iptables规则的查看、添加、插入、删除和修改

Feb 22, 2024 // 大蚊子
linux
linux


iptables 默认维护着 4 个表和 5 个链，所有的防火墙策略规则都被分别写入这些表与链中。

“四表”是指 iptables 的功能，默认的 iptable s规则表有 filter 表（过滤规则表）、nat 表（地

址转换规则表）、mangle（修改数据标记位规则表）、raw（跟踪数据表规则表）：

1.filter 表：控制数据包是否允许进出及转发，可以控制的链路有 INPUT、FORWARD 和

OUTPUT。

2.nat 表：控制数据包中地址转换，可以控制的链路有 PREROUTING、INPUT、OUTPUT

和 POSTROUTING。

3.mangle：修改数据包中的原数据，可以控制的链路有 PREROUTING、INPUT、

OUTPUT、FORWARD 和 POSTROUTING。

4.raw：控制 nat 表中连接追踪机制的启用状况，可以控制的链路有 PREROUTING、

OUTPUT。

“五链”是指内核中控制网络的 NetFilter 定义的 5 个规则链。每个规则表中包含多个数据链：

INPUT（入站数据过滤）、OUTPUT（出站数据过滤）、FORWARD（转发数据过滤）、

PREROUTING（路由前过滤）和POSTROUTING（路由后过滤），防火墙规则需要写入到

这些具体的数据链中。

    特别说明：这里需要注意，如果上面用的iptables -A的方式追加规则，新规则虽然是放
通端口，但规则却在-A INPUT -j REJECT --reject-with icmp-host-
prohibited之后，防火墙规则读取是由上至下，当读取到该规则后，新添加的端口
（65005）这条新增规则就不会被读取，导致65005依然不能被访问，所以要么使用
iptables -I插入到最上面（也可以指定序号），要么通过手动添加规则到该规则前面即可
（vim /etc/sysconfig/iptables ）
　　-A INPUT -p tcp -m tcp --dport 65005 -j ACCEPT # 表示刚新增的规则，

此时已允许其他主机访问该端口

　　-A INPUT -j REJECT --reject-with icmp-host-prohibited　　# 这行是

已拒绝其他端口的命令，如果我们将新插入的开放端口在放在这行命令之后的情况下，后面

的配置开放的端口是不会被启用的。

iptables语法格式

iptables 命令的基本语法格式如下：

[root@liangxu ~]# iptables [-t table] COMMAND [chain] CRETIRIA -j ACTION

各参数的含义为：

-t：指定需要维护的防火墙规则表 filter、nat、mangle或raw。在不使用 -t 时则默认使用 filter 表。

COMMAND：子命令，定义对规则的管理。

chain：指明链表。

CRETIRIA：匹配参数。

ACTION：触发动作。

iptables 命令常用的选项及各自的功能如表 2 所示

选 项 功 能

-A

添加防火墙规则

-D

删除防火墙规则

-I

插入防火墙规则

-F

清空防火墙规则

-L

列出添加防火墙规则

-R

替换防火墙规则

-Z

清空防火墙数据表统计信息

-P

设置链默认规则

iptables 命令常用匹配参数及各自的功能如表 3 所示。

参 数 功 能

[!]-p

匹配协议，! 表示取反

[!]-s

匹配源地址

[!]-d

匹配目标地址

[!]-i

匹配入站网卡接口

[!]-o

匹配出站网卡接口

[!]–sport

匹配源端口

[!]–dport

匹配目标端口

[!]–src-range

匹配源地址范围

[!]–dst-range

匹配目标地址范围

[!]–limit

四配数据表速率

[!]–mac-source

匹配源MAC地址

[!]–sports

匹配源端口

[!]–dports

匹配目标端口

[!]–stste

匹配状态（INVALID、ESTABLISHED、NEW、

RELATED)

[!]–string

匹配应用层字串

iptables 命令触发动作及各自的功能如表 4 所示。

触发动作 功 能

ACCEPT

允许数据包通过

DROP

丢弃数据包

REJECT

拒绝数据包通过

LOG

将数据包信息记录 syslog 曰志

DNAT

目标地址转换

SNAT

源地址转换

MASQUERADE

地址欺骗

REDIRECT

重定向

dport：目的端口

sport：来源端口

查看规则

1
  iptables -nvL --line-number

-L 查看当前表的所有规则，默认查看的是filter表，如果要查看NAT表，可以加上-t NAT参数

-n 不对ip地址进行反查，加上这个参数显示速度会快很多

-v 输出详细信息，包含通过该规则的数据包数量，总字节数及相应的网络接口

–line-number 显示规则的序列号，这个参数在删除或修改规则时会用到

添加规则

添加规则有两个参数：-A和-I。其中-A是添加到规则的末尾；-I可以插入到指定位置，没有指

定位置的话默认插入到规则的首部。

1
  #插入到第5个位置
2  iptables -I INPUT 5 -p tcp --dport 3389 -j ACCEPT

删除规则

1
  删除之前添加的规则（iptables -A INPUT -s 192.168.1.5 -j DROP）：
2  [root@test ~]# iptables -D INPUT -s 192.168.1.5 -j DROP
3  删除第二行规则
4  [root@test ~]# iptables -D INPUT 2

修改规则

在修改规则时需要使用-R参数。 把添加在第 6 行规则的 DROP 修改为 ACCEPT。首先需要使用 su 命令，切换当前用

户到 root 用户，然后在终端页面输入如下命令：

1
  [root@liangxu ~]# iptables -R INPUT 6 -s 194.168.1.5 -j ACCEPT

防火墙的备份与还原

默认的 iptables 防火墙规则会立刻生效，但如果不保存，当计算机重启后所有的规则都会丢失，所以对防火墙规则进行

及时保存的操作是非常必要的。

使用 iptables-save 将规则保存至该文件中可以实现保存防火墙规则的作用，计算机重启后会自动加载该文件中的规

则。如果使用 iptables-save 将规则保存至其他位置，可以实现备份防火墙规则的作用。当防火墙规则需要做还原操作

时，可以使用 iptables-restore 将备份文件直接导入当前防火墙规则。

iptables-save命令

1
2  iptables-save 命令用来批量导出 Linux 防火墙规则，语法介绍如下：
3  保存在默认文件夹中（保存防火墙规则）：
4  [root@liangxu ~]# iptables-save > /etc/sysconfig/iptables
5  保存在其他位置（备份防火墙规则）：
6  [root@liangxu ~]# iptables-save > 文件名称
7  直接执行 iptables-save 命令：显示出当前启用的所有规则，按照 raw、mangle、nat、filter 表的顺序

依次列出，如下所示：

8  [root@liangxu ~]# iptables-save # Generated by iptables-save v1.4.7 on Thu Aug 27
  07:06:36 2020 *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT
  [602:39026] ....... COMMIT # Completed on Thu Aug 27 07:06:36 2020
9  其中：
10  “#”号开头的表示注释；
11  “*filter”表示所在的表；

12  “：链名默认策略”表示相应的链及默认策略，具体的规则部分省略了命令名“iptables”；
13  在末尾处“COMMIT”表示提交前面的规则设置。
14  备份到其他文件中。例如文件：text，如下所示：
15  [root@liangxu ~]# iptables-save > test [root@liangxu ~]# ls test [root@bogon ~]# cat
   test # Generated by iptables-save v1.4.7 on Thu Aug 27 07:09:47 2020 *filter ......
16  列出nat表的规则内容，命令如下：
17  [root@liangxu ~]# iptables-save -t nat
18  “-t表名”：表示列出某一个表。

iptables-restore命令

1
  iptables-restore 命令可以批量导入Linux防火墙规则，同时也需要结合重定向输入来指定备份文件的位

置。命令如下：

2  [root@liangxu ~]# iptables-restore < 文件名称
3  注意，导入的文件必须是使用 iptables-save工具导出来的才可以。
4  先使用 iptables-restore 命令还原 text 文件，然后使用 iptables -t nat -nvL 命令查看清空的规则

是否已经还原，如下所示：

5  [root@liangxu ~]# iptables-restore < test [root@liangxu ~]# iptables -t nat -nvL Chain
  PREROUTING (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source
  destination
6  Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out
  source destination
7  Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source
  destination