深入理解 iptables：Linux 防火墙从入门到精通

最新推荐文章于 2025-08-26 09:48:45 发布
最新推荐文章于 2025-08-26 09:48:45 发布
阅读量428 收藏 6
点赞数 17
CC 4.0 BY-SA版权
文章标签： 网络 linux 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kirito0000/article/details/150779883

前言

一、iptables 核心概念解析

1.1 Netfilter 与 iptables 的关系

核心区别：

1.2 iptables 的工作原理

二、iptables 的表与链架构详解

2.1 四张表的功能与作用

2.2 五条链的处理时机

2.3 数据包处理流程详解

规则表优先级顺序：

三种数据流向：

规则匹配机制：

三、iptables 实战配置指南

3.1 环境准备与安装

在 CentOS/RHEL 7+ 中切换至 iptables：

3.2 基础语法结构

注意事项：

3.3 常用控制类型说明

3.4 规则管理实战示例

查看现有规则：

添加规则示例：

删除和清空规则：

设置默认策略：

3.5 高级匹配条件详解

通用匹配：

隐含匹配（需指定协议）：

显式匹配（使用扩展模块）：

3.6 实用配置案例

基础服务器保护：

NAT 转发配置（网关服务器）：

防止常见攻击：

四、维护与故障排除

4.1 规则保存与恢复

4.2 常见问题排查

4.3 监控与日志分析

五、相关参数表

表选择参数

规则管理选项

查看选项

 基本匹配条件

 基本动作

结语

前言

在当今互联网环境中，企业通过各种应用系统（如 Web 服务器、电子邮件系统、FTP 服务、数据库系统等）为用户提供网络服务。然而，网络安全威胁日益增多，如何有效保护这些服务器，过滤不必要的访问甚至恶意入侵，成为了每个系统管理员必须面对的问题。

Linux 系统中的防火墙工具——iptables，正是解决这一问题的强大武器。本文将深入介绍 iptables 的基本概念、表链结构、数据包处理流程以及详细的规则配置方法，帮助你构建坚实可靠的网络防护体系。

一、iptables 核心概念解析

1.1 Netfilter 与 iptables 的关系

Linux 防火墙功能主要由 Netfilter 组件提供，这是一个集成在内核中的子系统，负责实际的数据包过滤和处理工作。

核心区别：

  • Netfilter：工作在内核空间（Kernel Space），是实际的防火墙功能体系，由一系列信息包过滤表组成，包含内核用来控制信息包过滤处理的规则集。

  • iptables：工作在用户空间（User Space），是管理防火墙规则的命令行工具，位于 /sbin/iptables，用于插入、修改和删除数据包过滤表中的规则。

简单理解：Netfilter 是引擎，iptables 是方向盘和操控台。

1.2 iptables 的工作原理

iptables 工作在网络层，针对 TCP/IP 数据包实施过滤和限制，属于典型的包过滤防火墙。它会对请求的数据包头部信息进行分析，根据预设的规则进行匹配，决定数据包的命运（放行、拒绝或修改）。

二、iptables 的表与链架构详解

2.1 四张表的功能与作用

iptables 包含四个内置表，每个表都有其特定的用途：

表名功能描述包含的链
raw决定是否对数据包进行状态跟踪OUTPUT, PREROUTING
mangle修改数据包内容，用于流量整形INPUT, OUTPUT, FORWARD, PREROUTING, POSTROUTING
nat网络地址转换，修改源/目标IP或端口OUTPUT, PREROUTING, POSTROUTING
filter过滤数据包，决定是否放行（最常用）INPUT, FORWARD, OUTPUT

2.2 五条链的处理时机

链名处理时机典型应用
INPUT处理目标为本机的数据包保护本机服务
OUTPUT处理本机发出的数据包控制出站流量
FORWARD处理经本机转发的数据包路由器功能
PREROUTING路由选择前处理数据包DNAT（目的地址转换）
POSTROUTING路由选择后处理数据包SNAT（源地址转换）

2.3 数据包处理流程详解

规则表优先级顺序：
raw` → `mangle` → `nat` → `filter
三种数据流向：

  1. 入站数据流（目标为本机）：

    text

    PREROUTING → INPUT → 应用程序

  2. 出站数据流（本机发出）：

    text

    应用程序 → OUTPUT → POSTROUTING

  3. 转发数据流（经本机转发）：

    text

    PREROUTING → FORWARD → POSTROUTING
规则匹配机制：

  • 自上而下逐条匹配，遵循"匹配即停止"原则

  • LOG 操作是个例外，记录日志后继续匹配下一条规则

  • 若无匹配规则，则执行链的默认策略（默认通常为 ACCEPT）

三、iptables 实战配置指南

3.1 环境准备与安装

在 CentOS/RHEL 7+ 中切换至 iptables：

bash

# 停止并禁用 firewalld
systemctl stop firewalld
systemctl disable firewalld
​
# 安装 iptables 服务
yum install -y iptables iptables-services
​
# 启动并设置开机自启
systemctl start iptables
systemctl enable iptables
​
# 保存当前规则
service iptables save

3.2 基础语法结构

bash

iptables [-t 表名] 管理选项 [链名] [匹配条件] [-j 控制类型]
注意事项：

  • 不指定表名时，默认为 filter 表

  • 不指定链名时，默认为表内的所有链

  • 选项、链名、控制类型使用大写字母

  • 除非设置链的默认策略，否则必须指定匹配条件

3.3 常用控制类型说明

控制类型说明使用场景
ACCEPT允许数据包通过放行合法流量
DROP直接丢弃数据包静默拒绝访问
REJECT拒绝并发送响应明确拒绝访问
LOG记录日志信息调试和审计
SNAT修改源地址出口地址转换
DNAT修改目的地址入口地址转换
MASQUERADE动态IP伪装拨号网络环境

3.4 规则管理实战示例

查看现有规则：

bash

# 查看 filter 表所有规则（带编号）
iptables -L -n --line-numbers
​
# 查看 nat 表规则（数字格式显示）
iptables -t nat -nL
​
# 查看详细计数信息
iptables -vnL
添加规则示例：

bash

# 允许 SSH 连接（插入到第2条位置）
iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT
​
# 允许本地回环接口
iptables -A INPUT -i lo -j ACCEPT
​
# 允许已建立的连接和相关的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
​
# 拒绝所有 ping 请求
iptables -A INPUT -p icmp --icmp-type 8 -j DROP
删除和清空规则：

bash

# 按编号删除规则
iptables -D INPUT 3
​
# 按内容删除规则
iptables -D INPUT -p tcp --dport 80 -j ACCEPT
​
# 清空所有规则（慎用！）
iptables -F
​
# 清空特定表的规则
iptables -t nat -F
设置默认策略：

bash

# 设置默认拒绝所有入站连接
iptables -P INPUT DROP
​
# 设置默认允许所有出站连接
iptables -P OUTPUT ACCEPT
​
# 设置默认拒绝所有转发
iptables -P FORWARD DROP

重要提示：设置默认策略为 DROP 前，务必先放行必要的管理连接（如 SSH），否则可能导致无法远程管理服务器！

3.5 高级匹配条件详解

通用匹配：

bash

# 基于源地址匹配
iptables -A INPUT -s 192.168.1.100 -j DROP
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
​
# 基于目标地址匹配
iptables -A OUTPUT -d 10.0.0.0/8 -j DROP
​
# 基于网络接口匹配
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth1 -j ACCEPT
​
# 基于协议匹配
iptables -A INPUT -p tcp -j ACCEPT
iptables -A INPUT -p udp -j ACCEPT
iptables -A INPUT -p icmp -j DROP
隐含匹配（需指定协议）：

bash

# 端口匹配
iptables -A INPUT -p tcp --dport 80 -j ACCEPT    # 目的端口
iptables -A INPUT -p udp --sport 53 -j ACCEPT    # 源端口
​
# 端口范围匹配
iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -A INPUT -p tcp --dport 1000:2000 -j ACCEPT
​
# ICMP 类型匹配
iptables -A INPUT -p icmp --icmp-type 8 -j DROP      # 禁止 ping
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT    # 允许 ping 回复
显式匹配（使用扩展模块）：

bash

# 多端口匹配
iptables -A INPUT -p tcp -m multiport --dports 22,80,443 -j ACCEPT
​
# IP 范围匹配
iptables -A FORWARD -p tcp -m iprange --src-range 192.168.1.100-192.168.1.200 -j DROP
​
# MAC 地址匹配
iptables -A INPUT -m mac --mac-source 00:1A:2B:3C:4D:5E -j DROP
​
# 连接状态匹配（最常用）
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT
​
# 限制连接速率
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT

3.6 实用配置案例

基础服务器保护：

bash

# 清空所有规则
iptables -F
​
# 设置默认策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
​
# 允许本地回环
iptables -A INPUT -i lo -j ACCEPT
​
# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
​
# 开放必要端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT    # SSH
iptables -A INPUT -p tcp --dport 80 -j ACCEPT    # HTTP
iptables -A INPUT -p tcp --dport 443 -j ACCEPT   # HTTPS
​
# 允许 ICMP (ping)
iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 1/second -j ACCEPT
​
# 记录并拒绝其他所有入站连接
iptables -A INPUT -j LOG --log-prefix "IPTABLES-DROP: "
iptables -A INPUT -j DROP
NAT 转发配置（网关服务器）：

bash

# 启用 IP 转发
echo 1 > /proc/sys/net/ipv4/ip_forward
​
# SNAT：内网通过公网IP上网
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
​
# DNAT：将公网IP端口映射到内网服务器
iptables -t nat -A PREROUTING -d 公网IP -p tcp --dport 80 -j DNAT --to-destination 192.168.0.100:80
iptables -t nat -A PREROUTING -d 公网IP -p tcp --dport 22 -j DNAT --to-destination 192.168.0.101:22
防止常见攻击：

bash

# 防止 SYN 洪水攻击
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT
​
# 防止 Ping 洪水攻击
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
​
# 阻止无效数据包
iptables -A INPUT -m state --state INVALID -j DROP
​
# 防止端口扫描
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

四、维护与故障排除

4.1 规则保存与恢复

bash

# 保存当前规则（CentOS 6/7）
service iptables save
# 或
iptables-save > /etc/sysconfig/iptables
​
# 恢复规则
iptables-restore < /etc/sysconfig/iptables
​
# 备份规则
iptables-save > iptables-backup-$(date +%Y%m%d).rules

4.2 常见问题排查

  1. 规则不生效：检查规则顺序，确认没有更早的匹配规则

  2. 无法远程连接：检查是否误删了 SSH 规则

  3. 服务无法访问：确认相关端口的规则已正确配置

  4. 性能问题：将常用规则放在前面，减少匹配时间

4.3 监控与日志分析

bash

# 查看实时日志
tail -f /var/log/messages | grep IPTABLES
​
# 统计规则匹配次数
iptables -L -v -n
​
# 重置计数器
iptables -Z

五、相关参数表

表选择参数

参数说明示例
-t filter过滤表（默认）iptables -t filter -L
-t nat网络地址转换表iptables -t nat -L
-t mangle包修改表iptables -t mangle -L
-t raw原始数据包表iptables -t raw -

规则管理选项

选项说明示例
-A在链尾追加规则iptables -A INPUT -p tcp --dport 80 -j ACCEPT
-I在指定位置插入规则iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT
-D删除规则iptables -D INPUT 3
-R替换规则iptables -R INPUT 1 -p tcp --dport 80 -j DROP
-F清空链中所有规则iptables -F INPUT
-Z清空计数器iptables -Z INPUT
-N创建新链iptables -N MY_CHAIN
-X删除自定义空链iptables -X MY_CHAIN
-P设置链默认策略iptables -P INPUT DROP

查看选项

选项说明示例
-L列出规则iptables -L
-n数字格式显示iptables -nL
-v详细信息显示iptables -vL
--line-numbers显示规则行号iptables -L --line-numbers
-x显示精确计数值iptables -L -x
--modprobe自动加载模块iptables --modprobe=ip_tables -L

 基本匹配条件

参数说明示例
-p协议匹配-p tcp, -p udp, -p icmp, -p all
-s源地址匹配-s 192.168.1.1, -s 192.168.1.0/24
-d目标地址匹配-d 10.0.0.1, -d 10.0.0.0/8
-i入站网卡匹配-i eth0, -i lo
-o出站网卡匹配-o eth1, -o ppp0
-m加载扩展模块-m state, -m multiport

 基本动作

动作说明示例
ACCEPT接受数据包-j ACCEPT
DROP丢弃数据包-j DROP
REJECT拒绝并发送错误-j REJECT
RETURN返回调用链-j RETURN
LOG记录日志-j LOG

结语

iptables 是 Linux 系统中功能强大、灵活性高的防火墙工具，通过深入理解其表链结构、数据包处理流程和规则配置方法，你可以构建出适合各种场景的网络安全防护体系。

在实际应用中，建议遵循"最小权限原则"，只开放必要的服务和端口，定期审查和优化防火墙规则，结合日志监控和分析，不断提升网络安全性。

東雪蓮☆
关注
Linux 命令从入门到精通：博客系列开篇
吻等离子的博客
07-09 315
《Linux命令从入门到精通》系列教程提供12章核心内容+3篇附录，系统讲解Linux命令行操作。从基础命令、文件管理到系统运维、性能优化，涵盖pwd/ls等基础操作，grep/sed/awk文本处理三剑客，进程/网络/服务管理，以及Shell脚本编写和安全防护。适合零基础用户到专业开发者学习，配套速查表、学习资源和实战练习。完整教程地址：https://blog.csdn.net/qq_43445867/category_12251248.html
Ubuntu零基础入门到精通【6.2讲】：防火墙配置？教你如何一文学会！
**My Coding Family**
11-07 916
一说到防火墙，你脑海里是不是立刻浮现出黑漆漆的代码屏幕？严肃，难懂，还让人头疼？嘿嘿，UFW 的出现就是来打破这种“阴霾”的！简单！就像给系统建个“流量大门”，不该进的拦住、该进的让行，不用费劲琢磨复杂的iptables语法（除非你真的很享受这折腾😅）。今天我们就要好好玩玩 UFW 的基本规则配置、端口开放和服务白名单，轻轻松松让你的系统站在安全的制高点！本文将把 Ubuntu 的防火墙配置“玩得透透的”，从 UFW 的入门到高级规则，再到开放端口和设置白名单服务，都一一带你“实战操作”。
Linux 防火墙从入门到精通
最新发布
Made In SQL
08-26 463
iptables 是 Linux 系统自带的用户空间防火墙工具，它提供了强大的网络包过滤功能。作为 Linux 内核网络堆栈的重要组成部分，iptables 允许系统管理员通过定义规则链（chains）来配置内核提供的网络包过滤规则，实现对网络流量的精细控制。iptables 是 netfilter 项目的一部分，该项目提供了 Linux 内核中的网络过滤框架。随着 Linux 内核的发展，iptables 正在逐步被 nftables 取代，但目前仍然是大多数 Linux 发行版的默认防火墙解决方案。
Linux：从入门到精通
YunWisdom
07-28 2431
欢迎来到 Linux 的世界，一片由代码、思想与自由精神共同构筑的广袤大陆。本书不仅仅是一本指引你穿行于此的技术地图，更是一次深入数字世界核心的探索之旅。在这里，你将学到的不只是 ls、grep 或 docker 等命令，更是其背后化繁为简的设计哲学、聚沙成塔的协作精神，以及掌控自我数字命运的强大力量。我们选择稳定而优雅的 Ubuntu LTS 作为起点，从轻点鼠标的图形界面，到驰骋自-如的命令行，再到构建复杂的网络服务。本书将引领你循序渐进，将理论与实践紧密结合，让你在动手操作中领悟精髓。
Linux 从入门到精通：基础知识
grammer_du的博客
04-30 325
Linux 是一种自由和开放源码的系统，存在着许多不同的 Linux 版本，但它们都使用了 Linux 内核。Linux 可以安装在各种计算机硬件设备中，如手机、平板电脑、路由器、台式计算机等。
Linux课件：从入门到精通，通俗易懂
weixin_42629522的博客
05-07 843
Linux是一个多用户、多任务的操作系统，以其稳定、安全、高效而闻名。本章将向读者介绍Linux的基本概念，包括其起源、核心组件和一些基本操作系统的概念，为接下来更深入的学习打下坚实的基础。Debian及其衍生版，比如Ubuntu，广泛使用高级包工具（APT）进行软件包的管理。APT系统是一个高效且用户友好的命令行界面工具，允许用户轻松安装、更新、配置和删除软件包。其核心是APT的仓库，里面包含了大量可以下载和安装的软件包。
Linux从入门到精通的必由之路
[byte轻骑兵] 的技术小窝！
09-14 1377
Linux从入门到精通的必由之路 Linux学习之旅始于基础安装与操作，掌握命令行界面、文件管理、用户权限等核心技能。随后，进阶至软件包管理、网络服务配置、Shell脚本编程等高级功能。精通之路则需深入理解系统性能优化、内核编译调试、虚拟化与容器化技术，以及自动化运维等高级主题。每一步都需实践与理论相结合，不断挑战自我，方能实现从入门到精通的蜕变。
Netfilter和iptables命令详解，从入门到精通
meihualing的专栏
05-09 3378
iptables命令详解
Linux 从入门到精通
Lyndon的专栏
06-29 1650
Linux命令大全
2005详细介绍Linux从入门到精通.rar_html_linux从入门到精通
09-20
"Linux从入门到精通"这个主题涵盖了从安装Linux系统、理解基本命令行操作到高级系统管理的所有知识。在Red Hat方面，它是全球领先的开源解决方案提供商，其Red Hat Enterprise Linux（RHEL）是企业级服务器市场中的...
Linux从入门到精通(第2版)PPT-刘忆智课件
02-11
本课件“Linux从入门到精通(第2版)PPT-刘忆智”旨在帮助初学者深入理解Linux系统，掌握其核心概念、基本操作和高级应用。以下是基于该课程内容可能涵盖的一些主要知识点： 1. **Linux历史与哲学**：了解Linux的起源...
【网络安全从入门到精通】：iptables的全面防火墙配置指南
[【网络安全从入门到精通】：iptables的全面防火墙配置指南](https://www.globo.tech/learning-center/wp-content/uploads/2014/05/Linux-Iptables-firewall-schema.png) # 1. iptables防火墙概述 在信息时代，数据...
掌握Redhat Linux9：从入门到精通快速指南
学习如何配置防火墙（使用`iptables`）、设置用户权限（使用`chmod`、`chown`等命令）、以及了解SELinux（Security Enhanced Linux）的安全策略对于构建一个安全的系统环境非常重要。 ### 脚本编写与自动化 自动化...
三格电子——ModbusTCP 转 Profinet 主站网关应用实例
SANGEDZ_YYDS的博客
08-22 541
ModbusTCPClient 通过 ModbusTCP 控制 Profinet 接口设备， Profinet 接口设备接入DCS/工控机等。 产品是ModbusTCP和Profinet(M)网关（以下简称网关），使用数据映射 方式工作。 本产品在ModbusTCP侧作为ModbusTCP从站，接PLC、上位机、wincc屏 等；在Profinet 侧做为Profinet 主站控制器，接Profinet设备，如伺服驱动器。
误点钓鱼邮件后的完整处置流程与深度分析指南
Liu_Bruce的博客
08-22 1046
钓鱼攻击是渗透的起点，初始访问的利器。本文将以一名安全工程师的视角，详细梳理从接到报告到闭环的完整应急响应流程，并分享一些实用的分析技巧与工具。处理钓鱼邮件事件是对安全工程师综合能力的考验，它涉及沟通、取证、分析和处置等多个环节。遵循一个清晰的流程（）是成功响应的关键。保持冷静，胆大心细，每一次应急响应都是提升企业安全防护能力的宝贵机会。标签：#网络安全 #应急响应 #钓鱼攻击 #数字取证 #恶意软件分析。希望这篇详尽的指南能对您和您的团队有所帮助。将受影响的主机视为“犯罪现场”，进行规范的数字取证。
十分钟速通堆叠
ACL
08-21 785
摘要：交换机堆叠技术通过将多台设备逻辑整合为单一管理单元，提升网络可靠性和扩展性。盒式交换机采用堆叠，框式交换机采用集群。堆叠ID标识设备槽位，优先级决定主备角色，逻辑接口需方向对应（1口对2口）。支持链形和环形拓扑，可通过堆叠卡或业务口实现。堆叠分裂时采用MAD机制检测冲突，失败方端口关闭。升级方式包括智能同步、传统重启和平滑分区升级。H3C设备配置示例展示了环形堆叠、BFD检测和分步升级流程，强调操作时序对业务连续性的重要性。
Vmware虚拟机 处理器配置选项配置介绍
m0_57249200的博客
08-23 909
vmware 虚拟机 处理器 和网络功能配置介绍
linux下的网络编程：基础概念+UDP编程
2402_85476687的博客
08-23 691
目的：实现不同主机，进程间的通信。
计算机网络
士心凡
08-24 711
是整个。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值