首页 > 其他 > 详细

3.iptables规则管理

时间:2020-09-17 09:37:36      阅读:23      评论:0      收藏:0      [点我收藏+]

标签:alt   fig   restore   机器   pen   生产   

首先,清空centos6的默认规则,使用iptables -F INPUT命令清空filter表INPUT链中规则
技术分享图片
清空INPUT链以后,filter表中的INPUT链已经不存在任何的规则,但是INPUT链默认的策略是ACCEPT,会接受所有报文。

此时,我们使用另外一台机器ping本机,查看是否能通;本机IP地址为10.10.10.15,ping命令机器的IP地址为10.10.10.16
技术分享图片

增加规则

配置一条规则,拒绝10.10.10.16上的所有报文访问本机;规则由匹配条件和动作组成,那么“拒绝10.10.10.16上的所有报文访问本机”这条规则中,报文的源地址为“10.10.10.16”则属于匹配条件,而“拒绝”这个报文,就属于对应的动作了。
技术分享图片

上图,-t指定要操作的表
-I选项,指定将规则插入到哪个链中 insert
-s选项,指定“匹配条件”中的“源地址” source
-j选项,指定“匹配条件”被满足时,所对应的动作,DROP丢弃

此时,再通过10.10.10.16去ping15,已经不能ping通;ping命令一直没有得到回应。
技术分享图片

如果,此时在INPUT链中增加一条接受来自10.10.10.16主机中的报文,iptables是否会接受来自16主机的报文呢?

技术分享图片

-A选项为append;-A表示在链的尾部追加规则,-I表示在链的首部插入规则

此时,再进行ping操作,发现仍然是不通的
技术分享图片

那么试着从头部插入一条规则呢

技术分享图片

发现已经能够ping通
技术分享图片

由此可见,规则的顺序十分重要
如果报文已经被前面的规则匹配到,iptabels则会对报文执行对应的动作,即使后面的规则也能匹配到当前报文,很有可能也没有机会在对报文执行相应的动作了;以上图为例,报文先被第一条规则匹配到了,于是当前报文被“放行”了,因为报文已经被放行,第二条规则即使能够匹配到刚才放行的报文,也没有机会进行丢弃操作了;这就是iptables的工作机制。

删除规则

想要删除刚才插入filter表中INPUT中的一条规则,应该怎么做?
两种办法
1.可以根据规则的编号去删除
2.可以根据具体匹配的动作删除

查看filter表中INPUT链中的规则:
技术分享图片

删除第三条规则:
技术分享图片

-D选项表示删除指定链中的某条规则

根据匹配条件和动作删除规则,比如,删除源地址为10.10.10.16,动作为ACCEPT的规则:
技术分享图片

-s选项指定源地址为匹配对象;-j选项表示对应的动作

删除指定表中或链中所有规则的命令:iptables -t [表名] -F [链名]

在生产环境中,此条命令慎用!!!

删除规则

如果想把源地址为10.10.10.16作为匹配条件,动作DROP改为ACCEPT,怎么改?
需要使用-R选项修改指定的链中的规则,在修改规则时指定规则对应的编号
技术分享图片

如果上述的命令中没有使用-s指定对应规则中原本的源地址,那么在修改完之后,修改的规则中的源地址会自动变成0.0.0.0/0,即匹配所有网段的IP地址。
技术分享图片

我们还可以修改指定链的“默认策略”

技术分享图片

每张表中的每条链中,都有自己的默认策略,或者说默认动作。
当报文中没有被链中的任何规则匹配到时,防火墙会按照默认动作处理报文。

修改默认策略:
技术分享图片

-P选项指定要修改的链

保存配置

在默认情况下,我们对防火墙的配置都是临时的,当重启iptabels服务器或重启服务器后,修改的配置都会消失,为了防止这种清空的发送,我们需要将规则“保存”。

1.centos6:
使用iptables iptables save命令即可保存;默认保存在"/etc/sysconfig/iptables"文件中。
技术分享图片

2.centos7:
iptables-save命令,同样适用于centos6
iptables-save >> /etc/sysconfig/iptables

重载规则:

iptables-restore < /etc/sysconfig/iptables

命令总结

1.添加规则

ptables -t 表名 -A 链名 匹配条件 -j 动作
# 在对应链的末尾增加规则
iptables -t 表名 -I 链名 匹配条件 -j 动作
# 在对应链的开头插入规则
iptables -t 表名 -I 链名 规则序号 匹配条件 -j 动作
# 在指定位置添加
iptables -t 表名 -P 链名 动作
# 设置表的默认动作

2.删除规则

iptables -t 表名 -D 链名 规则序号
# 按照序号删除规则
iptables -t 表名 -D 链名 匹配条件 -j 动作
# 按照具体的匹配条件与动作删除规则
iptables -t 表名 -F 链名
# 删除指定表的指定链中的所有规则

3.修改规则

# 使用-R选项修改规则中的动作,必须指明原规则中的匹配条件
# 命令语法
iptables?-t?表名?-R?链名?规则序号?规则原本的匹配条件?-j?动作

# 其他修改方法:先通过编号方式删除规则,然后在原编号位置插入一条规则

# 修改指定表中指定链的默认动作:
iptables?-t?表名?-P?链名?动作

4.保存规则
默认将规则保存至/etc/sysconfig/iptables文件中

service iptables save
# 或
iptables-save > /etc/sysconfig/iptables
iptables-restore < /etc/sysconfig/iptables

3.iptables规则管理

标签:alt   fig   restore   机器   pen   生产   

原文:https://www.cnblogs.com/ccku/p/13682092.html

(0)
(0)
   
举报
评论 一句话评论(0
© 2014 bubuko.com 版权所有 鲁ICP备09046678号-4
打开技术之扣,分享程序人生!
             

鲁公网安备 37021202000002号