Linux下iptables配置申明.doc

Linux 下 iptables 配置申明

iptables

用 iptables -ADC 来指定链的规则，-A 添加 -D 删除 -C 修改

iptables - [RI] chain rule num rule-specification[option]

用 -NX 指定链

iptables -P chain target[options]

指定链的默认目标

iptables -E old-chain-name new-chain-name

-E 旧的链名 新的链名

用新的链名取代旧的链名

说明

Iptalbes 是用来设置、维护和检查 Linux 内核的 IP 包过滤规则的。

可以定义不同的表，每个表都包含几个内部的链，也能包含用户定义的链。每个链都

是一个规则列表，对对应的包进行匹配：每条规则指定应当如何处理与之相匹配的包。这被

ACCEPT

表示让这个包通过。DROP 表示将这个包丢弃。QUEUE 表示把这个包传递到用户空

间。RETURN 表示停止这条链的匹配，到前一个链的规则重新开始。如果到达了一个内建

的链(的末端)，或者遇到内建链的规则是 RETURN，包的命运将由链准则指定的目标决定。

TABLES

当前有三个表（哪个表是当前表取决于内核配置选项和当前模块)。

-t table

这个选项指定命令要操作的匹配包的表。如果内核被配置为自动加载模块，这时若模

块没有加载，(系统)将尝试(为该表)加载适合的模块。这些表如下：filter,这是默认的表，包

含了内建的链 INPUT（处理进入的包）、FORWORD（处理通过的包）和 OUTPUT（处理本

地生成的包）。nat,这个表被查询时表示遇到了产生新的连接的包,由三个内建的链构成：

这些可被 iptables 识别的选项可以区分不同的种类。

COMMANDS

这些选项指定执行明确的动作：若指令行下没有其他规定,该行只能指定一个选项.对

于长格式的命令和选项名,所用字母长度只要保证 iptables 能从其他选项中区分出该指令就

行了。

在所选择的链末添加一条或更多规则。当源（地址）或者/与 目的（地址）转换为多

个地址时，这条规则会加到所有可能的地址(组合)后面。

-D -delete

从所选链中删除一条或更多规则。这条命令可以有两种方法：可以把被删除规则指定

为链中的序号(第一条序号为 1),或者指定为要匹配的规则。

-R -replace

从选中的链中取代一条规则。如果源（地址）或者/与 目的（地址）被转换为多地址，

用，这时链会被自动列出和归零。精确输出受其它所给参数影响。

-F -flush

清空所选链。这等于把所有规则一个个的删除。

--Z -zero

把所有链的包及字节的计数器清空。它可以和 -L 配合使用，在清空前察看计数器，

请参见前文。

-N -new-chain

根据给出的名称建立一个新的用户定义链。这必须保证没有同名的链存在。

-X -delete-chain

删除指定的用户自定义链。这个链必须没有被引用，如果被引用，在删除之前你必须

删除或者替换与之有关的规则。如果没有给出参数，这条命令将试着删除每个非内建的链。

-P -policy

设置链的目标规则。

-E -rename-chain

参数

以下参数构成规则详述，如用于 add、delete、replace、append 和 check 命令。

-p -protocal [!]protocol

规则或者包检查(待检查包)的协议。指定协议可以是 tcp、udp、icmp 中的一个或者全

部，也可以是数值，代表这些协议中的某一个。当然也可以使用在/etc/protocols 中定义的协

议名。在协议名前加上"!"表示相反的规则。数字 0 相当于所有 all。Protocol

all 会匹配所有协议，而且这是缺省时的选项。在和 check 命令结合时，all 可以不被

使用。

255.255.255.0。在指定地址前加上"!"说明指定了相反的地址段。标志

-d --destination [!] address[/mask]

写。

-j --jump target

-j 目标跳转

指定规则的目标；也就是说，如果包匹配应当做什么。目标可以是用户自定义链（不

是这条规则所在的），某个会立即决定包的命运的专用内建目标，或者一个扩展（参见下面

的 EXTENSIONS）。如果规则的这个选项被忽略，那么匹配的过程不会对包产生影响，不过

这是包经由该接口接收的可选的入口名称，包通过该接口接收（在链 INPUT、FORWORD

和 PREROUTING 中进入的包）。当在接口名前使用"!"说明后，指的是相反的名称。如果接

-o --out-interface [!][name]

这是包经由该接口送出的可选的出口名称，包通过该口输出（在链 FORWARD、OUTPUT

接口名后面加上"+"，则所有以此接口名开头的接口都会被匹配。如果这个选项被忽略，会

假设为"+"，那么将匹配所有任意接口。

这意味着在分片的包中，规则只询问第二及以后的片。自那以后由于无法判断这种把

包的源端口或目标端口（或者是 ICMP 类型的），这类包将不能匹配任何指定对他们进行匹

配的规则。如果"!"说明用在了"-f"标志之前，表示相反的意思。

OTHER OPTIONS

其他选项

还可以指定下列附加选项：

-v --verbose

-v --详细

详细输出。这个选项让 list 命令显示接口地址、规则选项（如果有）和 TOS（Type of

Service）掩码。包和字节计数器也将被显示，分别用 K、M、G(前缀)表示 1000、

1,000,000 和 1,000,000,000 倍（不过请参看-x 标志改变它），对于添加,插入,删除和替换命令，

这会使一个或多个规则的相关详细信息被打印。

数字输出。IP 地址和端口会以数字的形式打印。默认情况下，程序试显示主机名、

扩展数字。显示包和字节计数器的精确值，代替用 K,M,G 表示的约数。这个选项仅

iptables 能够使用一些与模块匹配的扩展包。以下就是含于基本包内的扩展包，而且

他们大多数都可以通过在前面加上!来表示相反的意思。

tcp

--source-port [!] [port[ort]]

目标端口或端口范围指定。这个选项可以使用 --dport 别名来代替。

--tcp-flags [!] mask comp

匹配指定的 TCP 标记。第一个参数是我们要检查的标记，一个用逗号分开的列表，

第二个参数是用逗号分开的标记表,是必须被设置的。标记如下：SYN ACK

FIN RST URG PSH ALL NONE。因此这条命令：iptables -A FORWARD -p tcp --tcp-flags

SYN, ACK, FIN, RST SYN 只匹配那些 SYN 标记被设置而 ACK、FIN 和 RST 标记没

有设置的包。

[!] --syn

只匹配那些设置了 SYN 位而清除了 ACK 和 FIN 位的 TCP 包。这些包用于 TCP 连接

初始化时发出请求；例如，大量的这种包进入一个接口发生堵塞时会阻止进入的 TCP 连接，

--tcp-flags SYN, RST, ACK SYN。如果"--syn"前面有"!"标记，表示相反的意思。

udp

当 protocol udp 被指定,且其他匹配的扩展未被指定时,这些扩展被装载,它提供以下选

项：

--source-port [!] [port:[port]]

源端口或端口范围指定。详见 TCP 扩展的--source-port 选项说明。