ubuntu iptables 命令 ubuntu打开端口
大家好，关于ubuntu iptables 命令很多朋友都还不太明白，今天小编就来为大家分享关于ubuntu打开端口的知识，希望对各位有所帮助！
ubuntu怎么进入iptables
（一）设置开机启动iptables
# sysv-rc-conf--level 2345 iptables on
（二） iptables的基本命令
1.列出当前iptables的策略和规则
# iptables-L-n
-n：用数字形式显示
# iptables-L-v
-v：打印详细的信息
2.允许已经建立的连接接收数据
iptables-A INPUT-m state--state ESTABLISHED,RELATED-j ACCEPT
3.开放端口22（SSH的默认端口），您要告诉iptables允许接受到的所有目标端口为22的TCP报文通过
iptables-A INPUT-p tcp-i eth0--dport ssh-j ACCEPT
注：ssh代表22，可以在/etc/services中查到的服务都可以这样使用。
4.添加策略。策略也是一种规则，当所有规则都不匹配时，使用链的“策略”
链：INPUT, PREROUTING, FORWARD, POSTROUTING, OUTPUT
链策略的默认值是：ACCEPT。
表：filter（默认），nat，mangle。
#iptables-P INPUT DROP
#iptables-P OUTPUT ACCEPT
#iptables-P FORWARD DROP
root@patrick:~# iptables-L-n
Chain INPUT(policy DROP)
target prot opt source destination
ACCEPT icmp-- 0.0.0.0/0 0.0.0.0/0
ACCEPT tcp-- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
Chain FORWARD(policy DROP)
target prot opt source destination
Chain OUTPUT(policy ACCEPT)
target prot opt source destination
ACCEPT tcp-- 0.0.0.0/0 0.0.0.0/0 tcp spt:22
----------------------------------------------------
5.启动包转发功能
将内网的FTP请求转发到外网的一个主机上。
iptables-t nat-A PREROUTING-p tcp-dport 21-j DNAT--to-dest 10.25.1.7:21
查看：
# iptables-L-t nat
要实现包转发，还需要编辑内核参数。
# cat/proc/sys/net/ipv4/ip_forward
0
默认包转发是禁止的。于是需要打开。编辑/etc/sysctl.conf，然后执行sysctl-p。
（三）保存iptables的规则
step 1）保存当前iptables的规则到文件中。
# iptables-save/etc/iptables.up.rules
step 2）开机恢复iptables的规则。方法是添加下面这行到文件‘/etc/network/interfaces/’的末尾。
pre-up iptables-restore/etc/iptables.up.rules
（四）禁用防火墙
iptables-F
似乎Ubuntu中没有类似service iptables stop这样的命令来暂停iptables。只能使用这种方法来禁用iptables（防火墙）。
使用前，请保证规则已经备份在文件中。
在Ubuntu Server是配置iptables防火墙
关于iptables有价值的信息很多，但是大多都描述的很复杂。如果你想做些基本的配置，下面的 How To很适合你。
◆基本命令
键入：
# iptables-L
列出您当前iptables中在规则。如果您是刚刚建立您的服务器，那么可能此时还没有任何规则，而且您应该看到如下：
Chain INPUT(policy ACCEPT)
target prot opt source destination
Chain FORWARD(policy ACCEPT)
target prot opt source destination
Chain OUTPUT(policy ACCEPT)
target prot opt source destination
◆允许建立会话
我们可以允许建立会话来接受流量：
# iptables-A INPUT-m state--state ESTABLISHED,RELATED-j ACCEPT
◆在指定端口上允许入站流量
阻断所有流量您也可以启动系统，但是您可能正在通过SSH工作，所有在您阻断其他流量前有必要允许SSH流量。
为了在22端口号(默认的SSH端口)上的允许流量入站，您可以告诉iptables允许您的网卡接受所有的目的端口为22的TCP流量。
# iptables-A INPUT-p tcp-i eth0--dport ssh-j ACCEPT
特别的，这将向表中追加(-A)INPUT规则，允许目的端口号为SSH的所有流量进入接口(-i) eth0，以便iptables完成跳转(-j)或动作：ACCEPT
让我们核对下这些规则：(这里仅显示了少数行，您应该看到更多)
# iptables-L
Chain INPUT(policy ACCEPT)
target prot opt source destination
ACCEPT all-- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp-- anywhere anywhere tcp dpt:ssh
现在，让我们允许所有的web流量
# iptables-A INPUT-p tcp-i eth0--dport 80-j ACCEPT
检查我们现有的规则
# iptables-L
Chain INPUT(policy ACCEPT)
target prot opt source destination
ACCEPT all-- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp-- anywhere anywhere tcp dpt:ssh
ACCEPT tcp-- anywhere anywhere tcp dpt:www
我们已经指定SSH和web端口为允许通过的TCP流量，但是因为我们还没阻断任何流量，所以到目前为止所有的流量仍然可以进入。
◆阻断流量
一旦一条规则对一个包进行了匹配，其他规则不再对这个包有效。因为我们的规则首先允许SSH和WEB流量，所以只要我们阻断所有流量的规则紧跟其後，我们依然能接受我们感兴趣的流量。我们要做的仅仅是把阻断所有流量的规则放在最後，所以我们需要再次用到它。
# iptables-A INPUT-j DROP
# iptables-L
Chain INPUT(policy ACCEPT)
target prot opt source destination
ACCEPT all-- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp-- anywhere anywhere tcp dpt:ssh
ACCEPT tcp-- anywhere anywhere tcp dpt:www
DROP all-- anywhere anywhere
因为我们刚才没有指定一个接口或一个协议，所以除了web和ssh流量外其他任何流量都会被阻断。
◆编辑 iptables
到目前为止我们设置过程中唯一的问题是回环端口(loopbakc)也被阻断了。我们本可以通过指定-i eth0来仅仅丢弃eth0上的数据包，但我们也可以为回环端口(loopback)添加一条规则。如果我们追加这条规则，这将太晚了----因为所有的流量已经被丢弃。我们必须插入这条跪着到第4行。
# iptables-I INPUT 4-i lo-j ACCEPT
# iptables-L
Chain INPUT(policy ACCEPT)
target prot opt source destination
ACCEPT all-- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp-- anywhere anywhere tcp dpt:ssh
ACCEPT tcp-- anywhere anywhere tcp dpt:www
ACCEPT all-- anywhere anywhere
DROP all-- anywhere anywhere
最後2行看起来几乎一样，因此我们可以让iptables列的更详细些。
# iptables-L-v
◆日志记录
在上面的例子中，所有的流量都不会被记录。如果您愿意在syslog中记录被丢弃的包,下面将是最快捷的方式:
# iptables-I INPUT 5-m limit--limit 5/min-j LOG--log-prefix"iptables denied:"--log-level 7
看提示段获得更多关于logging的ideas.
◆保存 iptables
如果您现在要重新启动机器的话，您的iptables配置将会消失。为了不用每次重新启动时敲入这些命令，您可以保存你的配置，让它在系统启动时自动启动。你可以通过iptables-save和iptables-restore命令来保存配置。
◆配置启动时自动加载规则
保存您的防火墙股则到一个文件
# iptables-save/etc/iptables.up.rules
接着修改/etc/network/interfaces脚本自动应用这些规则(末行是添加的)
auto eth0
iface eth0 inet dhcp
pre-up iptables-restore/etc/iptables.up.rules
你也可以准备一组规则冰并自动应用它
auto eth0
iface eth0 inet dhcp
pre-up iptables-restore/etc/iptables.up.rules
post-down iptables-restore/etc/iptables.down.rules
◆提示
◆如果你要在一个规则基础上手动编辑iptables
下面的步骤复习了怎样建立你的防火墙规则，并假定它们相对固定(而且对于大多数人来说它们也应该是)。但是如果你要做许多研究工作，你也许想要你的 iptables在你每次重启时保存一次。你可以在/etc/network/interfaces里添加像下面的一行:
pre-up iptables-restore/etc/iptables.up.rules
post-down iptables-save/etc/iptables.up.rules
"post-down iptables-save/etc/iptables.up.rules"此行将保存规则用于下次启动时使用。
◆用iptables-save/restore来测试规则
如果你超出了这个指南来编辑iptables，你可能想利用iptables-save和iptables-restore来编辑和测试你的规则。你可以通过使用你喜爱的文本编辑器(此处为gedit)来打开这些规则文件来完成编辑。
# iptables-save/etc/iptables.test.rules
# gedit/etc/iptables.test.rules
你会得到一个如下类似的文件(下面是紧接上的例子文件)：
# Generated by iptables-save v1.3.1 on Sun Apr 23 06:19:53 2006
*filter
:INPUT ACCEPT [368:102354]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [92952:20764374]
-A INPUT-m state--state RELATED,ESTABLISHED-j ACCEPT
-A INPUT-i eth0-p tcp-m tcp--dport 22-j ACCEPT
-A INPUT-i eth0-p tcp-m tcp--dport 80-j ACCEPT
-A INPUT-i lo-j ACCEPT
-A INPUT-m limit--limit 5/min-j LOG--log-prefix"iptables denied:"--log-level 7
-A INPUT-j DROP
COMMIT
# Completed on Sun Apr 23 06:19:53 2006
注意到这些都是减去iptables命令的iptables语句。随意编辑这些命令、完成後保存它们。然後简单的测试下：
# iptables-restore/etc/iptables.test.rules
测试完毕後，如果你还没添加iptables-save命令到/etc/network/interfaces里面，记得不要丢失了你的更改：
# iptables-save/etc/iptables.up.rules
◆更详细的日志
为了在你的syslog中获得更多细节，你可能想创建一个额外的链。下面是个很简短的例子---我的/etc/iptables.up.rules,它将展示我是如何设置iptables记录到syslog中的：
# Generated by iptables-save v1.3.1 on Sun Apr 23 05:32:09 2006
*filter
:INPUT ACCEPT [273:55355]
:FORWARD ACCEPT [0:0]
:LOGNDROP- [0:0]
:OUTPUT ACCEPT [92376:20668252]
-A INPUT-m state--state RELATED,ESTABLISHED-j ACCEPT
-A INPUT-i eth0-p tcp-m tcp--dport 22-j ACCEPT
-A INPUT-i eth0-p tcp-m tcp--dport 80-j ACCEPT
-A INPUT-i lo-j ACCEPT
-A INPUT-j LOGNDROP
-A LOGNDROP-p tcp-m limit--limit 5/min-j LOG--log-prefix"Denied TCP:"--log-level 7
-A LOGNDROP-p udp-m limit--limit 5/min-j LOG--log-prefix"Denied UDP:"--log-level 7
-A LOGNDROP-p icmp-m limit--limit 5/min-j LOG--log-prefix"Denied ICMP:"--log-level 7
-A LOGNDROP-j DROP
COMMIT
# Completed on Sun Apr 23 05:32:09 2006
请注意一个名为 LOGNDROP的链在文件顶部。而且，INPUT链底部标准的DROP被替换成了LOGNDROP，同时添加了协议描述so it makes sense looking at the log。最後我们在LOGNDROP链尾部丢弃了这些流量。下面的行告诉我们发生了什么：
*--limit设置记录相同规则到syslog中的次数
*--log-prefix"Denied..."添加一个前缀使得在syslog中查找更easy
*--log-level 7设置syslog的消息级别(see man syslog for more detail, but you can probably leave this)
◆禁用防火墙
如果您要临时禁用防火墙，您可以通过下面的命令清空所偶的规则：
# iptables-F
◆轻松配置通过 GUI
新手可以利用 Firetarter(一个gui工具)---仓库中的可用软件(新立德或apt-get获得)来配置她或他的iptables规则，而需要命令行知识。请查看指南，尽管......配置很简单，但是对于高级用户来说可能远远不能满足。然而它对于大多数的家庭用户来说是足够的......。(我)建议您使用firestarter在策略表中将出站配置为“限制”，而将您需要的连接类型(如用于http的80、https的443，msn chat的1683等等)加入白名单。您也可以通过它查看进出您计算机的活动连接......。防火墙会一直保持下去一旦通过向导配置完毕。拨号用户必须在向导中指定它在拨号时自动启动。
firestarter主页： (再次,仓库源中可用,不需要编译)指南:
个人笔记：不幸运的是，它没有阻断(或询问用户)特定应用/程序的选项......。因此，我的理解是一旦启用了80端口(例如，用于访问网页)，那么任何程序都可以通过80端口连接任何服务器、做任何它想做的事......
linux/unix -shell值iptables基础知识
原文参考：
iptables防火墙可以用于创建过滤(filter)与NAT规则。所有Linux发行版都能使用iptables，因此理解如何配置 iptables将会帮助你更有效地管理Linux防火墙。如果你是第一次接触iptables，你会觉得它很复杂，但是一旦你理解iptables的工作原理，你会发现其实它很简单。
首先介绍iptables的结构：iptables-> Tables-> Chains-> Rules.简单地讲，tables由chains组成，而chains又由rules组成。如下图所示。 [图片上传失败...(image-ba5408-1536195185275)]
图: IPTables Table, Chain, and Rule Structure
一、iptables的表与链
iptables具有Filter, NAT, Mangle, Raw四种内建表：
1. Filter表
Filter表示iptables的默认表，因此如果你没有自定义表，那么就默认使用filter表，它具有以下三种内建链：
2. NAT表
NAT表有三种内建链：
3. Mangle表
Mangle表用于指定如何处理数据包。它能改变TCP头中的QoS位。Mangle表具有5个内建链：
4. Raw表
Raw表用于处理异常，它具有2个内建链：
5.小结
下图展示了iptables的三个内建表：
[图片上传失败...(image-753d8c-1536195185272)]
图: IPTables内建表
二、IPTABLES规则(Rules)
牢记以下三点式理解iptables规则的关键：
目标值（Target Values）
下面是你可以在target里指定的特殊值：
如果你执行iptables–list你将看到防火墙上的可用规则。下例说明当前系统没有定义防火墙，你可以看到，它显示了默认的filter表，以及表内默认的input链, forward链, output链。
Chain INPUT(policy ACCEPT)
target prot opt source destination
Chain FORWARD(policy ACCEPT)
target prot opt source destination
Chain OUTPUT(policy ACCEPT)
target prot opt source destination
查看mangle表：
查看NAT表：
查看RAW表：
!注意：如果不指定-t选项，就只会显示默认的 filter表。因此，以下两种命令形式是一个意思：
(or)
以下例子表明在filter表的input链, forward链, output链中存在规则：
Chain INPUT(policy ACCEPT)
num target prot opt source destination
1 RH-Firewall-1-INPUT all— 0.0.0.0/0 0.0.0.0/0
Chain FORWARD(policy ACCEPT)
num target prot opt source destination
1 RH-Firewall-1-INPUT all– 0.0.0.0/0 0.0.0.0/0
Chain OUTPUT(policy ACCEPT)
num target prot opt source destination
Chain RH-Firewall-1-INPUT(2 references)
num target prot opt source destination
1 ACCEPT all– 0.0.0.0/0 0.0.0.0/0
2 ACCEPT icmp– 0.0.0.0/0 0.0.0.0/0 icmp type 255
3 ACCEPT esp– 0.0.0.0/0 0.0.0.0/0
4 ACCEPT ah– 0.0.0.0/0 0.0.0.0/0
5 ACCEPT udp– 0.0.0.0/0 224.0.0.251 udp dpt:5353
6 ACCEPT udp– 0.0.0.0/0 0.0.0.0/0 udp dpt:631
7 ACCEPT tcp– 0.0.0.0/0 0.0.0.0/0 tcp dpt:631
8 ACCEPT all– 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
9 ACCEPT tcp– 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
10 REJECT all– 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
以上输出包含下列字段：
三、清空所有iptables规则
在配置iptables之前，你通常需要用iptables–list命令或者iptables-save命令查看有无现存规则，因为有时需要删除现有的iptables规则：
iptables–flush
或者
iptables-F
这两条命令是等效的。但是并非执行后就万事大吉了。你仍然需要检查规则是不是真的清空了，因为有的linux发行版上这个命令不会清除NAT表中的规则，此时只能手动清除：
iptables-t NAT-F
四、永久生效
当你删除、添加规则后，这些更改并不能永久生效，这些规则很有可能在系统重启后恢复原样。为了让配置永久生效，根据平台的不同，具体操作也不同。下面进行简单介绍：
1.Ubuntu
首先，保存现有的规则：
iptables-save>/etc/iptables.rules
然后新建一个bash脚本，并保存到/etc/network/if-pre-up.d/目录下：
iptables-restore</etc/iptables.rules
这样，每次系统重启后iptables规则都会被自动加载。
！注意：不要尝试在.bashrc或者.profile中执行以上命令，因为用户通常不是root，而且这只能在登录时加载iptables规则。
2.CentOS, RedHat
service iptables save
service iptables stop
service iptables start
查看当前规则：
cat/etc/sysconfig/iptables
五、追加iptables规则
可以使用iptables-A命令追加新规则，其中-A表示 Append。因此，新的规则将追加到链尾。
一般而言，最后一条规则用于丢弃(DROP)所有数据包。如果你已经有这样的规则了，并且使用-A参数添加新规则，那么就是无用功。
1.语法
iptables-A chain firewall-rule
2.描述规则的基本参数
以下这些规则参数用于描述数据包的协议、源地址、目的地址、允许经过的网络接口，以及如何处理这些数据包。这些描述是对规则的基本描述。
-p协议（protocol）
-s源地址（source）
-d目的地址（destination）
-j执行目标（jump to target）
-i输入接口（input interface）
-o输出（out interface）
3.描述规则的扩展参数
对规则有了一个基本描述之后，有时候我们还希望指定端口、TCP标志、ICMP类型等内容。
–sport源端口（source port）针对-p tcp或者-p udp
–-dport目的端口（destination port）针对-p tcp或者-p udp
-–tcp-flags TCP标志针对-p tcp
-–icmp-type ICMP类型针对-p icmp
4.追加规则的完整实例：仅允许SSH服务
本例实现的规则将仅允许SSH数据包通过本地计算机，其他一切连接（包括ping）都将被拒绝。
iptables-F
iptables-A INPUT-i eth0-p tcp–dport 22-j ACCEPT
iptables-A INPUT-j DROP
六、更改默认策略
上例的例子仅对接收的数据包过滤，而对于要发送出去的数据包却没有任何限制。本节主要介绍如何更改链策略，以改变链的行为。
1.默认链策略
/!\警告：请勿在远程连接的服务器、虚拟机上测试！
当我们使用-L选项验证当前规则是发现，所有的链旁边都有 policy ACCEPT标注，这表明当前链的默认策略为ACCEPT：
Chain INPUT(policy ACCEPT)
target prot opt source destination
ACCEPT tcp– anywhere anywhere tcp dpt:ssh
DROP all– anywhere anywhere
Chain FORWARD(policy ACCEPT)
target prot opt source destination
Chain OUTPUT(policy ACCEPT)
target prot opt source destination
这种情况下，如果没有明确添加DROP规则，那么默认情况下将采用ACCEPT策略进行过滤。除非：
a)为以上三个链单独添加DROP规则：
iptables-A INPUT-j DROP
iptables-A OUTPUT-j DROP
iptables-A FORWARD-j DROP
b)更改默认策略：
iptables-P INPUT DROP
iptables-P OUTPUT DROP
iptables-P FORWARD DROP
糟糕！！如果你严格按照上一节的例子配置了iptables，并且现在使用的是SSH进行连接的，那么会话恐怕已经被迫终止了！
为什么呢？因为我们已经把OUTPUT链策略更改为DROP了。此时虽然服务器能接收数据，但是无法发送数据：
Chain INPUT(policy DROP)
target prot opt source destination
ACCEPT tcp– anywhere anywhere tcp dpt:ssh
DROP all– anywhere anywhere
Chain FORWARD(policy DROP)
target prot opt source destination
Chain OUTPUT(policy DROP)
target prot opt source destination
七、配置应用程序规则
尽管5.4节已经介绍了如何初步限制除SSH以外的其他连接，但是那是在链默认策略为ACCEPT的情况下实现的，并且没有对输出数据包进行限制。本节在上一节基础上，以SSH和HTTP所使用的端口为例，教大家如何在默认链策略为DROP的情况下，进行防火墙设置。在这里，我们将引进一种新的参数-m state，并检查数据包的状态字段。
1.SSH
iptables-A INPUT-i eth0-p tcp–dport 22-m state–state NEW,ESTABLISHED-j ACCEPT
iptables-A OUTPUT-o eth0-p tcp–sport 22-m state–state ESTABLISHED-j ACCEPT
如果服务器也需要使用SSH连接其他远程主机，则还需要增加以下配置：
iptables-A OUTPUT-o eth0-p tcp–dport 22-m state–state NEW,ESTABLISHED-j ACCEPT
iptables-A INPUT-i eth0-p tcp–sport 22-m state–state ESTABLISHED-j ACCEPT
2.HTTP
HTTP的配置与SSH类似：
iptables-A INPUT-i eth0-p tcp–dport 80-m state–state NEW,ESTABLISHED-j ACCEPT
iptables-A OUTPUT-o eth0-p tcp–sport 80-m state–state ESTABLISHED-j ACCEPT
3.完整的配置
iptables-F
iptables-P INPUT DROP
iptables-P FORWARD DROP
iptables-P OUTPUT DROP
iptables-A INPUT-i eth0-p tcp–dport 22-m state–state NEW,ESTABLISHED-j ACCEPT
iptables-A OUTPUT-o eth0-p tcp–sport 22-m state–state ESTABLISHED-j ACCEPT
iptables-A OUTPUT-o eth0-p tcp–dport 22-m state–state NEW,ESTABLISHED-j ACCEPT
iptables-A INPUT-i eth0-p tcp–sport 22-m state–state ESTABLISHED-j ACCEPT
iptables-A INPUT-i eth0-p tcp–dport 80-m state–state NEW,ESTABLISHED-j ACCEPT
iptables-A OUTPUT-o eth0-p tcp–sport 80-m state–state ESTABLISHED-j ACCEPT
References
[1] Linux Firewall Tutorial: IPTables Tables, Chains, Rules Fundamentals
[2] IPTables Flush: Delete/ Remove All Rules On RedHat and CentOS Linux
[3] Linux IPTables: How to Add Firewall Rules(With Allow SSH Example)
[4] Linux IPTables: Incoming and Outgoing Rule Examples(SSH and HTTP)
[5] 25 Most Frequently Used Linux IPTables Rules Examples
[6] man 8 iptables
