Chinaunix首页 | 论坛 | 博客
  • 博客访问: 540343
  • 博文数量: 48
  • 博客积分: 1371
  • 博客等级: 中尉
  • 技术积分: 587
  • 用 户 组: 普通用户
  • 注册时间: 2011-10-04 15:32
文章分类

全部博文(48)

文章存档

2013年(5)

2012年(35)

2011年(8)

分类: 网络与安全

2012-12-13 16:20:50

-A 或 -append 在所选链尾加入一条或多条规则 

-D 或 -delete 在所选链尾部删除一条或者多条规则 

-R 或 -replace 在所选链中替换一条匹配规则 

-I 或 -insert 以给出的规则号在所选链中插入一条或者多条规则. 如果规则号为1,即在链头部. 

-L 或 -list 列出指定链中的所有规则,如果没有指定链,将列出链中的所有规则. 

-F 或 -flush 清除指定链和表中的所由规则, 假如不指定链,那么所有链都将被清空. 

-N 或 -new-chain 以指定名创建一条新的用户自定义链,不能与已有链名相同. 

-X 或 -delete-chain 删除指定的用户定义帘,必需保证链中的规则都不在使用时才能删除,若没有指定链,则删除所有用户链. 

-P 或 -policy 为永久帘指定默认规则(内置链策略),用户定义帘没有缺省规则,缺省规则也使规则链中的最后一条规则,用-L显示时它在第一行显示. 

-C 或 -check 检查给定的包是否与指定链的规则相匹配. 

-Z 或 -zero 将指定帘中所由的规则包字节(BYTE)计数器清零. 

-h 显示帮助信息. 

------------------------------------------------------------- 

常用匹配规则器: 

-p , [!] protocol 指出要匹配的协议,可以是tcp, udp, icmp, all, 前缀!为逻辑非,表示除该协议外的所有协议. 

-s [!] address[/mask] 指定源地址或者地址范围. 

-sport [!] port[:port] 指定源端口号或范围,可以用端口号也可以用/ETC/SERVICES文件中的名子. 

-d [!] address[/mask] 指定目的地址或者地址范围. 

-dport [!] port[:port] 指定目的端口号或范围,可以用端口号也可以用/ETC/SERVICES文件中的名子. 

-icmp-type [!] typename 指定匹配规则的ICMP信息类型(可以使用 iptables -p icmp -h 查看有效的ICMP类型名) 

-i [!] interface name[+] 匹配单独或某种类型的接口,此参数忽略时,默认符合所有接口,接口可以使用"!"来匹配捕食指定接口来的包.参数interface是接口名,如 eth0, eht1, ppp0等,指定一个目前不存在的接口是完全合法的,规则直到接口工作时才起作用,折中指定对于PPP等类似连接是非常有用的."+"表示匹配所有此类型接口.该选项只针对于INPUT,FORWARD和PREROUTING链是合法的. 

-o [!] interface name[+] 匹配规则的对外网络接口,该选项只针对于OUTPUT,FORWARD,POSTROUTING链是合法的. 

[!] --syn 仅仅匹配设置了SYN位, 清除了ACK, FIN位的TCP包. 这些包表示请求初始化的TCP连接.阻止从接口来的这样的包将会阻止外来的TCP连接请求.但输出的TCP连接请求将不受影响.这个参数仅仅当协议类型设置为了TCP才能使用. 此参数可以使用"!"标志匹配已存在的返回包,一般用于限制网络流量,即只允许已有的,向外发送的连接所返回的包. 
阅读(831) | 评论(0) | 转发(0) |
给主人留下些什么吧!~~