Linux iptables 命令详解和选项参考

iptables 常被解释为 Linux 服务器上的防火墙软件，事实上它只是被用来创建和维护 IP 包的过滤规则，然后这些规则会交给 Linux 系统上的 Netfilter 框架来读取，从而实现防火墙的功能。

iptables 的使用规则很复杂，比如下面这条配置规则：

iptables -A INPUT -i eth0 -p tcp \
    --dport 22 \
    -m state --state NEW,ESTABLISHED -j ACCEPT

是不是如同看天书一般？看不懂也没关系，相信看完本文的介绍，示例以及选项参考后，就能理解上面这行配置的意思。

基础概念

在理解 iptables 命令规则之前，需要先了解它的「五链三表」。所谓的五链分别为：

1. PREROUTING: 路由之前的规则处理。
2. INPUT: 处理进来的数据包。
3. OUTPUT: 处理本地生成后要发出去的数据包。
4. FORWARD: 处理转发的数据包。
5. POSTROUTING: 路由之后的规则处理。

三表为：

1. filter：这是默认的表，主要用来根据规则接受或丢弃数据包。可操作 INPUT，FORWORD 和 OUTPUT 链。
2. nat：用于地址转换。可操作 PREROUTING、OUTPUT 和 POSTROUTING 链。
3. mangle：用来对指定的包进行修改并重新封装。可操作 PREROUTING、INPUT、OUTPUT、FORWARD 和 POSTROUTING 链。

关于这五个链的流程和表的关系可参照下面这张图来理解：

图片来自网络

除了五链三表，iptables 还有一个值得了解的概念是目标(Targets)。对于匹配到规则的数据包，可以指定处理的方式，这个处理方式可以是一个自定义的链名，也可以是指定的目标值。下面是几个常用的目标值：

• ACCEPT: 表示让匹配的数据包通过。
• DROP: 表示丢弃匹配的数据包。
• QUEUE: 表示把匹配的数据包传递到用户空间排队等待处理。
• RETURN: 表示停止这条链的匹配，到前一个链的规则重新开始。

基础概念就是上面这些。是不是已经迫不及待了？我们接下来将直接从例子开始入手，来更加深入的理解 iptables 命令的用法。

命令示例

iptables 命令提供的参数众多，对于接下来示例中的选项如果有不理解的，请参照本文最后的命令选项列表来了解具体用法。

首先来看个最简单的例子，查看当前所有规则：

iptables -L

不允许访问本机的 80 端口：

iptables -I INPUT -p tcp --dport 80 -j REJECT

上面的命令稍微多了几个命令选项，别怕，以 - 开头的参数可以在下面的选项表中去找，看说明就能理解。INPUT 上面已经介绍过，是处理进来数据包的链，DROP 也介绍过，表示丢弃数据包。结合起来看就很容易理解了，只要是 80 端口进来的 TCP 数据包，就丢弃掉。相当于是禁止了 80 端口 TCP 协议的访问。

使用 -I 选项插入规则时可以在链名后指定插入位置：

iptables -I INPUT 1 -p tcp –-dport 80 -j REJECT

在来个更复杂一点的，对 80 端口的请求数量进行限制，指定每分钟匀速请求为 10，瞬时最大请求不能超过 30：

iptables -A INPUT -p tcp --dport 80 -m limit \
    --limit 10/minute --limit-burst 30 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j DROP

上面用到了 iptables 的 limit 扩展，关于扩展的用法，同样请查阅后面的选项模块扩展表。

继续例子，只指定的 MAC 地址通过：

iptables -A INPUT -m mac --mac-source 00:0A:38:22:32:A3 -j ACCEPT

只允许已建立链接和关联链接通过：

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

将来自 80 端口的 TCP 请求数据记录到系统日志中（/var/log/message)：

iptables -A INPUT -p tcp --dport 80 -j LOG

将 80 端口的请求重新定位到 8080 端口：

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

禁止指定的 IP 连接：

iptables -I INPUT -s 10.0.28.15 -j REJECT

禁止所有来源连接：

iptables -A INPUT -j REJECT

如果发现设置的规则有问题，可以通过 -F 选项来清空：

iptables -F

如果存在一些创建的自定义链，可以用下面的命令来清空：

iptables -X

这样就 iptables 就恢复成了默认状态。所以随便折腾吧，有问题了大不了清空一下再来。如果对当前规则很满意，可以把它们备份为文件：

iptables-save > iptables.bak

然后在需要的时候直接还原：

iptables-restore < iptables.bak

iptables 命令选项

iptables 命令选项有多种类型，有用来执行明确动作的选项命令，还有扩展命令用的选项参数。除此之外，还有扩展模块提供的相关选项，具体内容请参阅下面按选项类型汇总的表格。

选项命令

选项参数

辅助选项

选项模块扩展

iptables 能够使用一些与模块匹配的扩展包。以下就是含于基本包内的扩展包，它们大多数都可以通过在前面加上 ! 来表示相反的意思。

目标模块扩展

iptables 标准版默认有以下目标模块：

• LOG: 为匹配的包开启内核记录。
• MARK: 用来设置包的 netfilter 标记值。
• REJECT: 作为对匹配的包的响应，返回一个错误的包，其他情况下和 DROP 相同。
• TOS: 用来设置IP包的首部八位tos。只能用于mangle表。
• MIRROR: 用于转换 IP 首部字段中的源地址和目标地址，再传送该包。只适用于 INPUT、FORWARD 和 OUTPUT 链，以及只调用它们的用户自定义链。
• SNAT: 修改包的源地址。只适用于 nat 表的 POSTROUTING 链。
• MASQUERADE: 用于动态获取 IP 连接，只用于 nat 表的 POSTROUTING 链。
• REDIRECT: 修改包的目标 IP 地址来发送包到机器自身，只适用于 nat 表的 PREROUTING 和 OUTPUT 链。

这些模块的选项如下：