iptables之语法初步

Iptables语法概述

　　Iptables指令可以划分为两个部份，一个是“Iptables指令参数”，另一个是“规则语法”。 
Iptables的参数相当多，这并不代表需要记住所有的参数，实际使用的参数并不是太多，只需要记住几个特定的参数即可，而且Iptables的参数是有规则可循的。如下图所示：

例1：列出Filter表中的所有内容

1	iptables –t filter –L

　　执行的结果如下图所示。

例2：将Filter表中的INPUT Chain内容显示出来

1	iptables –t filter –L INPUT

　　执行的结果如下图所示。

例3：将Filter表中所有内容清空

1	iptables –t filter –F

　　执行的结果如下图所示。

例4：将规则加入到Filter表的INPUT Chain

1	iptables –t filter –A INPUT –p icmp –j ACCEPT

　　执行的结果如下图所示。

例5：将FORWARD链的Default Policy设为DROP

1	iptables –t filter –P FORWARD DROP

　　执行的结果如下图所示。

例6：在INPUT Chain中插入新的规则

1	iptables –t filter –I INPUT 2 –p tcp –j ACCEPT

　　执行的结果如下图所示。

例7：替换INPUT Chain中已存在的规则

1	iptables –t filter –R INPUT 2 –p tcp –j ACCEPT

　　执行的结果如下图所示。

例8：删除INPUT Chain中已存在的规则

1	iptables –t filter –D INPUT 2

　　执行的结果如上图图所示。

例9：NAT表操作

　　如下图所示。

例10：managle表操作

　　如下图所示。

例11：raw表操作

　　如下图所示。

Iptables规则语法

操作命令（-A、-I、-D、-R、-P、-F）

查看命令（-[vnx]L）

一：-A <链名>

　　APPEND，追加一条规则（放到最后）

例如：

1	iptables -t filter -A INPUT -j DROP

　　在 filter 表的 INPUT 链里追加一条规则（作为最后一条规则）， 匹配所有访问本机 IP 的数据包，匹配到的丢弃。

二：-I <链名> [规则号码]

　　INSERT，插入一条规则

例如：

1	iptables -I INPUT -j DROP

　　在 filter 表的 INPUT 链里插入一条规则（插入成第 1 条）。

例如：

1	iptables -I INPUT 3 -j DROP

　　在 filter 表的 INPUT 链里插入一条规则（插入成第 3 条）。

注意：

1、-t filter 可不写，不写则自动默认是 filter 表 
2、-I 链名 [规则号码]，如果不写规则号码，则默认是 1 
3、确保规则号码 ≤ （已有规则数 + 1），否则报错

三：-D <链名> <规则号码 | 具体规则内容>

　　DELETE，删除一条规则

例如：

1	iptables -D INPUT 3

　　删除 filter 表 INPUT 链中的第三条规则（不管它的内容是什么）。

例如：

1	iptables -D INPUT -s 192.168.0.1 -j DROP

　　删除 filter 表 INPUT 链中内容为“-s 192.168.0.1 -j DROP”的规则 （不管其位置在哪里）

注意：

1、若规则列表中有多条相同的规则时，按内容匹配只删除序号最小的一条 
2、按号码匹配删除时，确保规则号码 ≤ 已有规则数，否则报错 
3、按内容匹配删除时，确保规则存在，否则报错

四：-R <链名> <规则号码> <具体规则内容>

　　REPLACE，替换一条规则

例如：

1	iptables -R INPUT 3 -j ACCEPT

　　将原来编号为 3 的规则内容替换为“-j ACCEPT”。

五：-P <链名> <动作>

　　POLICY，设置某个链的默认规则

例如：

1	iptables -P INPUT DROP

　　设置 filter 表 INPUT 链的默认规则是 DROP。

六：-F [链名]

　　FLUSH，清空规则

例如：

1	iptables -F INPUT

　　清空 filter 表 INPUT 链中的所有规则。

例如：

1	iptables -t nat -F PREROUTING

　　清空 nat 表 PREROUTING 链中的所有规则

注意：

1、-F 仅仅是清空链中规则，并不影响 -P 设置的默认规则 
2、-P 设置了 DROP 后，使用 -F 一定要小心！！！ 
3、如果不写链名，默认清空某表里所有链里的所有规则

七：-L [链名]

　　LIST，列出规则 
v：显示详细信息，包括每条规则的匹配包数量和匹配字节数 
x：在 v 的基础上，禁止自动单位换算（K、M） 
n：只显示 IP 地址和端口号码，不显示域名和服务名称

例如：

1	iptables -L

　　粗略列出 filter 表所有链及所有规则。

例如：

1	iptables -t nat -vnL

　　用详细方式列出 nat 表所有链的所有规则，只显示 IP 地址和端口号

例如：

1	iptables -t nat -vxnL PREROUTING

　　用详细方式列出 nat 表 PREROUTING 链的所有规则以及详细数字，不反解。