Linux上iptables防火墻的基本應用教程
iptables是Linux上常用的防火墻軟件，下面vps偵探給大家說一下iptables的安裝、清除iptables規則、iptables只開放指定端口、iptables屏蔽指定ip、ip段及解封、刪除已添加的iptables規則、設置iptables開機啟動等iptables的基本應用。
1、安裝iptables防火墻
如果沒有安裝iptables需要先安裝，CentOS執行：
yum install iptables-services -y #CentOS7需安裝此iptables的service軟件包#
CentOS 7上默認安裝了firewalld建議關閉并禁用：
systemctl mask firewalld
Debian/Ubuntu執行：
apt-get install iptables-persistent -y #持久化iptables規則服務#
2、清除已有iptables規則
iptables -X
iptables -Z
3、開放指定的端口
-A和-I參數分別為添加到規則末尾和規則最前面。
iptables -A INPUT -i lo -j ACCEPT
# 允許已建立的或相關連的通行
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#允許所有本機向外的訪問
iptables -A OUTPUT -j ACCEPT
# 允許訪問22端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#允許訪問80端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#允許訪問443端口
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
#允許FTP服務的21和20端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
#如果有其他端口的話，規則也類似，稍微修改上述語句就行
#允許ping
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
#禁止其他未允許的規則訪問
iptables -A INPUT -j REJECT ?#（注意：如果22端口未加入允許規則，SSH鏈接會直接斷開。）
iptables -A FORWARD -j REJECT
4、屏蔽IP
#屏蔽單個IP的命令是
iptables?-I?INPUT?-s 123.45.6.7 -j?DROP
#封整個段即從123.0.0.1到123.255.255.254的命令
iptables?-I?INPUT?-s 123.0.0.0/8?-j?DROP
#封IP段即從123.45.0.1到123.45.255.254的命令
iptables?-I?INPUT?-s 124.45.0.0/16?-j?DROP
#封IP段即從123.45.6.1到123.45.6.254的命令是
iptables?-I?INPUT?-s?123.45.6.0/24?-j?DROP
5、屏蔽或允許某IP訪問指定端口
iptables?-I?INPUT?-s 123.45.6.7 -p tcp --dport 22 -j?DROP
#允許某IP訪問指定端口，以22端口為例命令是
iptables -I INPUT -p tcp --dport 22 -j DROP
iptables?-I?INPUT?-s 123.45.6.7 -p tcp --dport 22 -j?ACCEPT
6、查看已添加的iptables規則
v：顯示詳細信息，包括每條規則的匹配包數量和匹配字節數
x：在 v 的基礎上，禁止自動單位換算（K、M） vps偵探
n：只顯示IP地址和端口號，不將ip解析為域名
7、刪除已添加的iptables規則
將所有iptables以序號標記顯示，執行：
比如要刪除INPUT里序號為8的規則(要刪除OUTPUT的話就改成OUTPUT，以此類推)，執行：
8、iptables的開機啟動及規則保存
有可能系統并未安裝iptables的service文件，可以先執行：
進行安裝。
CentOS上可能會存在安裝好iptables后，iptables并不開機自啟動，可以執行一下：
CentOS7可執行：
有可能系統并未安裝iptables的service文件，可以執行：
將其加入開機啟動。
CentOS上可以執行：service iptables save保存規則。
另外更需要注意的是Debian/Ubuntu上iptables是不會保存規則的，也是前面說的持久化iptables規則。
需要先執行一下，安裝持久化腳本：
Debian或Ubuntu 16.04或更高版本執行：/etc/init.d/netfilter-persistent save 可以進行保存規則，/etc/init.d/netfilter-persistent reload 可以將規則生效。
Ubuntu 14.04之前版本執行：/etc/init.d/iptables-persistent save 可以進行保存規則，/etc/init.d/iptables-persistent reload 可以將規則生效。
開機啟動的話執行：systemctl enable netfilter-persistent.service 或 systemctl enable iptables-persistent.service
這樣就完成了Debian或Ubuntu下的關機自動保存規則，開機自動加載規則的設置。
需要按如下步驟進行，讓網卡關閉是保存iptables規則，啟動時加載iptables規則：
創建/etc/network/if-post-down.d/iptables 文件，添加如下內容：
執行：chmod +x /etc/network/if-post-down.d/iptables 添加執行權限。
創建/etc/network/if-pre-up.d/iptables 文件，添加如下內容：
執行：chmod +x /etc/network/if-pre-up.d/iptables 添加執行權限。
關于更多的iptables的使用方法可以執行：iptables --help或網上搜索一下iptables參數的說明。
如有問題歡迎在本文下留言或到VPS論壇反饋。
原創文章，謝絕轉載！
>>轉載請注明出處：VPS偵探 本文鏈接地址：http://www.0794baidu.com/security/linux-iptables.html
比如說我要封掉UDP和icmp 規則怎么寫
如果規則沒有加好不就悲劇了，22都連不上了
@jionggege, iptables -A INPUT -p icmp --icmp-type 8 -s 0.0.0.0/0 -j ACCEPT 試試
iptables -A INPUT -j REJECT是拒絕所有沒有符合規則的INPUT
1 ACCEPT all -- 127.0.0.1 127.0.0.1
2 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
3 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
4 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
5 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:21
6 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:20
7 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 0
8 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 3
9 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 11
額，這是我的iptables input中的，如果只是這個就可以ping，但是設置iptables -A INPUT -j REJECT這一條后就不能ping了，沒有reject-with icmp-port-unreachable這一條啊
@jionggege, 執行：iptables -L -n --line-numbers
將INPUT里面的reject-with icmp-port-unreachable 那一條刪掉。
你好軍哥，我設置了iptables -A INPUT -j REJECT
iptables -A FORWARD -j REJECT這兩個后，ip就不能ping通了，不知道改如何解決呢？
@RB, 感謝反饋。
http://www.0794baidu.com/vps-howto 這個頁面的“四.6、Linux上iptables防火墻的基本應用教程”這個連接是錯誤的，后來通過搜索標題才找到這篇文章。
[...] Linux上iptables防火墻的基本應用教程 [...]
@OSMSG, 抱歉，不允許轉載
這個文章可以轉載嗎？
@囧啊囧, 100%純自己寫的。
這個我以前在哪個博客看到過教程的
非常好 已經是受益者了 哈哈 感謝
麻煩點的不好搞，我總愛把規則的順序弄錯，結果往往很杯具 ??
非常好用····感謝·····mark下了