1.查看规则 iptables -nvL
2.表类型 -t raw,mangle,nat,filter(默认)
3.链管理
(1)新建链接: iptables -N test
(2)删除空链: iptables -X test
(3)启用和禁止： iptables -P INPUT ACCEPT|DROP
(4)重命名: iptables -E test test2
(5)清空: iptables -t nat -F
4.规则管理
(1)末尾追加: -A
(2)起始插入: -I number
(3)删除: -D number
(4)替换: -R number
5.基本匹配
(1)原地址匹配: -s
(2)目标地址匹配: -d
(3)启用禁止和拒绝: -j ACCEPT|DROP|REJECT
(4)协议匹配: -p tcp|udp|icmp
6.扩展匹配
(1)tcp:
-p tcp [-m tcp] --sport|dport 源端口和目标端口
-p tcp -m tcp multiport --sports|dports 22,80
-p tcp -m tcp iprange --src|dst-range x.x.x.x-x.x.x.x
-p tcp -m string --algo bm|kmp --string "xxxx"
-p tcp -m connlimit --connlimit-upto|above 最大最小并发
-p tcp -m stae INVALID|ESTABLISHED|NEW|RELATED|UNTRACKED
INVALID:无法识别的链接
ESTABLISHED:模板中存在记录
NEW:模板中不存在
RELATED:关联链接
UNTRACKED:未追踪的链接
追踪并记录的连接:/proc/net/nf_conntrack
最大连接数:/proc/sys/net/nf_conntrack_max
超时时长:/proc/sys/net/netfilter/xxxx_timeout
(2)udp: -p udp [-m udp] --sport|dport 源端口和目标端口
(3)icmp: -p icmp [-m icmp] --icmp-type 0|8 响应码和请求码
7.nat
(1)使用SNAT和DNAT条件:
开启核心转发:echo ‘1‘ > /proc/sys/net/ipv4/ip_forward
将内网主机网关地址指向转发服务器的内网网卡
(2)SNAT:
iptables -t nat -A POSTROUTING -s 127.0.0.1/24 -j SNAT --to-source x.x.x.x外网网卡地址，或
-j MASQUERADE 自动获取外网地址
(3)DNAT:可让外网主机访问转发器上的80服务，而转发器没有提供该服务，直接交由内网主机处理
iptables -t nat -A PREROUTING -s 0/0 -d x.x.x.x外网网卡地址 -p tcp --dport 80 -j DNAT --to-destination x.x.x.x内网主机地址
8.保存与加载
(1)service iptables save 命令:
它会保存在/etc/sysconfig/iptables这个文件中
(2)iptables-save 命令:
iptables-save > /etc/sysconfig/iptables
(3)iptables-restore 命令:
开机的时候，它会自动加载/etc/sysconfig/iptables
iptables-restore < /etc/sysconfig/iptables.2
(4)开机自起
把命令扔进/etc/rc.d/rc.local内即可