linux下的软件防火墙iptables――规则的查看与清除、定义默认策略-木庄网络博客

本文摘自PHP中文网，作者齐天大圣，侵删。

防火墙是用户限制某些ip或用户对其主机的访问。防火墙从种类上分为两大类，硬件防火墙以及软件防火墙。软件防火墙主要是对数据包进行过滤，硬件防火墙主要用来对恶意攻击的防护以及数据包的过滤，比如DDOS攻击。这里，我们来讲解linux下的软件防火墙――iptables。

iptables与firewalld

在centOS6下，默认的软件防火墙是iptables，而到了centos7，则是firewalld。它们之间有什么联系了，其实firewalld就是在原iptables上新封装成的一个软件。

学习iptables时，建议先关闭firewalld，并开启iptables

yum install iptables-services
systemctl stop firewalld
systemctl start iptables

iptables的表和链

iptables的不同的表代表着不同的功能，默认有4个表

filter（过滤器） nat（地址转换） mangle raw

不同的表下面，有着自己的规则链：

filter（INPUT/OUTPUT/FORWARD）
nat（prerouting/output/postouting）

这些链代表的意义如下：

INPUT链――进来的数据包应用此规则链中的规则
OUTPUT链――外出的数据包应用此规则链中的规则
FORWARD链――转发数据包时应用此规则链中的规则
PREROUTING链――对数据包作路由选择前应用此链中的规则
POSTROUTING链――对数据包作路由选择后应用此链中的规则

iptables的规则查看与清除

规则查看

用法示例：iptables [-t tables] -L [-nv]

选项与参数：

-t后接表类型，省略该选项，则默认为filter表。
-L列出当前表的规则
-n 不进行域名与ip反查
-v 显示更多信息

# 查看filter表的规则
# iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   67  4444 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
    2   286 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited
Chain OUTPUT (policy ACCEPT 38 packets, 4664 bytes)
 pkts bytes target     prot opt in     out     source               destination  
  
# 查看nat表的规则
iptables -t nat -L -nv