当前位置：集美阅读大全 >杂文 > 正文

32.filter表案例 nat表应用（iptables） 130111的个人空间

2019-09-19 22:25iptables 案例应用 130111 filter

10.15 iptables filter表案例

10.16/10.17/10.18 iptables nat表应用

10.15 iptables filter表案例:

~1. 写一个具体的iptables小案例，需求是把80端口、22端口、21 端口放行。但是，22端口我要指定一个IP段，只有这个IP段的IP能访问到。其他段的一概拒绝。需要通过一个脚本来指定（脚本可理解为一个批量执行的命令）、

vim /usr/local/sbin/iptables.sh 加入以下内容

#! /bin/bash 通过脚本来实现

ipt=“/usr/sbin/iptables” 首先定义ipt这个变量，下面频繁用到，不至于那么繁琐（写脚本时尽量用绝对路径）

$ipt -F 清空之前的规则（我们没有-t指定一个表。所以为filter表）

$ipt -P INPUT DROP 指定INPUT的默认规则为DORP（也是为什么要用脚本的原因，不至于不能远程连接）

$ipt -P OUTPUT ACCEPT 指定OUTPUT的默认规则为ACCETP(也就是默认规则）

$ipt -P FORWARD ACCEPT 指定FORWARD的默认规则为ACCETP（也就是默认规则）

然后下面加一些规则出来

$ipt -A INPUT -m state –state RELATED（可理解为链接的其他链接）,ESTABLISHED（即为保持链接） -j ACCEPT

必须要写的

制定了一些状态，把他们放行。这些不太常用，但是要写进来。因为我们要满足上面的需要，这些需要总有一个相互链接的过程，为的是让他们更顺利的链接

$ipt -A INPUT -s 192.168.30.0/24 -p tcp –dport 22 -j ACCEPT 以上需求，按照22端口的规则的数据包放行

$ipt -A INPUT -p tcp –dport 80 -j ACCEPT 以上需求，80端口的数据包放行

$ipt -A INPUT -p tcp –dport 21 -j ACCEPT 以上需求，21端口的数据包放行

保存退出后，要链接他。sh /usr/local/iptables.sh

iptables -nvL可查看

~2. icmp示例

iptables -I INPUT -p icmp –icmp-type 8 -j DROP

ping外面的机器可以ping通，ping本机就不ping（外面的也ping不通本机）

实例：

[[email protected] ~]# vim /usr/local/sbin/iptables.sh

ipt="/usr/sbin/iptables"  $ipt -F  $ipt -P INPUT DROP  $ipt -P OUTPUT ACCEPT  $ipt -P FORWARD ACCEPT  $ipt -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT  $ipt -A INPUT -s 192.168.164.0/24 -p tcp --dport 22 -j ACCEPT  $ipt -A INPUT -p tcp --dport 80 -j ACCEPT  $ipt -A INPUT -p tcp --dport 21 -j ACCEPT

[[email protected] ~]# sh /usr/local/sbin/iptables.sh

[[email protected] ~]# iptables -nvL

Chain INPUT (policy DROP 0 packets, 0 bytes)   pkts bytes target     prot opt in     out     source               destination               7   796 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED      0     0 ACCEPT     tcp  --  *      *       192.168.164.0/24      0.0.0.0/0            tcp dpt:22      0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80      0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:21    Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)   pkts bytes target     prot opt in     out     source               destination             Chain OUTPUT (policy ACCEPT 9 packets, 1104 bytes)   pkts bytes target     prot opt in     out     source               destination

—————————————————————————————————————————————————-

10.16/10.17/10.18 iptables

~1. nat表应用

~2. A机器两块网卡ens33（192.168.30.134）、ens37（192.168.164.1），ens33可以上外网，ens37仅仅是内部网络，B机器只有ens37（192.168.164.100），和A机器ens37可以通信互联

~3. 需求1：可以让B机器连接外网

说白了就是做个小路由器（A机器），小路由器可以上网，那么电脑就可以上网

首先，我们需要两台机器。给01添加网卡实例~3.

~4. A机器上打开路由器转发 echo “1”>/proc/sys/net/ipv4/ip_forward

默认这个路径文件为0，即代表没有开启内核转发。因为要使用nat的应用，必须要打开nat的端口转发

~5. A上执行iptables -t nat -A POSTROUTING -s 192.168.164.0/24 -o ens33 -j MASQUERADE

这条规则，就是想让100.0这个网段可以上网

添加这条规则，就可以上网了