telnet 10.10.188.232 22 看能否访问22端口

telnet 127.0.0.1 22 看能否访问本机的22端口

iptables -I INPUT -p tcp --dport 80 -j ACCEPT外面的机子访问我的80端口我是允许的

iptables -I INPUT -P tcp --dport 10:21 -j ACCEPT访问10-22端口是允许的

iptables -I INPUT -p icmp -j ACCEPT访问icmp协议所有的端接口都是允许的

iptables -L列出所有的规则

iptables -A INPUT -j REJECT在现有规则的后面增加一条规则对默认没有允许的规则进行禁止

iptables -D INPUT -p tcp --dport 80 -j ACCEPT 删除这条80规则

iptables -I INPUT -p tcp --dport 80 -j REJECT 不允许访问我的80规则

snat对发出方的ip地址进行改写,dnat对进入方的IP地址进行改写

-A新追加一个规则在现有规则的后面加入规则,-D删除,-L显示规则的情况一般和-n一起连用,-F把iptables现有的规则进行清理,-P设置一个默认的iptables的现有规则,-I也是添加规则在原有规则的基础之上插入一条规则默认插成第一条规则,

iptables规则的组成

数据开始通过prerouting进如由nat表进行判断是否转发,转发进如forward链,不转发进如本机进如input链

filter表访问控制,nat表地址转发

四张表五条连

netfilter的五个挂载点

conlimit模块： 

iptables -I INPUT -p TCP --syn --dport 80 -m connlimit --connlimit-above 100 -j REJECT             限制每一个客户端Ip的连接数  

Limit模块 限速控制流量

iptables -A INPUT -p icmp -m limit --limit 1/m --limit-burst 10 -j REJECT iptables -A INPUT -p icmp -j DROP  上限十个包，超过则每分钟放行一个         

iptable -t nat -F 规则清零

iptable -t nat -nL 查看规则

转发端口（10.10.188.232:80 <==> 10.10.177.233:80）：iptables -t nat -A INPUT PREROUTING -d 10.10.188.232 -p tcp --dport 80 -j DNAT --to 10.10.177.233:80 转发端口（local_allip:80 <==> 10.10.177.233:8081）：iptables -t nat -A INPUT PREROUTING -p tcp --dport -j DNAT --to 10.10.177.233:8081

新命令ip addr 获取网卡信息，在NatServer中vim /etc/sysctl.conf中,net.ipv4.ip_forward=1; 然后执行永久性的转发机制sysctl -p ; 确认是否设置成功，sysctl -a grep ip_forward; 设置第三方的网段转化 iptables -t nat -A POSTROUTING -s （原来地址网段） -j SNAT -to (目的地址)

分类 功能 作用链 SNAT 源地址转换 出口POSTROUTING DNAT 目标地址转换 进口PREROUTING 教程中环境 CLIENT NAT-Server DetectionServer

SNAT场景模拟 不同网段访问设置 1：设置第三方的网段转化 iptables -t nat -A POSTROUTING -s （原来地址网段） -j SNAT -to (目的地址) 2：修改源主机访问 网关 getway 改为第三方地址 etc/syscfg/network

iptables -F iptables -I INPUT -i lo -j ACCEPT iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -s 10.10.155.0/24 -j ACCEPT iptables -A INPUT -s 10.10.188.0/24 -j ACCEPT iptables -A INPUT -s 10.10.140.0/24 -j ACCEPT(自己使用ssh连接电脑的网段)

1、将链的规则保存到配置文件： #/etc/init.d/iptables save 2、iptables服务开机启动： 一、#chkconfig iptables on 二、用history命令拷贝规则命令到脚本文件中（如iptable_ssh.sh），将执行脚本的命令加入到开机启动配置文件（/etc/rc.local）当中

常见不允许 外网访问的服务

文件服务器：NFS 123/udp     SAMBA   137,138,139/tcp 445/tcp  FTP 20，21/tcp

远程管理：SSH  22/tcp

数据库：MYSQL 3306/tcp    ORACLE  1521/tcp

ACCEPT规则： 允许本地访问   允许已监听状态数据包通过  允许规则中允许的数据包通过（注意开放ssh远程管理端口）

DENY规则：拒绝文被允许的数据包