【linux】Ubuntu上的防火墙iptables的基本配置与使用

关于防火墙firewall，从字面上理解，就是防止非法的数据包进入的一道墙，合法的数据从门里进来，不合法的数据被墙挡在外面。而到底哪些是合法哪些是不合法的数据呢，这个是由墙里面的设备或者人给的配置决定的。如果是人为设置的，配置得好，自然好，配置得不好，等于防火墙是个摆设。对于我们在进行学习时，当然防火墙可以关掉，如在linux下使用telnet部署web这篇文章中的做法，以便于我们的数据包可以自由出入。但互联网中到处存在着不良的数据，所以学会配置它还是有一定的好处的。

以linux下的防火墙iptables为例。

1.查看iptables配置

（1）按列表查看访问规则 iptables -L

（2）按INPUT，OUTPUT，FORWARD三个类查看访问规则 iptables -S

2.设置iptables的缺省规则

未设置其他的规则时的INPUT/OUTPUT/FORWARD数据包设置为ACCEPT是允许接收，设置为DROP是拒绝接收。

INPUT是从外头进入本机的数据包

OUTPUT是从本机出去的数据包

FORWARD是经过本机的数据包，用在路由器等中转设备上，对于终端设备，不常用。

iptables -P INPUT ACCEPT/DROP

iptables -P OUTPUT ACCEPT/DROP

iptables -P FORWARD ACCEPT/DROP

缺省规则是给予设置有很大的方便，比如说，你要设置只允许别人访问本机的http服务，那么可以设置INPUT和OUTPUT缺省为DROP，拒绝接收，设置一条从外部通过http访问的规则为ACCEPT即可。反过来，如果你要设置除了telnet服务，其他任何服务都允许访问，那么可以设置INPUT和OUTPUT缺省为ACCEPT，设置一条从外部通过telnet访问的规则为DROP即可。

3.添加iptables的规则

（1）添加INPUT链的规则，格式为

iptables -A INPUT -p tcp --dport 23 -j DROP

-A代表append添加规则，后面带INPUT代表这种数据包，-p代表使用的协议为tcp，--dport代表端口为23，-j代表使用DROP还是ACCEPT，DROP为拒绝

这句话的意思为拒绝tcp协议端口为23的数据包进入，而默认时telnet使用tcp23端口，所以此时其他机器telnet访问本机时被拒绝，这里例子里使用本机访问本机。

（2）添加OUTPUT链的规则，格式为

iptables -A OUTPUT -p tcp --dport 80 -j DROP

-A代表append添加规则，后面带OUTPUT代表这种数据包，-p代表使用的协议为tcp，--dport代表端口为80，-j代表使用DROP还是ACCEPT，DROP为拒绝

这句话的意思为拒绝tcp协议端口为80的数据包进入，而通常http使用的端口为80，所以此时本机访问http服务80时被拒绝。

（3）FORWARD和前两种方式一样，只不过是经过的数据包。

当然以上缺省规则为INPUT/OUTPUT/FORWARD为ACCEPT时。

（4）自定义链的规则

4.存储与恢复iptables的规则

因为上面设置规则后，重启则规则失效，所以要将其存储起来。使用命令 iptables-save >存储文件名

 

存入文件iptables .up.rules中了，当电脑重启时再使用命令iptables-restore <存储文件名

如果觉得麻烦当然也可以在配置文件中加入sudo gedit  /etc/network/interfaces

5.清除iptables的规则

（1）清除预设表中的所有规则链的规则

iptables -F

运行此后，所有的规则链（包括自定义链和三种链）都被清空

（2）清除预设表filter中使用者自定链（即除了INPUT/OUTPUT/FORWARD链）中的规则

iptables -X

（3）清除单条规则和前面第三节的添加规则相同，这里把-A添加改为-D即可删除已经设置了的规则

iptables -D OUTPUT -p tcp --dport 80 -j DROP