iptables常用的表有filter,nat,mangle表

对于filter来讲一般只能做在3个链上：INPUT ，FORWARD ，OUTPUT

对于nat来讲一般也只能做在3个链上：PREROUTING ，OUTPUT ，POSTROUTING

mangle则是5个链都可以做：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

配置iptables表的默认规则

iptables -P INPUT DROP

iptables -P OUTPUT DROP

iptables -P FORWARD DROP

查看iptables 规则

iptables [-t 表名] -L -n

以序号显示的方式查看iptables规则

iptables -L -n --line-number

删除规则

iptables -D number

例子：

对22号端口进行放行

iptables -I INPUT -p tcp --dport 22 -j ACCEPT

这条语句会在iptables规则的最上面添加一条新的规则

-A 在iptables规则最后面添加

-I 在iptables规则的最前面添加

禁止源地址是192.168.1.2的任何访问

iptables -I INPUT -s 192.168.1.2 -j DROP

开放多个端口

iptables -A Filter -p tcp -m multiport --destination-port 22,53,80,110 -s 192.168.20.3 -j REJECT

开放多个连续的端口

 iptables -A Filter -p tcp -m multiport --source-port 22,53,80,110 -s 192.168.20.3 -j REJECT

iptables -A Filter -p tcp --source-port 2:80 -s 192.168.20.3 -j REJECT

SNAT基于原地址的转换

基于原地址的转换一般用在我们的许多内网用户通过一个外网的口上网的时候，这时我们将我们内网的地址转换为一个外网的IP，我们就可以实现连接其他外网IP的功能。

所以我们在iptables中就要定义到底如何转换：

定义的样式：

比如我们现在要将所有192.168.10.0网段的IP在经过的时候全都转换成172.16.100.1这个假设出来的外网地址：

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to 172.16.100.1

这样，只要是来自本地网络的试图通过网卡访问网络的，都会被统统转换成172.16.100.1这个IP.

那么，如果172.16.100.1不是固定的怎么办？

我们都知道当我们使用联通或者电信上网的时候，一般它都会在每次你开机的时候随机生成一个外网的IP，意思就是外网地址是动态变换的。这时我们就要将外网地址换成 MASQUERADE(动态伪装):它可以实现自动寻找到外网地址，而自动将其改为正确的外网地址。所以，我们就需要这样设置：

iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j MASQUERADE

这里要注意：地址伪装并不适用于所有的地方。

 

DNAT目标地址转换

对于目标地址转换，数据流向是从外向内的，外面的是客户端，里面的是服务器端通过目标地址转换，我们可以让外面的ip通过我们对外的外网ip来访问我们服务器不同的服务器，而我们的服务却放在内网服务器的不同的服务器上。

如何做目标地址转换呢？：

iptables -t nat -A PREROUTING -d 192.168.10.18 -p tcp --dport 80 -j DNAT --to 172.16.100.2

目标地址转换要做在到达网卡之前进行转换,所以要做在PREROUTING这个位置上

更详细的iptables配置可以参考http://blog.csdn.net/cssmhyl/article/details/7966789