linux中级_iptables

TJCcc 发布于 2026-01-30 33 次阅读

先放出笔记

一、iptables 基础概念

1.1 iptables 简介

iptables 是 Linux 系统自带的防火墙工具，用于管理网络数据包的过滤、网络地址转换（NAT）和端口转发等功能。

1.2 四表五链结构

# 四张表（Tables）：
1. filter表：默认表，用于数据包过滤（INPUT、FORWARD、OUTPUT）
2. nat表：网络地址转换（PREROUTING、POSTROUTING、OUTPUT）
3. mangle表：修改数据包（TOS、TTL、MARK等）
4. raw表：连接跟踪处理（PREROUTING、OUTPUT）

# 五条链（Chains）：
1. INPUT：进入本机的数据包
2. OUTPUT：从本机发出的数据包
3. FORWARD：经过本机转发的数据包
4. PREROUTING：数据包进入路由之前
5. POSTROUTING：数据包离开路由之后

1.3 数据包流向

网络数据包 → PREROUTING → 路由决策 → FORWARD → POSTROUTING → 网络
                            ↓
                         INPUT → 本地进程 → OUTPUT → POSTROUTING → 网络

二、iptables 安装与配置

2.1 安装与启动

# 1. 停止并禁用 firewalld（CentOS 7+）
systemctl stop firewalld
systemctl disable firewalld

# 2. 安装 iptables-services
yum install -y iptables-services

# 3. 加载必要内核模块
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state

# 4. 设置模块开机自动加载
cat >> /etc/rc.local << EOF
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state
EOF
chmod +x /etc/rc.local

# 5. 启动 iptables
systemctl start iptables
systemctl enable iptables

2.2 查看当前规则

# 查看所有规则（默认查看filter表）
iptables -L -n -v

# 查看指定表规则
iptables -t filter -L -n -v      # filter表（默认）
iptables -t nat -L -n -v         # nat表
iptables -t mangle -L -n -v      # mangle表
iptables -t raw -L -n -v         # raw表

# 查看规则并显示行号（便于管理）
iptables -L -n --line-numbers

# 查看规则统计信息
iptables -L -n -v -x

# 查看连接跟踪状态
cat /proc/net/ip_conntrack
conntrack -L

三、⚙️ iptables 命令语法详解

3.1 基本命令结构

iptables [-t 表名] 命令选项 [链名] [规则匹配条件] [-j 目标动作]

# 常用命令选项：
-A, --append     在链末尾添加规则
-I, --insert     在指定位置插入规则（默认插入到第一行）
-D, --delete     删除指定规则
-R, --replace    替换指定规则
-L, --list       列出规则
-F, --flush      清空规则
-Z, --zero       计数器清零
-N, --new-chain  创建自定义链
-X, --delete-chain 删除自定义链
-P, --policy     设置链的默认策略