iptables允許eth0

『壹』 解釋此命令：iptables -t nat -A PREROUTING -i eth0 -s 192.16.0.0/24 -j DROP 求解釋啊！！！詳細一點

目的地址轉換
iptables -t nat -A PREROUTING -i eth0 -s 192.16.0.0/24 -j DROP
來自於 eth0 這個網卡 IP地址段是 192.16.0.0/24 的轉換全部 丟棄

『貳』 雙網卡 iptables設置問題

下面三條命令對外網(eth0)開放80/21埠，其他埠拒掉。(一定要依次使用，否則會有問題）

iptables -A INPUT -i eth0 -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp -j REJECT

默認的，不需要用任何命令，在eth1上就已經是接受所有埠了。

『叄』 IPTABLES 詳解

引言

先來看一條常用的iptables命令：

Iptables（-t filter） -I INPUT -p tcp  --dport ssh/22 -j ACCEPT

這一條命令，生成了一條規則。允許所有寬岩22埠的TCP連接。

這條規則作用表是filter表，即iptables默認表。作用鏈是INPUT鏈。

規則就是網路管理員預定義的條件，規則一般的定義為「如果數據包頭符合這樣的條件，就這樣處理這個數據包」。規則存儲在內核空間的信息包過濾表中，這些規則分別指定了源地址、目的地址、傳輸協議（如TCP、UDP、ICMP）和服務類型（如HTTP、FTP和SMTP）等。當數據包與規則匹配時，iptables就根據規則所定義的方法來處理這些數據包，如放行（accept）、拒絕（reject）和丟棄（drop）等。配置防火牆的主要工作就是添加、修改和刪除這些規則。

原理

Iptables通過對數據包的控制實現防火牆功能，看下圖：

數據包進入機器後，要根據數據包信息對數據包進行相關處理

（1） 一個數據包進入網卡時，它首先進入PREROUTING鏈，內核根據數據包目的IP判斷是否需要轉發出去。

（2） 如果數據包就是進入本機的，它就會沿著圖方向移動，到達INPUT鏈。數據包到了INPUT鏈後，任何進程都會收到它。本機上運行的程序可以發送數據包，這些數據包會經 過OUTPUT鏈，然後到達POSTROUTING鏈輸出。

（3）如果數據包是要轉發出去的，且內核允許轉發，數據包就會如圖所示方向移動，經過 FORWARD鏈，然後到達POSTROUTING鏈輸出。

鏈（chains）是規則校驗序列及數據包傳播的路徑，每一條鏈其實就是眾多規則中的一個檢查清單，每一條鏈中可以有一條或數條規則。當一個數據包到達一個鏈時，iptables就會從鏈中第一條規則開始檢查，看該數據包是否滿足規則所定義的條件。如果滿足，系統就會根據該條規則所定義的方法處理該數據包；否則iptables將繼續檢查下一條規則，如果該數據包不符合鏈中任一條規則，iptables就會根據該鏈預先定義的默認策略來處理數據包。

iptables -P INPUT (DROP|ACCEPT)默認是關的/默認是開的

該命令設置鏈的默認目標，即策略。所有與鏈中任何規則都不匹配的信息包都將被強制使用此鏈的策略

表（tables）是相同規則集合，iptables內置了4個表，即filter表、nat表、mangle表和raw表，分別用於實現包過濾，網路地址轉換、包重構(修改)和數據跟蹤處理四種不同的功能。

3、規則表之間的優先順序：

Raw——mangle——nat——filter

每個表包含的數據鏈不同，在進行處理的時候注意需求，要在哪一鏈上操作。

（1）RAW表

只使用在PREROUTING鏈和OUTPUT鏈上,因為優先順序最高，從而可以對收到的數據包在連接跟蹤前進行處理。一但用戶使用了RAW表,在 某個鏈上,RAW表處理完後,將跳過NAT表和 ip_conntrack處理,即不再做地址轉換和數據包的鏈接跟蹤處理了.

RAW表可以應用在那些不需慎陪御要做nat的情況下，以提高性能。如大亂培量訪問的web伺服器，可以讓80埠不再讓iptables做數據包的鏈接跟蹤處理，以提高用戶的訪問速度。

（2）mangle表

主要用於對指定數據包進行更改，在內核版本2.4.18 後的linux版本中該表包含的鏈為：INPUT鏈（處理進入的數據包），RORWARD鏈（處理轉發的數據包），OUTPUT鏈（處理本地生成的數據包）POSTROUTING鏈（修改即將出去的數據包），PREROUTING鏈（修改即將到來的數據包）

（3）nat表

主要用於網路地址轉換NAT，該表可以實現一對一，一對多，多對多等NAT 工作，iptables就是使用該表實現共享上網的，由於轉換的特性，需進行目的地網址轉換的數據包，就不需要進行來源網址轉換，反之亦然，因此為了提升改寫封包的效率，在防火牆運作時，每個封包只會經過這個規則表一次。如果我們把數據包過濾的規則定義在這個數據表裡，將會造成無法對同一包進行多次比對，因此這個規則表除了作網址轉換外，請不要做其它用途。NAT表包含了PREROUTING鏈（修改即將到來的數據包），POSTROUTING鏈（修改即將出去的數據包），OUTPUT鏈（修改路由之前本地生成的數據包）

（4）filter表

主要用於過濾數據包，該表根據系統管理員預定義的一組規則過濾符合條件的數據包。對於防火牆而言，主要利用在filter表中指定的規則來實現對數據包的過濾。Filter表是默認的表，如果沒有指定哪個表，iptables 就默認使用filter表來執行所有命令，filter表包含了INPUT鏈（處理進入的數據包），RORWARD鏈（處理轉發的數據包），OUTPUT鏈（處理本地生成的數據包）在filter表中只能允許對數據包進行接受，丟棄的操作，而無法對數據包進行更改

命令

iptables [-t 表] -命令 匹配   操作

-A是append命令，添加的規則在最後

-D是刪除命令，刪除第幾條規則

-I是插入命令，添加的規則在第一條

！是取反操作

Sport 是源埠

Dport 是目的埠

列出各個表的規則命令：

iptables -nvL

iptables -t nat -nvL

iptables -t mangle -nvL

iptables -t raw -nvL

iptables -t filter -nvL

iptables -t raw -A PREROUTING -s 182.50.124.75 -j ACCEPT

REJECT     攔阻該數據包，並返回數據包通知對方，可以返回的數據包有幾個選擇：ICMP port-unreachable、ICMP echo-reply 或是tcp-reset（這個數據包包會要求對方關閉聯機），進行完此處理動作後，將不再比對其它規則，直接中斷過濾程序。 範例如下：

iptables -A  INPUT -p TCP --dport 22 -j REJECT --reject-with ICMP echo-reply

DROP   丟棄數據包不予處理，進行完此處理動作後，將不再比對其它規則，直接中斷過濾程序。

REDIRECT    將封包重新導向到另一個埠（PNAT），進行完此處理動作後，將會繼續比對其它規則。這個功能可以用來實作透明代理 或用來保護web 伺服器。例如：

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT--to-ports 8081

MASQUERADE  改寫封包來源IP為防火牆的IP，可以指定port 對應的范圍，進行完此處理動作後，直接跳往下一個規則鏈（mangle:postrouting）。這個功能與 SNAT 略有不同，當進行IP 偽裝時，不需指定要偽裝成哪個 IP，IP 會從網卡直接讀取，當使用撥接連線時，IP 通常是由 ISP 公司的 DHCP伺服器指派的，這個時候 MASQUERADE 特別有用。範例如下：

iptables -t nat -A POSTROUTING -p TCP -j MASQUERADE --to-ports 21000-31000

LOG    將數據包相關信息紀錄在 /var/log 中，詳細位置請查閱 /etc/syslog.conf 配置文件，進行完此處理動作後，將會繼續比對其它規則。例如：

iptables -A INPUT -p tcp -j LOG --log-prefix "input packet"

SNAT  改寫封包來源 IP 為某特定 IP 或 IP 范圍，可以指定 port 對應的范圍，進行完此處理動作後，將直接跳往下一個規則煉（mangle:postrouting）。範例如下：

iptables -t nat -A POSTROUTING -p tcp-o eth0 -j SNAT --to-source 192.168.10.15-192.168.10.160:2100-3200

DNAT  改寫數據包包目的地 IP 為某特定 IP 或 IP 范圍，可以指定 port 對應的范圍，進行完此處理動作後，將會直接跳往下一個規則鏈（filter:input 或 filter:forward）。範例如下：

iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination 192.168.10.1-192.168.10.10:80-100

MIRROR   鏡像數據包，也就是將來源 IP與目的地IP對調後，將數據包返回，進行完此處理動作後，將會中斷過濾程序。

QUEUE    中斷過濾程序，將封包放入隊列，交給其它程序處理。透過自行開發的處理程序，可以進行其它應用，例如：計算聯機費用.......等。

RETURN   結束在目前規則鏈中的過濾程序，返回主規則鏈繼續過濾，如果把自訂規則煉看成是一個子程序，那麼這個動作，就相當於提早結束子程序並返回到主程序中。

MARK  將封包標上某個代號，以便提供作為後續過濾的條件判斷依據，進行完此處理動作後，將會繼續比對其它規則。範例如下：

iptables -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 22

保存規則

使用iptables程序建立的規則只會保存在內存中，通常我們在修改了iptables的規則重啟 iptables 後，之前修改的規則又消失了。那麼如何保存新建立的規則呢？

方法1、對於RHEL和ceontos系統可以使用service iptables save將當前內存中的規則保存到 /etc/sysconfig/iptables 文件中

[root@lampbo ~]# service iptables save

方法2、修改/etc/sysconfig/iptables-config 將裡面的IPTABLES_SAVE_ON_STOP="no", 這一句的"no"改為"yes"這樣每次服務在停止之前會自動將現有的規則保存在 /etc/sysconfig/iptables 這個文件中去。

加入開機啟動項

chkconfig --level 345 iptables on

UBUNTU系統   

沒有上述東西，只能使用保存命令保存當前規則。

重啟的就用自啟動腳本載入已經保存的規則。

/etc/network/interfaces腳本自動應用

auto eth0 iface eth0 inet dhcp

pre-up iptables-restore < /etc/iptables.up.rules post-down iptables-save > /etc/iptables.up.rules

iptables --save

https://wangchujiang.com/linux-command/c/iptables.html#%E5%90%AF%E5%8A%A8%E7%BD%91%E7%BB%9C%E8%BD%AC%E5%8F%91%E8%A7%84%E5%88%99

其他問題

ip_conntrack: table full, dropping packet的問題

在啟用了iptables web伺服器上，流量高的時候經常會出現下面的錯誤：

ip_conntrack: table full, dropping packet

這個問題的原因是由於web伺服器收到了大量的連接，在啟用了iptables的情況下，iptables會把所有的連接都做鏈接跟蹤處理，這樣iptables就會有一個鏈接跟蹤表，當這個表滿的時候，就會出現上面的錯誤。iptables的鏈接跟蹤表最大容量為/proc/sys/net/ipv4/ip_conntrack_max，鏈接碰到各種狀態的超時後就會從表中刪除。所以解決方法一般有兩個：(1)加大 ip_conntrack_max 值vi /etc/sysctl.confnet.ipv4.ip_conntrack_max = 393216net.ipv4.netfilter.ip_conntrack_max = 393216(2):降低 ip_conntrack timeout時間vi /etc/sysctl.confnet.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 300net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120上面兩種方法打個比喻就是燒水水開的時候，換一個大鍋。一般情況下都可以解決問題，但是在極端情況下，還是不夠用，怎麼辦？這樣就得反其道而行，用釜底抽薪的辦法。iptables的raw表是不做數據包的鏈接跟蹤處理的，我們就把那些連接量非常大的鏈接加入到iptables raw表。如一台web伺服器可以這樣：iptables -t raw -A PREROUTING -d 1.2.3.4 -p tcp --dport 80 -j NOTRACKiptables -A FORWARD -m state --state UNTRACKED -j ACCEPT

使用注意事項

在默認鏈規則是accept的情況下，規則最後要加drop或reject，否則相當於沒加規則

一般先添加允許自己IP的所有數據包的規則，否則添加drop規則後會被屏蔽

『肆』 iptables -A INPUT -s 0/0 -i eth0 -d 192.168.1.1 -p TCP -j ACCEPT 那位朋友 能幫我翻譯一下這句的意思

iptables設置句，-A INPUT只在INPUT鏈中插入一條規則，-s匹配源地址，這里的0/0指可以是任何地址，-i指定網路介面-d匹配目的地址 -p匹配協議類型，-j指定要採取的操作，這里ACCEPT表示允許連接，
這句語句的意思就是配置網路介面eth0允許來自任何地址的目的地址是192.168.1.1的TCP數據包聯機。
應該沒錯