iptables 是一个配置 Linux 内核 防火墙 的命令行工具，是 netfilter 项目的一部分。目前大多数Linux默认使用iptables作为防火墙，因此有必要熟悉和了解一下。
安装iptables
如果您的系统没有安装iptables，可以通过以下命令安装（以CentOS 7为例）：
yum install -y iptables yum install iptables-services
常用选项
-t<表>：指定要操纵的表； -A：向规则链中添加条目； -D：从规则链中删除条目； -i：向规则链中插入条目； -R：替换规则链中的条目； -L：显示规则链中已有的条目； -F：清楚规则链中已有的条目； -Z：清空规则链中的数据包计算器和字节计数器； -N：创建新的用户自定义规则链； -P：定义规则链中的默认目标； -h：显示帮助信息； -p：指定要匹配的数据包协议类型； -s：指定要匹配的数据包源ip地址； -j<目标>：指定要跳转的目标； -i<网络接口>：指定数据包进入本机的网络接口； -o<网络接口>：指定数据包要离开本机所使用的网络接口。
常用命令
#查看当前iptables规则 iptables -L -n #清空所有默认规则 iptables -F #清空所有自定义规则 iptables -X #允许所有进来的流量 iptables -P INPUT ACCEPT #将规则写入配置文件保存 service iptables save #查看iptables状态 service iptables status #停止iptables service iptables stop #启动 service iptables start #重启 service iptables restart
来看几个例子
只允许222.209.77.60连接22端口,其它IP来连接22端口一律丢弃
iptables -I INPUT -s 222.209.77.60 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j DROP
解释下上面的参数:
-I : 以第一个规则插入链 -A : 正常添加一个规则链 -s : 源IP -p : 指定协议，常用的协议有tcp/udp/icmp/http/ftp等 --dport ： 指定目标端口 -j : 需要执行的动作，常用的动作有ACCEPT（允许）、DROP（丢弃）、REJECT（拒绝） -d : 目标IP/或子网
可能您还会发现上面的规则有个INPUT选项，这个选项叫做规则链，最常用的链包括INPUT（流入），OUTPUT（流出），通过规则链来管理流入、流出的流量。
依葫芦画飘，通过上面的列子，我们再来添加一个禁ping的规则就很简单了。下面的例子丢弃所有流入的ICMP包：
iptables -A INPUT -p icmp -j DROP
上面的规则都是流入（INPUT），再来一个流出的列子。下面的规则拒绝所有流出的UDP流量，仅允许UDP流量请求119.29.29.29的53端口
#先禁止所有UDP流量流出 iptables -A OUTPUT -p udp -j DROP #允许UDP流出到119.29.29.29 53端口 iptables -I OUTPUT -p udp -d 119.29.29.29 --dport 53 -j ACCEPT
一些常用的规则
#放行80端口 iptables -A INPUT -p tcp --dport 80 -j ACCEPT #禁止连接3306端口 iptables -A INPUT -p tcp --dport 3306 -j DROP #禁ping iptables -A INPUT -p icmp -j DROP
直接用上面的规则只是临时生效，如果希望永久生效别忘记保存规则service iptables save
总结
iptables 能做的事还有很多，比如端口转发等，上面的规则不过九牛一毛，有兴趣的可以自行搜索研究。
