【每日随记】iptables 防火墙规则

简介

iptables主要功能是实现对网络数据包进出设备及转发的控制。
当数据包需要进入设备、从设备中流出或者经该设备转发、路由时，都可以使用iptables进行控制。
应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能比硬件防火墙低。

详解

Kali有三个处理动作（INPUT、OUTPUT、FORWARD）。

• INPUT 数据包进入
• FORWARD 转发关卡
• OUTPUT 数据包出口

参数

L, --list [chain]：列出规则；
-v, --verbose：详细信息；
-vv， -vvv 更加详细的信息
-n, --numeric：数字格式显示主机地址和端口号；
-x, --exact：显示计数器的精确值；
--line-numbers：列出规则时，显示其在链上的相应的编号；
-S, --list-rules [chain]：显示指定链的所有规则；
-N, --new-chain chain：新建一个自定义的规则链；
-X, --delete-chain [chain]：删除用户自定义的引用计数为0的空链；
-F, --flush [chain]：清空指定的规则链上的规则；
-E, --rename-chain old-chain new-chain：重命名链；
-Z, --zero [chain [rulenum]]：置零计数器；
-P, --policy chain target， 设置链路的默认策略
-A, --append chain rule-specification：追加新规则于指定链的尾部；
-I, --insert chain [rulenum] rule-specification：插入新规则于指定链的指定位置，默认为首部；
-R, --replace chain rulenum rule-specification：替换指定的规则为新的规则；
-D, --delete chain rulenum：根据规则编号删除规则；

// 查看启动状态
service iptables status
// 停止iptables
service iptables stop
// 重启iptables(重启其实就是先stop再start)
service iptables restart
// 重载就是重新加载配置的规则，在这里貌似跟重启一样
service iptables reload

// 直接拒绝icmp 的请求包
iptables -A INPUT -p icmp --icmp-type echo-request -j REJECT
// 直接丢弃 icmp 的请求包
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
// 禁止主机的ping功能
iptables -A OUTPUT -p icmp --icmp-type echo-request -j DROP
// 防止nmap端口扫描
iptables -t filter -I INPUT -s 192.168.112.130 -p tcp -m tcp --dport 22 --tcp-flags ALL SYN -j REJECT
// 删除iptables中的记录
iptables -t filter -D INPUT 0

保存规则自启动

iptables-save > /etc/iptables/rules.v4

sudo apt-get update
sudo apt-get install iptables-persistent
// 安装默认 yes 即可
sudo netfilter-persistent save
// 如有新增加规则，执行保存

系统启动时自动应用规则，安装 iptables-persistent。