【文章內(nèi)容簡介】 項指定數(shù)據(jù)包與規(guī)則匹配所應(yīng)具有的特征，包括源地址、目的地址、傳輸協(xié)議和端口號等。表32 IPTables的主要匹配選項5. 操作選項操作選項用于指定對匹配過濾規(guī)則的數(shù)據(jù)包所進行的處理。其形式為“j target/jump”，其中“target”是對包的處理動作，“jump”代表一個用戶自定義的鏈名，用于跳轉(zhuǎn)到該鏈進行規(guī)則檢查。33 IPTables的主要目標(biāo)動作選項 IPTables命令的使用1. 對鏈的操作（1）查看鏈命令用法：IPTables L [鏈]命令功能：列出指定表的全部鏈及其規(guī)則例:列出filter表的全部規(guī)則鏈。[root@local ~] IPTables L 若要列出nat表的全部規(guī)則鏈，則操作命令為：[root@local ~] IPTables t nat L（2）創(chuàng)建新鏈命令用法：IPTables N 鏈名命令功能：以指定的名稱創(chuàng)建一個新鏈例:創(chuàng)建一個名為mychain的新鏈。[root@local ~] IPTables N　mychain（3）刪除鏈命令用法：IPTables X 鏈名命令功能：刪除指定的用戶自定義鏈例:刪除新建的mychain鏈。[root@local ~] IPTables X　mychain2. 對規(guī)則的操作（1）添加規(guī)則 命令用法：IPTables　[t 表名] A 鏈名　匹配選項　j　動作 命令功能：向指定鏈的添加一條規(guī)則，該規(guī)則將會增加到規(guī)則列表的最后一行。 例:向filter表的INPUT鏈添加一條規(guī)則。 [root@local ~] IPTables t filter A INPUT s j DROP[root@local ~] IPTables t filter L INPUT（2）插入規(guī)則命令用法：IPTables　[t 表名] I 鏈名　規(guī)則號　匹配選項　j　動作 命令功能：在指定的規(guī)則號的前面插入一條規(guī)則，原規(guī)則將自動后移。若未指定規(guī)則號，則默認為1，即插入在所有規(guī)則的前面。 例:在第3條規(guī)則前插入一條規(guī)則。[root@local ~] IPTables I INPUT 3 s –j DROP[root@local ~] IPTables L INPUT例:在第4條規(guī)則前插入一條規(guī)則，拒絕所有主機PING本機。[root@local ~] IPTables –I INPUT 4 –s 0/0?。璸 icmp icmptype echorequest –j DROP[root@local ~] IPTables L INPUTChain INPUT (policy ACCEPT)target prot opt source destinationRHFirewall1INPUT all anywhere anywhereDROP all anywhereDROP tcp :DROP icmp anywhere anywhere icmp echorequestACCEPT all anywhere 在該命令中，“s 0/0”用于指定源地址為所有主機，“icmptype”用于指定icmp包的類型，“echorequest”代表ping包。（3）替換規(guī)則 命令用法：IPTables　[t 表名] R 鏈名　規(guī)則號　匹配選項　j　動作 命令功能：將指定編號的規(guī)則替換為新的規(guī)則。 例:。[root@local ~] IPTables I INPUT 3 s 80 –j ACCEPT[root@local ~] IPTables L INPUT（4）刪除規(guī)則 命令用法：IPTables　[t 表名] D 鏈名　匹配選項　j　動作　 或：IPTables　[t 表名] D 鏈名　規(guī)則號 命令功能：刪除指定的規(guī)則或指定編號的規(guī)則 例：刪除上例中被替換的第3條規(guī)則。[root@local ~] IPTables D INPUT s 　ACCEPT或：[root@local ~] IPTables D INPUT 3（5）設(shè)置鏈的默認策略 命令用法：IPTables [t 表名] P 鏈名 目標(biāo)動作 命令功能：定義指定鏈的默認策略，即設(shè)置所有過濾規(guī)則都不滿足的數(shù)據(jù)包的默認處理方式。 例：將INPUT、FORWARD和OUTPUT鏈的默認策略設(shè)置為ACCEPT。[root@local ~] IPTables P INPUT ACCEPT[root@local ~] IPTables P FORWARD ACCEPT[root@local ~] IPTables P OUTPUT ACCEPT（6）清除規(guī)則鏈中的所有規(guī)則 在新建規(guī)則時往往需要清除原有的規(guī)則，以免它們影響新設(shè)定的規(guī)則。如果規(guī)則比較多，一條條刪除就會十分麻煩這時可以使用IPTables提供的清除規(guī)則選項達到快速刪除所有規(guī)則的目的。 命令用法：IPTables [t 表名] F 鏈名 命令功能：刪除指定鏈中的全部規(guī)則，若未指定鏈，則刪除表中所有鏈中的規(guī)則。 例：清除filter表中INPUT鏈中的全部規(guī)則。[root@local ~] IPTables F INPUT（7）歸零包計數(shù)器 命令用法：IPTables [t 表名] Z 命令功能：將指定表中的包計數(shù)器和流量計數(shù)器清零，如不指定表，則默認為filter表。 例：將filter表中的所有包計數(shù)器清零。[root@local ~] IPTables Z 若要將nat表中的所有包計數(shù)器清零，則實現(xiàn)命令為：[root@local ~] IPTables t nat Z3. 保存與恢復(fù)過濾規(guī)則用上述方法所建立的規(guī)則會被保存到內(nèi)核中，在重啟系統(tǒng)時，會丟失這些規(guī)則。所以如果用戶將沒有錯誤且有效的規(guī)則集添加到數(shù)據(jù)包過濾表，則時希望在重啟系統(tǒng)之后再次使用這些規(guī)則，必須將該規(guī)則集保存在文件中。其命令為： [root@local ~] IPTablessave /etc/sysconfig/IPTables將數(shù)據(jù)包過濾表中的所有規(guī)則保存到/etc/sysconfig/IPTables腳本文件中以后，無論何時重啟系統(tǒng)，都可以使用IPTablesrestore命令將規(guī)則集從該腳本文件恢復(fù)到數(shù)據(jù)包過濾表。其命令為：[root@lal ~] IPTablesrestore /etc/sysconfig/IPTables如果用戶希望在每次啟動系統(tǒng)時自動恢復(fù)該規(guī)則集，可以將上面指定的這條命令放到任何一個初始化shell腳本中，或如下的命令來保存規(guī)則：[root@local ~] service IPTables s