如何使用 IPTables
iptables使用時我們得配合命令，就可以執(zhí)行各種服務(wù)。下面為大家介紹下：
一、 使用 IPTables
使用 IPTables 的***步是啟動 IPTables 服務(wù)。這可以使用以下命令進(jìn)行：
service iptables start
警告
你應(yīng)該使用以下命令關(guān)閉 IP6Tables 服務(wù)才能使用 IPTables 服務(wù)：
service ip6tables stop
chkconfig ip6tables off
要使 IPTables 在系統(tǒng)引導(dǎo)時默認(rèn)啟動，你必須使用 chkconfig 來改變服務(wù)的運(yùn)行級別狀態(tài)。
chkconfig --level 345 iptables on
IPTables 的語法被分成幾個層次。主要層次為“鏈”(chain)。“鏈”指定處理分組的狀態(tài)。其用法為：
iptables -A chain -j target
-A 在現(xiàn)存的規(guī)則集合內(nèi)后補(bǔ)一條規(guī)則。chain 是規(guī)則所在“鏈”的名稱。IPTables 中有三個內(nèi)建的鏈(即影響每一個在網(wǎng)絡(luò)中經(jīng)過的分組的鏈)：INPUT、OUTPUT、和 FORWARD。這些鏈?zhǔn)?**性的，不能被刪除。
重要
在創(chuàng)建 IPTables 規(guī)則集合時，記住規(guī)則的順序是至關(guān)重要的。例如：如果某個鏈指定了來自本地子網(wǎng) 192.168.100.0/24 的任何分組都應(yīng)放棄，然后一個允許來自 192.168.100.13(在前面要放棄分組的子網(wǎng)范圍內(nèi))的分組的鏈被補(bǔ)在這個規(guī)則后面(-A)，那么這個后補(bǔ)的規(guī)則就會被忽略。你必須首先設(shè)置允許 192.168.100.13 的規(guī)則，然后再設(shè)置放棄規(guī)則。
要在現(xiàn)存規(guī)則鏈的任意處插入一條規(guī)則，使用 -I，隨后是你想插入規(guī)則的鏈的名稱，然后是你想放置規(guī)則的位置號碼(1,2,3,...,n)。例如：
iptables -I INPUT 1 -i lo -p all -j ACCEPT
這條規(guī)則被插入為 INPUT 鏈的***條規(guī)則，它允許本地環(huán)回設(shè)備上的交通。
二、 基本防火墻策略
在一開始就建立的某些基本策略為建構(gòu)更詳細(xì)的用戶定義的規(guī)則奠定了基礎(chǔ)。IPTables 使用策略(policy, -P)來創(chuàng)建默認(rèn)規(guī)則。對安全敏感的管理員通常想采取放棄所有分組、只逐一允許指定分組的策略。以下規(guī)則阻塞網(wǎng)絡(luò)上所有的出入分組。
iptables -P INPUT DROP
iptables -P OUTPUT DROP
此外，還推薦你拒絕所有轉(zhuǎn)發(fā)分組(forwarded packets) — 要從防火墻被選路發(fā)送到它的目標(biāo)節(jié)點(diǎn)的網(wǎng)絡(luò)交通 — 以便限制內(nèi)部客戶對互聯(lián)網(wǎng)的無心暴露。要達(dá)到這個目的，使用以下規(guī)則：
iptables -P FORWARD DROP
注記
在處理添加的規(guī)則時，REJECT(拒絕)目標(biāo)和 DROP(放棄)目標(biāo)這兩種行動有所不同。REJECT 會拒絕目標(biāo)分組的進(jìn)入，并給企圖連接服務(wù)的用戶返回一個 connection refused 的錯誤消息。DROP 會放棄分組，而對 telnet 用戶不發(fā)出任何警告;不過，為了避免導(dǎo)致用戶由于迷惑不解而不停試圖連接的情況的發(fā)生，推薦你使用 REJECT 目標(biāo)。
設(shè)置了策略鏈后，為你的特定網(wǎng)絡(luò)和安全需要創(chuàng)建新規(guī)則。以下各節(jié)概述了一些你在建構(gòu) IPTables 防火墻時可能要實(shí)現(xiàn)的規(guī)則。
三、保存和恢復(fù) IPTables 規(guī)則
防火墻規(guī)則只在計(jì)算機(jī)處于開啟狀態(tài)時才有效。如果系統(tǒng)被重新引導(dǎo)，這些規(guī)則就會自動被清除并重設(shè)。要保存規(guī)則以便今后載入，請使用以下命令：
/sbin/service iptables save
保存在 /etc/sysconfig/iptables 文件中的規(guī)則會在服務(wù)啟動或重新啟動時(包括機(jī)器被重新引導(dǎo)時)被應(yīng)用。
通過文章，我們可以透過三大點(diǎn)，我們就知道了如何使用IPTables。
【編輯推薦】
