1、概念

iptables有2个表：filter和nat。前者用于过滤，后者是nat用的。

iptables还有4个链：INPUT、FORWARD、PREROUTING、POSTROUTING。

前两者对应于filter表，INPUT匹配目的IP是本机的数据包，FILTER匹配穿过本机的数据包。

PREROUTING位于NAT表，用于修改目的地址（DNAT）;POSTROUTING用于修改源地址（SNAT）。

2、基本命令

命令的格式是：

iptables  -t  [表名]  [操作命令]  [操作的链名]  [规则号码（可选）]  [匹配条件（可选）]  -j  [匹配后的动作]

（1）操作命令

操作命令有：-A -I -D -R -P -F。

-A：追加到最后一条规则，如：iptables -t filter -A INPUT -j DROP。匹配所有本机数据包，丢弃。

-I：插入一条规则，如：iptables -t filter -A INPUT 3 -j DROP。在filter表中插入为第3条记录，作用同上。

-D：删除一条规则，如：iptables -D INPUT 3。在filter表中删除第3条规则。

-R：替换规则，用的不多，不学习了。

-P：设置某个链的默认动作，如：iptables -P INPUT DROP。如果没有匹配规则，则按此处理，丢弃所有包。

-F：清空规则，但仍保留默认规则！设置过-P后，一定小心使用-F！

-L：查询。

（2）匹配条件

-i <网络接口（入）>，如：-i eth0，匹配从eth0进来的所有数据。

-o <网络接口（出）>，如：-o eth0，匹配从eth0出去的所有数据。

-s <来源地址（主要为IP）>，如：-s 192.168.0.1，匹配来自192.168.0.1的数据包。

-d <目的地址（主要为IP）>，如：-d 192.168.0.2，匹配发往192.168.0.2的数据包。

-p <协议(tcp/udp/icmp)>，如：-p tcp;-p udp;-p icmp 8。最后一个8表示icmp类型即ping。

--sport <源端口>，如：--sport  1000，匹配源端口是1000的。

--dport <目的端口>，如：--dport  1000:3000，匹配目的端口是1000到3000的。

上述匹配条件可以组合使用，但是port必须配合p使用！

(3)处理动作

-j ACCEPT，允许数据包通过本链路（不再继续匹配）。

-j DROP，阻止通过本链（不再继续匹配）。

-j SNAT --to IP(IP池)，源地址NAT转换，对应POSTROUTING链。如将内网192.168.0.0地址修改成1.1.1.1(地址池)：iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT 1.1.1.1(1.1.1.1-1.1.1.10地址池)

-j DNAT --to IP(IP池)，目的地址NAT转换，对应PREROUTING链。类似SNAT，不再举例。

(4)附加模块

-m state，匹配状态，NEW（区别于TCP）、ESTABLISTHED（已连接）、RELEASED、INVALID（无法识别）。

-m mac --macsource MACADDRESS，匹配MAC地址。iptables -A FORWARD -m --mac-source xx:xx:xx:xx:xx:xx -j DROP。

-m limmit，用一定速率匹配，-m limit --limit 50/s，只是匹配，非限制。

-m multiport，匹配多个端口

3、简单的服务器防护

#!/bin/bash
#clean
/sbin/iptables -F
#allow lo
/sbin/iptables -A INPUT -i lo -j ACCEPT
#allow already connected
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#allow all output
/sbin/iptables -A OUTPUT -j ACCEPT
#white list ip
/sbin/iptables -A INPUT -s xx.xx.xx.xx -j ACCEPT
#ping/http/https/ssh
/sbin/iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 443 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#default drop
/sbin/iptables -A INPUT -j REJECT
/sbin/iptables -A FORWARD -j REJECT

继续参考：http://www.vpser.net/security/linux-iptables.html

屏蔽IP

#如果只是想屏蔽IP的话“3、开放指定的端口”可以直接跳过。
#屏蔽单个IP的命令是
/sbin/iptables -I INPUT -s 123.45.6.7 -j DROP

#封整个段即从123.0.0.1到123.255.255.254的命令
/sbin/iptables -I INPUT -s 123.0.0.0/8 -j DROP

#封IP段即从123.45.0.1到123.45.255.254的命令
/sbin/iptables -I INPUT -s 124.45.0.0/16 -j DROP

#封IP段即从123.45.6.1到123.45.6.254的命令是
/sbin/iptables -I INPUT -s 123.45.6.0/24 -j DROP

查看、删除已经添加的规则

#查看
/sbin/iptables -L -n

#删除
#格式 iptables -L -n --line-numbers
/sbin/iptables -D INPUT 8