Linux上iptables防火墙的基本应用教程
本文来源：http://www.344978.com/www_shuhai_com/申博菲律宾太阳城88,（文/17173VR-鬼才肉兔几）VR游戏下载、新游推荐、福利，尽在！《VR女友》——用双眼捍卫女友全身的每一寸领土！可食用部位：全身《VR女友》是一款科普教育向的VR游戏，非常适合每位梦想着给小萝莉检查身体的老司机们食用，通过这款游戏，你将了解少女这个物种的身体是由哪些部位构成的，害羞紧张的时候胸部是如何颤动的，双腿并拢的时候有哪些肌肉是一起协同工作的。终于在昨天，苹果(中国)有限公司的官方网站上，对iPhone6s意外关机作出了答复：称启动iPhone6s意外关机问题计划，符合条件可免费换电池。为了更好的落地体验式终端，抠抠实施优质品牌战略合作的产品规划。 这一研究中心已经成为国内首屈一指的政府网站大数据中心。
纵观这两年来各大电商平台在农村市场的布局，其中基础服务设施搭建和数据的收集，是电商的努力方向。Moskito于今日登陆Kickstarter网站开始众筹。哎呀痛不欲生啊！但是三年过去，真叫是牛肉马皮了，不怕咬了。习近平总书记在今年5月30日“科技三会”上强调，浩瀚的空天还有许多未知的奥秘有待探索，必须推动空间科学、空间技术、空间应用全面发展。
《特朗普的真实面目》作者迈克尔称，特朗普无法忍受奥巴马对他的奚落，他胸中燃起了欲望之火，要在2016年从奥巴马手中夺走白宫的钥匙，以弥补遭这位首位非洲裔总统的侮辱。 现在，有越来越多国家制定登月计划，对美国来说，重返月球不仅会带来地缘政治上的好处；从经济上来说也更加可行。■《中国日报美国版》：创刊于2009年，周一至周四每天出版16版，周五出版20版，发行至美国政府机构及议会、高端智库、重点大学、主要金融机构、跨国公司和包括联合国在内的众多国际组织。你可能天赋异禀，潮吹过几次，但你听说过抑制潮吹吗？来听听作者的感受吧。
只是索尼让这种设计更精致，用同事的说法是高级了许多。但对于蝙蝠侠系列电影的创始人和制片人迈克尔·奥斯兰(MichaelUslan)来说，大家也许还有些陌生。这场拍卖会将会成为一个历史事件，法拉利股份公司的慷慨将改变受灾地区人人们的生活。但也正因为如此，干衣机才被视作新的增长点，尤其在洗衣机进入调整期的背景下。
iptables是Linux上常用的防火墙软件，下面申博菲律宾太阳城88给大家说一下iptables的安装、清除iptables规则、iptables只开放指定端口、iptables屏蔽指定ip、ip段及解封、删除已添加的iptables规则、设置iptables开机启动等iptables的基本应用。
1、安装iptables防火墙
如果没有安装iptables需要先安装，CentOS执行：
yum install iptables-services -y #CentOS7需安装此iptables的service软件包#
CentOS 7上默认安装了firewalld建议关闭并禁用：
systemctl mask firewalld
Debian/Ubuntu执行：
apt-get install iptables-persistent -y #持久化iptables规则服务#
2、清除已有iptables规则
iptables -X
iptables -Z
3、开放指定的端口
-A和-I参数分别为添加到规则末尾和规则最前面。
iptables -A INPUT -i lo -j ACCEPT
# 允许已建立的或相关连的通行
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
iptables -A OUTPUT -j ACCEPT
# 允许访问22端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#允许访问80端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#允许访问443端口
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
#允许FTP服务的21和20端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
#如果有其他端口的话，规则也类似，稍微修改上述语句就行
#允许ping
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
#禁止其他未允许的规则访问
iptables -A INPUT -j REJECT ?#（注意：如果22端口未加入允许规则，SSH链接会直接断开。）
iptables -A FORWARD -j REJECT
4、屏蔽IP
#屏蔽单个IP的命令是
iptables?-I?INPUT?-s 123.45.6.7 -j?DROP
#封整个段即从123.0.0.1到123.255.255.254的命令
iptables?-I?INPUT?-s 123.0.0.0/8?-j?DROP
#封IP段即从123.45.0.1到123.45.255.254的命令
iptables?-I?INPUT?-s 124.45.0.0/16?-j?DROP
#封IP段即从123.45.6.1到123.45.6.254的命令是
iptables?-I?INPUT?-s?123.45.6.0/24?-j?DROP
5、屏蔽或允许某IP访问指定端口
iptables?-I?INPUT?-s 123.45.6.7 -p tcp --dport 22 -j?DROP
#允许某IP访问指定端口，以22端口为例命令是
iptables -I INPUT -p tcp --dport 22 -j DROP
iptables?-I?INPUT?-s 123.45.6.7 -p tcp --dport 22 -j?ACCEPT
6、查看已添加的iptables规则
v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M） 申博菲律宾太阳城88
n：只显示IP地址和端口号，不将ip解析为域名
7、删除已添加的iptables规则
将所有iptables以序号标记显示，执行：
比如要删除INPUT里序号为8的规则(要删除OUTPUT的话就改成OUTPUT，以此类推)，执行：
8、iptables的开机启动及规则保存
有可能系统并未安装iptables的service文件，可以先执行：
进行安装。
CentOS上可能会存在安装好iptables后，iptables并不开机自启动，可以执行一下：
CentOS7可执行：
有可能系统并未安装iptables的service文件，可以执行：
将其加入开机启动。
CentOS上可以执行：service iptables save保存规则。
另外更需要注意的是Debian/Ubuntu上iptables是不会保存规则的，也是前面说的持久化iptables规则。
需要先执行一下，安装持久化脚本：
Debian或Ubuntu 16.04或更高版本执行：/etc/init.d/netfilter-persistent save 可以进行保存规则，/etc/init.d/netfilter-persistent reload 可以将规则生效。
Ubuntu 14.04之前版本执行：/etc/init.d/iptables-persistent save 可以进行保存规则，/etc/init.d/iptables-persistent reload 可以将规则生效。
开机启动的话执行：systemctl enable netfilter-persistent.service 或 systemctl enable iptables-persistent.service
这样就完成了Debian或Ubuntu下的关机自动保存规则，开机自动加载规则的设置。
需要按如下步骤进行，让网卡关闭是保存iptables规则，启动时加载iptables规则：
创建/etc/network/if-post-down.d/iptables 文件，添加如下内容：
执行：chmod +x /etc/network/if-post-down.d/iptables 添加执行权限。
创建/etc/network/if-pre-up.d/iptables 文件，添加如下内容：
执行：chmod +x /etc/network/if-pre-up.d/iptables 添加执行权限。
关于更多的iptables的使用方法可以执行：iptables --help或网上搜索一下iptables参数的说明。
如有问题欢迎在本文下留言或到申博菲律宾太阳城88VPS论坛反馈。
原创文章，谢绝转载！
>>转载请注明出处：申博菲律宾太阳城88 本文链接地址：/www_vpser_net/security/linux-iptables.html
@琦Gor, 不清楚你要具体远程访问什么，请到论坛 /bbs_vpser_net 反馈具体要求和描述问题
按顺序执行了 1、2、3、8步骤，还是不能访问远程，21和80都可以访问，lnmp环境
是 nginx
@多多, 什么环境，lnmpa吗
军哥 执行这个 TCP连接查看命令 为什么有127.0.0.1 那么多连接 还有隐藏的连接 这个是什么鬼啊
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
77 163.179.54.186
83 183.184.163.85
87 121.31.6.39
92 106.119.193.134
95 222.140.91.19
119 171.117.26.52
124 91.121.109.55
5875
6537 127.0.0.1
@Javen, 一个是ip，一个是ip段，封ip段可能会有误伤
请问，我想封某个人的ip，是封他的单个ip，还是封0/24, or 0/16好呢？后两者对他而言有什么区别？
@korol, iptables -L -n看一下规则
请问开启了防火墙后，php curl_exec（）函数用不了，短信不能发出去，防火墙我就设置允许的几个端口
@sun, 这个没办法
想封掉所有的视频，应该从那个方向解决，求指导。
@repiankk, 和上面其他一般规则是一样的，端口改成端口范围就行了iptables -A INPUT -p tcp --dport 20000:30000 -j ACCEPT
现在ping好了。。。ftp链接不上了，目录出不来,显示链接被同位体重置。。。求添加被动端口的命令
@repiankk, 肯定和你之前有其他规则或不是完整的按本教程添加的
#允许ping
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT 这条没用