LiNUX20180509七周四次课（5月9日）IPTABLES

七周四次课（5月9日）

10.15 iptables filter表案例
10.16/10.17/10.18 iptables nat表应用

扩展
1. iptables应用在一个网段 http://www.aminglinux.com/bbs/thread-177-1-1.html
2. sant,dnat,masquerade http://www.aminglinux.com/bbs/thread-7255-1-1.html
3. iptables限制syn速率 http://www.aminglinux.com/bbs/thread-985-1-1.html http://jamyy.us.to/blog/2006/03/206.html

iptables filter表案例

-ipt是定义变量，这样不用每次都写绝对地址，以后写shell脚本的时候最好写据对路径

首先要把之前的规则清空，所以 -F

然后默认的策略定义 INPUT -DROP OUTPUT- ACCEPT FORWARD -ACCEPT

接着添加规则 -A ，指定了状态是 related和established的，针对这些状态的数据放行。这一行主要是保证保持连接的状态。related是一个边缘的状态，没有这个的话，有可能其他的被禁掉了。这一行必须有。

接下里是把192.168.133.0/24网段的访问22端口的放行

然后是把80和21端口数据放行

iptables [-t 表名] <-A|I|D|R> 链名[规则编号] [-i|o 网卡名称] [-p 协议类型] [-s 源IP地址|源子网] [--sport 源端口号] [-d 目标IP地址|目标子网] [--dport 目标端口号] <-j 动作>

写脚本的目的就是连续操作，因为中间的某些操作有可能会断掉连接无法继续操作。

iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT # 允许被ping

iptables -I INPUT -p icmp --icmp-type 8 -j DROP 这个就是不允许被ping 但是可以ping外面

需要将service iptables restart后才能去操作icmp

操作完之后的效果就是iptables -I INPUT -p icmp --icmp-type 8 -j DROP 可以ping出去其他ping不了它

iptables nat表应用 1

首先需要给虚拟机1新做一个网卡

然后给虚拟机2新建一个网卡，因为本身的网卡已经设置好IP等所以可以取消它启动时连接，第二块网卡也使用lan区段。也就是说想完成这个实验（一台机器一网卡内网，一个外网，另一个机器网卡内网，但是想上网）必须俩内网网卡在一个区段，使用同一个交换机。因为第二个虚拟机的网卡已经变化了，所以远程连接已经不行了。