Linux iptables命令详解

一、iptables 是什么？

iptables 是 Linux 内核集成的防火墙管理工具，它通过操作内核中的 Netfilter 模块，对进出网络接口的数据包进行检查、修改、转发或丢弃。简单来说，它就像一扇安检门，根据你制定的规则决定谁可以进出你的系统。

二、核心概念：表、链、规则

iptables 的组织结构分为三层：表（tables）、链（chains） 和 规则（rules）。

• 表：根据功能不同，iptables 包含多个表，最常用的有：
  • filter：默认表，用于过滤数据包，包含 INPUT（入站）、OUTPUT（出站）、FORWARD（转发）链。
  • nat：用于网络地址转换，如端口转发、共享上网，包含 PREROUTING、POSTROUTING、OUTPUT 链。
  • mangle：用于修改数据包头部信息，如 TTL、TOS。
  • raw：用于配置连接跟踪的例外。
• 链：是规则的集合，数据包会在不同链上依次匹配规则。例如，发往本机的数据包会经过 INPUT 链，本机发出的数据包经过 OUTPUT 链。
• 规则：由匹配条件和动作组成，格式为“如果数据包满足条件，则执行指定动作”。

三、iptables 命令基本语法

iptables [-t 表名] 命令 [链名] [匹配条件] [-j 动作]

• -t 表名：指定要操作的表，默认为 filter 表。
• 命令：如 -A（追加）、-I（插入）、-D（删除）、-L（列出）、-F（清空）、-P（设置默认策略）等。
• 链名：如 INPUT、OUTPUT、FORWARD 等。
• 匹配条件：如 -s 源IP、-d 目标IP、-p 协议、--dport 目标端口、-i 入站网卡等。
• -j 动作：如 ACCEPT（接受）、DROP（丢弃）、REJECT（拒绝）、LOG（记录日志）、SNAT（源地址转换）、DNAT（目标地址转换）等。

四、常用操作示例

下面通过几个常见场景演示 iptables 的使用：

1. 查看当前规则：

iptables -L -n -v

-L 列出规则，-n 以数字形式显示IP和端口，-v 显示详细信息。

2. 允许 SSH 连接（端口22）：

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

这条规则追加到 INPUT 链，允许所有来源的 TCP 22 端口流量进入。

3. 禁止特定 IP 访问：

iptables -A INPUT -s 192.168.1.100 -j DROP

丢弃来自 192.168.1.100 的所有数据包。

4. 开启 Web 服务（端口80）：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

5. 设置默认策略为丢弃所有入站流量：

iptables -P INPUT DROP

注意：执行前务必确保已经放行了必要的端口（如22），否则会立即断开当前 SSH 连接。

6. 删除某条规则（例如第二条规则）：

iptables -D INPUT 2

7. 保存当前规则（不同发行版命令可能不同）：

service iptables save   # CentOS 6iptables-save > /etc/iptables/rules.v4   # Debian/Ubuntu

五、进阶：网络地址转换（NAT）

iptables 的 nat 表可以实现共享上网（SNAT）和端口转发（DNAT）。例如，将本机的 8080 端口转发到内网某台主机的 80 端口：

iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.10:80

同时需要开启 IP 转发（net.ipv4.ip_forward = 1）。

六、注意事项与最佳实践

• 规则顺序：iptables 按顺序匹配规则，一旦匹配立即执行动作，不再继续检查后续规则。因此，放行规则应放在拒绝规则之前。
• 默认策略：建议将默认策略设置为 DROP（丢弃），然后显式放行需要的流量，这样更安全。
• 影响现有连接：修改防火墙规则可能影响已建立的连接，可以使用 -m state --state ESTABLISHED,RELATED 允许相关连接通过。
• 日志记录：使用 -j LOG 可以记录匹配到的数据包，便于调试。
• 备份与恢复：定期使用 iptables-save 备份规则，防止误操作后无法恢复。

七、总结

通过本文的学习，你应该对 iptables 有了初步的认识，理解了它的表、链、规则结构，掌握了基本的增删改查命令，并能够编写简单的 数据包过滤 规则。iptables 是 Linux 系统中实现 网络安全 的基石之一，深入学习它可以帮助你构建更加安全可靠的服务器环境。记住，实践是掌握 Linux防火墙 的最佳途径，建议在测试环境中多动手尝试，逐步理解每条规则的作用。

—— 让 iptables 成为你网络安全的得力助手