【文章內容簡介】 是允許數(shù)據包通過，還是不允許數(shù)據包通過，過濾的角度通?？梢允窃吹刂贰⒛康牡刂贰⒍丝谔柣驙顟B(tài)等信息。如果使用協(xié)議進行匹配的話，就是告訴 iptables從所使用的協(xié)議來進行判斷是否丟棄這些數(shù)據包。在 TCP/IP的網絡環(huán)境里，大多數(shù)的數(shù)據包所使用的協(xié)議不是 TCP類型的就是 UDP類型的，還有一種是 ICMP類型的數(shù)據包，例如ping命令所使用的就是 ICMP協(xié)議。下面先來介紹一些較為常用的匹配選項。更多介紹請參考相關文獻。 任務 92 認識 iptables的基本語法 網絡服務器搭建、配置與管理 —— Linux版 任務 92 認識 iptables的基本語法 網絡服務器搭建、配置與管理 —— Linux版 任務 92 認識 iptables的基本語法 （ 3） dport或 destination port。 作用：基于 TCP包的目的端口來匹配包，也就是說通過檢測數(shù)據包的目的端口是不是指定的來判斷數(shù)據包的去留。端口的指定形式和 sport完全一樣。例如： iptables I INPUT dport 80 j ACCEPT （ 4） s或 src或 source。 作用：以 IP源地址匹配包。例如： iptables A INPUT s j DROP 注意：在地址前加英文感嘆號表示取反，注意空格，如： s !。 網絡服務器搭建、配置與管理 —— Linux版 任務 92 認識 iptables的基本語法 iptables A OUTPUT o eth1 j ACCEPT 網絡服務器搭建、配置與管理 —— Linux版 4．動作 /目標選項 動作 /目標決定符合條件的數(shù)據包將如何處理，其中最為基本的有 ACCEPT和 DROP。 介紹常用的動作 /目標如表 任務 92 認識 iptables的基本語法 網絡服務器搭建、配置與管理 —— Linux版 任務 93 設置默認策略 在 iptables中，所有的內置鏈都會有一個默認策略。當通過 iptables的數(shù)據包不符合鏈中的任何一條規(guī)則時，則按照默認策略來處理數(shù)據包。 定義默認策略的命令格式如下。 iptables [t 表名 ] P 鏈名 動作 【 例 91】 將 filter表中 INPUT鏈的默認策略定義為 DROP（丟棄數(shù)據包）。 [rootserver ～ ] iptables P INPUT DROP 【 例 92】 將 nat表中 OUTPUT鏈的默認策略定義為 ACCEPT（接受數(shù)據包）。 [rootserver ～ ] iptables t nat P OUTPUT ACCEPT 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 網絡服務器搭建、配置與管理 —— Linux版 【 例 94】 查看 filter表中 FORWARD鏈的規(guī)則。 任務 94 配置 iptables規(guī)則 網絡服務器搭建、配置與管理 —— Linux版 2．添加、刪除、修改規(guī)則 【 例 95】 為 filter表的 INPUT鏈添加一條規(guī)則，規(guī)則為拒絕所有使用ICMP協(xié)議的數(shù)據包。 任務 94 配置 iptables規(guī)則 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 【 例 96】 為 filter表的 INPUT鏈添加一條規(guī)則，規(guī)則為允許訪問 TCP協(xié)議的 80端口的數(shù)據包通過。 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 【 例 97】 在 filter表中 INPUT鏈的第 2條規(guī)則前插入一條新規(guī)則，規(guī)則為不允許訪問 TCP協(xié)議的 53端口的數(shù)據包通過。 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 【 例 98】 在 filter表中 INPUT鏈的第一條規(guī)則前插入一條新規(guī)則，規(guī)則為允許源IP地址屬于 。 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 【 例 99】 刪除 filter表中 INPUT鏈的第 2條規(guī)則。 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 當某條規(guī)則過長時，可以使用數(shù)字代碼來簡化操作，如下所示。 使用 1inen參數(shù)來查看規(guī)則代碼。 [rootserver ～ ] iptables L INPUT line n Chain INPUT（ policy ACCEPT） num target prot opt source destination 1ACCEPT all 2 DROP icmp anvwhere anvwhere 3 DROP tcp anvwhere anvwhere tcp dpt:domain 4 ACCEPT tcp anvwhere anvwhere tcp dpt: 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 直接使用規(guī)則代碼進行刪除 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 【 例 910】 清除 filter表中 INPUT鏈的所有規(guī)則。 [rootserver ～ ] iptables F INPUT 查看規(guī)則列表 [root server ～ ] iptables L INPUT Chain INPUT（ policy ACCEPT） target prot opt source destination 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 3．保存規(guī)則與恢復 iptables提供了兩個很有用的工具來保存和恢復規(guī)則，這在規(guī)則集較為龐大的時候非常實用。它們分別是 iptablessave和 iptablesrestore。 iptablessave用來保存規(guī)則，它的用法比較簡單，命令格式如下。 iptablessave [c] [t 表名 ] c：保存包和字節(jié)計數(shù)器的值。這可以使在重啟防火墻后不丟失對包和字節(jié)的統(tǒng)計。 t：用來選擇保存哪張表的規(guī)則，如果不跟 t參數(shù)則保存所有的表。 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 當使用 iptablessave命令后可以在屏幕上看到輸出結果，其中 *表示的是表的名字，它下面跟的是該表中的規(guī)則集。 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 網絡服務器搭建、配置與管理 —— Linux版 任務 94 配置 iptables規(guī)則 可以使用重定向命令來保存這些規(guī)則集，如下所