iptables命令詳解

一、iptables簡介

iptables是一個Linux內核中的重要命令，用於控制網路數據包的轉發。使用iptables可以對網路數據包進行控制和管理，包括策略控制、埠控制、NAT設置、防火牆配置等。

下面我們將從iptables的基本結構、iptables規則鏈、iptables命令參數、iptables的應用等方面對iptables做詳細闡述。

二、iptables基本結構

iptables命令的基本結構為：

iptables [-t table] command chain rule-specification [match-extension] [target-extension]

其中，參數的含義分別為：

• -t table：指定需要處理的表，常用的表有filter、nat和mangle三種，預設為filter表；
• command：命令，常用的命令有-A、-D、-I、-R、-L、-F和-Z，分別表示添加規則、刪除規則、插入規則、替換規則、列出規則、清除規則和重置計數器；
• chain：規則鏈，包括INPUT、OUTPUT、FORWARD等，默認為INPUT；
• rule-specification：規則的具體內容，包括源地址、目標地址、協議、埠等信息；
• match-extension：用於匹配數據包的擴展模塊，常見的擴展模塊有TCP、UDP、ICMP、state等，預設為state擴展模塊；
• target-extension：用於指定數據包的目標處理方式，常用的目標處理方式有ACCEPT、DROP、REJECT等。

三、iptables規則鏈

iptables命令中的規則鏈表示優先順序，它們按照處理順序被排列。

常用的iptables規則鏈包括：

• INPUT：用於處理進入本機的數據包；
• OUTPUT：用於處理從本機出發的數據包；
• FORWARD：用於處理轉發的數據包；
• PREROUTING：用於進行網路地址轉換（NAT）之前的處理；
• POSTROUTING：用於進行NAT之後的處理。

四、iptables命令參數

1. 基本參數

• -A：添加一條新規則到指定鏈的末尾；
• -D：刪除指定鏈中的某條規則；
• -I：插入一條規則到指定鏈的開始；
• -R：替換指定鏈中的某條規則；
• -L：列出指定鏈中的規則；
• -F：清除指定鏈中的所有規則；
• -Z：重置指定鏈中的計數器。

2. 擴展模塊參數

iptables命令可以通過使用擴展模塊來進行更加精細的網路數據包匹配和處理。

常見的擴展模塊包括：

• tcp：用於匹配TCP協議的相關參數；
• udp：用於匹配UDP協議的相關參數；
• icmp：用於匹配ICMP協議的相關參數；
• state：用於匹配連接狀態。

3. 目標處理方式參數

iptables命令可以通過使用不同的目標處理方式來對網路數據包進行不同的處理。

常見的目標處理方式包括：

• ACCEPT：接受數據包；
• DROP：廢除數據包，而不給出任何響應；
• REJECT：廢除數據包，並返回錯誤響應；
• SNAT：用於源地址轉換；
• DNAT：用於目標地址轉換。

五、iptables應用實例

1. 設置防火牆

iptables命令可以用於防火牆設置，可以通過控制源地址、目標地址、協議、埠等信息來限制網路數據包的進出。

例如，下面的命令將限制所有到本地22埠的SSH連接並只允許來自192.168.1.0/24的主機訪問：

iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

2. 定義NAT規則

iptables命令可以用於定義NAT規則，包括源地址轉換和目標地址轉換。

例如，下面的命令將把所有發往外部伺服器的網路數據包的源地址設置為192.168.1.1，以隱藏源網路的真實地址：

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.1

3. 限制DDoS攻擊

iptables命令可以用於限制DDoS攻擊，可以通過限制同一IP地址的請求次數來防止DDoS攻擊。

例如，下面的命令將限制同一IP地址在10秒內只能發送3個SSH連接請求：

iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --update --seconds 10 --hitcount 3 -j DROP