Linux上iptables防火墻的基本應用教程
iptables是Linux上常用的防火墻軟件，下面vps偵探給大家說一下iptables的安裝、清除iptables規則、iptables只開放指定端口、iptables屏蔽指定ip、ip段及解封、刪除已添加的iptables規則、設置iptables開機啟動等iptables的基本應用。
1、安裝iptables防火墻
如果沒有安裝iptables需要先安裝，CentOS執行：
yum install iptables-services -y #CentOS7需安裝此iptables的service軟件包#
CentOS 7上默認安裝了firewalld建議關閉并禁用：
systemctl mask firewalld
Debian/Ubuntu執行：
apt-get install iptables-persistent -y #持久化iptables規則服務#
2、清除已有iptables規則
iptables -X
iptables -Z
3、開放指定的端口
-A和-I參數分別為添加到規則末尾和規則最前面。
iptables -A INPUT -i lo -j ACCEPT
# 允許已建立的或相關連的通行
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#允許所有本機向外的訪問
iptables -A OUTPUT -j ACCEPT
# 允許訪問22端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#允許訪問80端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#允許訪問443端口
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
#允許FTP服務的21和20端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
#如果有其他端口的話，規則也類似，稍微修改上述語句就行
#允許ping
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
#禁止其他未允許的規則訪問
iptables -A INPUT -j REJECT ?#（注意：如果22端口未加入允許規則，SSH鏈接會直接斷開。）
iptables -A FORWARD -j REJECT
4、屏蔽IP
#屏蔽單個IP的命令是
iptables?-I?INPUT?-s 123.45.6.7 -j?DROP
#封整個段即從123.0.0.1到123.255.255.254的命令
iptables?-I?INPUT?-s 123.0.0.0/8?-j?DROP
#封IP段即從123.45.0.1到123.45.255.254的命令
iptables?-I?INPUT?-s 124.45.0.0/16?-j?DROP
#封IP段即從123.45.6.1到123.45.6.254的命令是
iptables?-I?INPUT?-s?123.45.6.0/24?-j?DROP
5、屏蔽或允許某IP訪問指定端口
iptables?-I?INPUT?-s 123.45.6.7 -p tcp --dport 22 -j?DROP
#允許某IP訪問指定端口，以22端口為例命令是
iptables -I INPUT -p tcp --dport 22 -j DROP
iptables?-I?INPUT?-s 123.45.6.7 -p tcp --dport 22 -j?ACCEPT
6、查看已添加的iptables規則
v：顯示詳細信息，包括每條規則的匹配包數量和匹配字節數
x：在 v 的基礎上，禁止自動單位換算（K、M） vps偵探
n：只顯示IP地址和端口號，不將ip解析為域名
7、刪除已添加的iptables規則
將所有iptables以序號標記顯示，執行：
比如要刪除INPUT里序號為8的規則(要刪除OUTPUT的話就改成OUTPUT，以此類推)，執行：
8、iptables的開機啟動及規則保存
有可能系統并未安裝iptables的service文件，可以先執行：
進行安裝。
CentOS上可能會存在安裝好iptables后，iptables并不開機自啟動，可以執行一下：
CentOS7可執行：
有可能系統并未安裝iptables的service文件，可以執行：
將其加入開機啟動。
CentOS上可以執行：service iptables save保存規則。
另外更需要注意的是Debian/Ubuntu上iptables是不會保存規則的，也是前面說的持久化iptables規則。
需要先執行一下，安裝持久化腳本：
Debian或Ubuntu 16.04或更高版本執行：/etc/init.d/netfilter-persistent save 可以進行保存規則，/etc/init.d/netfilter-persistent reload 可以將規則生效。
Ubuntu 14.04之前版本執行：/etc/init.d/iptables-persistent save 可以進行保存規則，/etc/init.d/iptables-persistent reload 可以將規則生效。
開機啟動的話執行：systemctl enable netfilter-persistent.service 或 systemctl enable iptables-persistent.service
這樣就完成了Debian或Ubuntu下的關機自動保存規則，開機自動加載規則的設置。
需要按如下步驟進行，讓網卡關閉是保存iptables規則，啟動時加載iptables規則：
創建/etc/network/if-post-down.d/iptables 文件，添加如下內容：
執行：chmod +x /etc/network/if-post-down.d/iptables 添加執行權限。
創建/etc/network/if-pre-up.d/iptables 文件，添加如下內容：
執行：chmod +x /etc/network/if-pre-up.d/iptables 添加執行權限。
關于更多的iptables的使用方法可以執行：iptables --help或網上搜索一下iptables參數的說明。
如有問題歡迎在本文下留言或到VPS論壇反饋。
原創文章，謝絕轉載！
>>轉載請注明出處：VPS偵探 本文鏈接地址：http://www.0794baidu.com/security/linux-iptables.html
@琦Gor, 不清楚你要具體遠程訪問什么，請到論壇 https://bbs.vpser.net 反饋具體要求和描述問題
按順序執行了 1、2、3、8步驟，還是不能訪問遠程，21和80都可以訪問，lnmp環境
是 nginx
@多多, 什么環境，lnmpa嗎
軍哥 執行這個 TCP連接查看命令 為什么有127.0.0.1 那么多連接 還有隱藏的連接 這個是什么鬼啊
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
77 163.179.54.186
83 183.184.163.85
87 121.31.6.39
92 106.119.193.134
95 222.140.91.19
119 171.117.26.52
124 91.121.109.55
5875
6537 127.0.0.1
@Javen, 一個是ip，一個是ip段，封ip段可能會有誤傷
請問，我想封某個人的ip，是封他的單個ip，還是封0/24, or 0/16好呢？后兩者對他而言有什么區別？
@korol, iptables -L -n看一下規則
請問開啟了防火墻后，php curl_exec（）函數用不了，短信不能發出去，防火墻我就設置允許的幾個端口
@sun, 這個沒辦法
想封掉所有的視頻，應該從那個方向解決，求指導。
@repiankk, 和上面其他一般規則是一樣的，端口改成端口范圍就行了iptables -A INPUT -p tcp --dport 20000:30000 -j ACCEPT
現在ping好了。。。ftp鏈接不上了，目錄出不來,顯示鏈接被同位體重置。。。求添加被動端口的命令
@repiankk, 肯定和你之前有其他規則或不是完整的按本教程添加的
#允許ping
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT 這條沒用