三個(gè)鏈起作用。例如： # iptables -A FORWARD -o eth0
--source-port,--sport port[:port]
在 tcp/udp/sctp 中，指定源端口。冒號分隔的兩個(gè) port 表示指定一段范圍內的所有端口，大的小的哪個(gè)在前都可以，比如： “1:100” 表示從1號端口到100號（包含邊界），而 “:100” 表示從 0 到 100，“100:”表示從100到65535。一個(gè)完整的例子如下： # iptables -A INPUT -p tcp --sport 22 -j REJECT
--destination-port,--dport port[,port]
指定目的端口，用法和上面類(lèi)似，但如果要指定一組端口，格式可能會(huì )因協(xié)議不同而不同，注意瀏覽 iptables 的手冊頁(yè)。例如： # iptables -A INPUT -p tcp --dport 22 -j ACCEPT
另外，一些協(xié)議還有自己專(zhuān)有的選項，想了解更多請查看 iptables 的手冊頁(yè)。
到這里，主要的選項已經(jīng)介紹個(gè)差不多了，另一個(gè)問(wèn)題隨之也產(chǎn)生了， 如何保存我們的 iptables 的規則呢？一個(gè)很容易想到的辦法是把這些 iptables 命令做成腳本，然后執行腳本即可。不錯，這的確 可以完成我們的任務(wù)，但這樣效率不高，因為每執行一條 iptables 命令都要重新訪(fǎng)問(wèn)內核，如果規則很多很多，這會(huì )浪費比較多的時(shí)間。 取而代之的方法是，使用 iptables-save 和 iptables-restore 這兩條命令，它們訪(fǎng)問(wèn)一次內核就可以保存或讀取所有規則。 這兩條命令很簡(jiǎn)單，我們下面就來(lái)看一下。
iptables-save 命令的格式很簡(jiǎn)單，如下： iptables-save [-c] [-t table]
iptables-save 會(huì )把規則以某種格式打印到標準輸出，通過(guò)重定向我們可以把它保存到某個(gè)文件。其中， -c 告訴它也要保存計數器， 如果我們想重啟 iptables 但又不想丟棄當前的計數，我們可以加此選項。 -t 告訴它只保存指定的表，如果沒(méi)有此選項則會(huì )保存所有的表。
iptables-save 的輸出格式其實(shí)也很簡(jiǎn)單，一個(gè)示例如下： # Generated by iptables-save v1.2.6a on Wed Apr 24 10:19:55 2002
*filter
:INPUT DROP [1:229]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Wed Apr 24 10:19:55 2002
# Generated by iptables-save v1.2.6a on Wed Apr 24 10:19:55 2002
*mangle
:PREROUTING ACCEPT [658:32445]
:INPUT ACCEPT [658:32445]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [891:68234]
:POSTROUTING ACCEPT [891:68234]
COMMIT
# Completed on Wed Apr 24 10:19:55 2002
# Generated by iptables-save v1.2.6a on Wed Apr 24 10:19:55 2002
*nat
:PREROUTING ACCEPT [1:229]
:POSTROUTING ACCEPT [3:450]
:OUTPUT ACCEPT [3:450]
-A POSTROUTING -o eth0 -j SNAT --to-source 195.233.192.1
COMMIT
# Completed on Wed Apr 24 10:19:55 2002
在上面，以#開(kāi)頭的都是注釋?zhuān)锩姘艘恍r(shí)間信息等。表名在 * 之后，比如： *nat。以冒號開(kāi)頭的行格式如下： :<鏈名> <策略> [<包計數器>:<字節計數器>] 其余的行，很明顯，表示傳遞給 iptables 的選項。
iptables-restore 命令同樣簡(jiǎn)單，它從標準輸入讀入上述格式的數據并恢復規則。 iptables-restore [-c] [-n]
其中 -c 表示恢復計數器；-n 表示不要覆蓋先前的規則，如不指定， iptables-restore 會(huì )先把前面的規則全部清掉。 所以這兩條命令常見(jiàn)的用法是： # iptables-save -c > /etc/iptables-save
# iptables-restore -c < /etc/iptables-save
iptables 高級功能
1. 字符串匹配
iptables還有一個(gè)很強大的功能就是可以通過(guò)字符串匹配進(jìn)行包過(guò)濾，這在某種程度上實(shí)現了應用層數據過(guò)濾的功能。 我們需要用到iptables的string模塊。
關(guān)于string模塊的具體用法，可以查看其幫助信息：
# iptables -m string --help
比如，我們要過(guò)濾所有TCP連接中的字符串“test”，一旦出現它我們就終止這個(gè)連接，我們可以這么做： # iptables -A INPUT -p tcp -m string --algo kmp --string "test" -j REJECT --reject-with tcp-reset
# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
REJECT tcp -- anywhere anywhere STRING match "test" ALGO name kmp TO 65535 reject-with tcp-reset
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
這時(shí)，如果我們再去用telnet連接，一旦發(fā)出包含有“test”字樣的數據，連接馬上就會(huì )中斷。 $ nc -l 5678
$ telnet localhost 5678
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
test
Connection closed by foreign host.
字符串匹配過(guò)濾一個(gè)比較有實(shí)用的用法是： # iptables -I INPUT -j DROP -p tcp -s 0.0.0.0/0 -m string --algo kmp --string "cmd.exe"
它可以用來(lái)阻止Windows蠕蟲(chóng)的攻擊。
2. 應用層過(guò)濾
傳統的 iptables 是不能直接對應用層進(jìn)行過(guò)濾的，要想使用 iptables 進(jìn)行應用層過(guò)濾，必須安裝 l7-filter 。 到l7-filter的
官方網(wǎng)站下載其最新的補丁包。 解壓后可以看到所有補丁，其中補丁 'iptables-1.3-for-kernel-pre2.6.20-layer7-2.19.patch' 是給 iptables 1.3.X 的，補丁 'kernel-2.6.18-2.6.19-layer7-2.9.patch' 是為 2.6.19.X 內核準備的。我們以這種環(huán)境為例看一下如何安裝 l7-filter。 $ cd linux-2.6.19
$ patch -p1 < ../kernel-2.6.18-2.6.19-layer7-2.9.patch
然后開(kāi)始編譯內核，注意，配置內核時(shí)記得要設置 'CONFIG_IP_NF_MATCH_LAYER7=m'，其它步驟照常。
編譯并安裝好內核之后，我們接著(zhù)安裝 iptables 的補丁，我們需要：
$ cd iptables-1.3.8
$ patch -p1 < ../iptables-1.3-for-kernel-pre2.6.20-layer7-2.19.patch
$ chmod +x extensions/.layer7-test
$ export KERNEL_DIR=/usr/src/linux-2.6.19
接著(zhù)我們就可以正常編譯 iptables 了。編譯并安裝完之后，我們就可以使用 l7-filter 了。使用前我們還需要到
http://l7-filter.sourceforge.net/protocols 下載對應的 protocol 文件，保存到 /etc/l7-protocols 目錄中。比如我要過(guò)濾 ssh ，我就可以只下載
ssh.pat （要安裝全部 protocol 文件可以在官方網(wǎng)站下載 l7-protocols-2008-04-23.tar.gz 安裝包）。
這一步完成后我們終于可以使用它進(jìn)行應用層的過(guò)濾了，比如，我想過(guò)濾掉 ssh 連接，我可以： # iptables -m layer7 -t mangle -I PREROUTING --l7proto ssh -j DROP l7-filter 還支持其它很多協(xié)議，包括 BitTorrent，Xunlei 等等。
3. 動(dòng)態(tài)過(guò)濾
傳統的防火墻只能進(jìn)行靜態(tài)過(guò)濾，而 iptables 除了這個(gè)基本的功能之外還可以進(jìn)行動(dòng)態(tài)過(guò)濾，即可以對連接狀態(tài)進(jìn)行跟蹤，通常稱(chēng)為 conntrack 。 但這不意味著(zhù)它只能對 TCP 這樣的面向連接的協(xié)議有效，它還可以對 UDP， ICMP 這種無(wú)連接的協(xié)議進(jìn)行跟蹤，我們下面馬上就會(huì )看到。
iptables 中的連接跟蹤是通過(guò) state 模塊來(lái)實(shí)現的，是在PREROUTING 鏈中完成的，除了本地主機產(chǎn)生的數據包，它們是在 OUTPUT 鏈中完成。 它把“連接”劃分為四種狀態(tài)：NEW， ESTABLISHED， RELATED 和 INVALID。連接跟蹤當前的所有連接狀態(tài)可以通過(guò) /proc/net/nf_conntrack 來(lái)查看（注意，在一些稍微舊的 Linux 系統上是 /proc/net/ip_conntrack）。
當 conntrack 第一次看到相關(guān)的數據包時(shí)，就會(huì )把狀態(tài)標記為 NEW ，比如 TCP 協(xié)議中收到第一個(gè) SYN 數據包。當連接的雙方都有數據包收發(fā)并且還將繼續匹配到這些數據包時(shí)，連接狀態(tài)就會(huì )變?yōu)?ESTABLISHED 。而 RELATED 狀態(tài)是指一個(gè)新的連接，但這個(gè)連接和某個(gè)已知的連接有關(guān)系，比如 FTP 協(xié)議中的數據傳輸連接。INVALID 狀態(tài)是說(shuō)數據包和已知的任何連接都不匹配。
對于 TCP 協(xié)議，這很容易理解，因為它本身就是面向連接的，唯一需要額外指出的是這里的 ESTABLISHED 狀態(tài)并不完全等于 TCP 中的 ESTABLISHED 。 使用示例： # iptables -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED -j ACCEPT
而對于 UDP 協(xié)議可能稍微有些困難，但如果對照上面的解釋?xiě)摽梢岳斫?。對?conntrack 來(lái)說(shuō)，它其實(shí)和 TCP 沒(méi)太大區別。例子： # iptables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED -j ACCEPT
最難理解的應該是 ICMP ，它比 UDP 離“面向連接”更遠。:-) 我們需要記住的是，當遇到 ICMP Request 時(shí)為 NEW，遇到對應的 ICMP Reply 時(shí)會(huì )變?yōu)?ESTABLISHED 。其中 request 及其對應的 reply 可以是：1) Echo request/reply ；2) Timestamp request/reply ； 3) Information request/reply ；4) Address mask request/reply 。 其它類(lèi)型的 ICMP 包都是非 request/reply ，會(huì )被標記為 RELATED 。例子： # iptables -A OUTPUT -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptable 使用實(shí)例：
默認策略： iptables -P INPUT ACCEPT
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
接受所有ssh連接： iptables -A INPUT -p tcp -m tcp -s 0/0 --dport 22 -j ACCEPT
管理FTP連接： iptables -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp -s 127.0.0.1/8 -d 0/0 --destination-port 20 --syn -j ACCEPT
iptables -A INPUT -p tcp -s 127.0.0.1/8 -d 0/0 --destination-port 21 --syn -j ACCEPT
監視SNMP: iptables -A INPUT -p udp -m udp --dport 161 -j ACCEPT
iptables -A INPUT -p udp -m udp --sport 1023:2999 -j ACCEPT
管理POP電子郵件： iptables -A INPUT -p tcp -m tcp --dport 110 -j ACCEPT --syn
HTTPS服務(wù)： iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT --syn
SMTP連接： iptables -A INPUT -p tcp -m tcp --dport 25 -j ACCEPT --syn
管理HTTP： iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT --syn
管理MySQL數據庫： iptables -A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT --syn
iptables -A INPUT -p udp -m udp --dport 3306 -j ACCEPT
IMAP郵件服務(wù)： iptables -A INPUT -p tcp -m tcp --dport 143 -j ACCEPT --syn
管理DNS服務(wù)： iptables -A INPUT -p tcp -m tcp --dport 53 -j ACCEPT --syn
iptables -A INPUT -p udp -m udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp -m udp -s 0/0 -d 0/0 --sport 53 -j ACCEPT
管理本地主機連接： iptables -A INPUT -i lo -j ACCEPT -m tcp
丟棄所有其它的新請求： iptables -A INPUT -p tcp -m tcp -j REJECT --syn
iptables -A INPUT -p udp -m udp -j REJECT
防止SYN洪水攻擊： iptables -A INPUT -p tcp --syn -m limit --limit 5/second -j ACCEPT
屏蔽惡意主機（比如，192.168.0.8）： iptables -A INPUT -p tcp -m tcp -s 192.168.0.8 -j DROP
檢查防火墻日志： iptables -A INPUT -j LOG --log-level alert
iptables -A INPUT -j LOG --log-prefix "Dropped: "
做 NAT： iptables -A POSTROUTING -t nat -o eth0 -s 192.168.1.0/24 -d 0/0 -j MASQUERADE
iptables -A FORWARD -t filter -o eth0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -t filter -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
清空所有規則： iptables -F && iptables -t nat -F && iptables -t mangle -F && iptables -X
發(fā)表于： 2009-04-29，修改于： 2009-04-29 19:10 已瀏覽222次，有評論0條
推薦投訴
