【iptables命令详解】iptables 是 Linux 系统中用于配置网络数据包过滤规则的重要工具，广泛应用于防火墙设置、流量控制和安全策略管理。它通过定义规则链（Chain）来对数据包进行处理，包括允许、拒绝、丢弃等操作。以下是对 iptables 命令的详细总结。
一、iptables 基本概念
| 概念 | 说明 |
| 表（Table） | iptables 有四个默认表：`filter`、`nat`、`mangle`、`raw`，分别用于不同的功能。 |
| 链（Chain） | 每个表包含多个链，如 `INPUT`、`OUTPUT`、`FORWARD` 等，表示数据包经过的不同路径。 |
| 规则（Rule） | 每条规则定义了匹配条件和处理动作，例如允许或拒绝某个 IP 的访问。 |
| 匹配条件（Match） | 如源地址、目标地址、端口、协议等，用于判断是否符合规则。 |
| 目标（Target） | 规则匹配后执行的动作，如 `ACCEPT`、`DROP`、`REJECT`、`LOG` 等。 |
二、常用命令及作用
| 命令 | 说明 |
| `iptables -L` | 列出当前所有规则。 |
| `iptables -n` | 以数字形式显示 IP 和端口，不解析主机名。 |
| `iptables -v` | 显示详细信息，包括数据包计数和字节数。 |
| `iptables -A INPUT -s 192.168.1.100 -j DROP` | 在 INPUT 链中添加一条规则，拒绝来自 192.168.1.100 的数据包。 |
| `iptables -D INPUT -s 192.168.1.100 -j DROP` | 删除指定的规则。 |
| `iptables -I INPUT -p tcp --dport 22 -j ACCEPT` | 在 INPUT 链顶部插入一条规则，允许 SSH 连接。 |
| `iptables -F` | 清空所有规则。 |
| `iptables -X` | 删除用户自定义的链。 |
| `iptables -P INPUT DROP` | 设置默认策略为丢弃。 |
三、iptables 表与链的关系
| 表（Table） | 链（Chain） | 用途 |
| filter | INPUT, OUTPUT, FORWARD | 默认表，用于过滤数据包。 |
| nat | PREROUTING, POSTROUTING, OUTPUT | 用于网络地址转换（NAT）。 |
| mangle | PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING | 用于修改数据包头部信息。 |
| raw | PREROUTING, OUTPUT | 用于标记数据包，避免被连接跟踪机制处理。 |
四、常见使用场景
| 场景 | 示例命令 |
| 允许 SSH 访问 | `iptables -A INPUT -p tcp --dport 22 -j ACCEPT` |
| 拒绝特定 IP 访问 | `iptables -A INPUT -s 192.168.1.200 -j DROP` |
| 允许 HTTP 流量 | `iptables -A INPUT -p tcp --dport 80 -j ACCEPT` |
| 开放本地回环接口 | `iptables -A INPUT -i lo -j ACCEPT` |
| 限制访问频率 | 使用 `iptables -m limit` 模块设置速率限制 |
五、注意事项
- 修改规则后，建议保存配置，否则重启后会丢失。
- 可使用 `iptables-save` 和 `iptables-restore` 命令进行备份与恢复。
- 避免设置过严格的默认策略，以免误操作导致系统无法访问。
- 对于生产环境，建议结合 `firewalld` 或 `ufw` 工具进行更高级的管理。
六、总结
iptables 是 Linux 系统中强大的防火墙工具，掌握其基本语法和常用命令对于系统管理员至关重要。通过合理配置规则链，可以有效提升系统的安全性与稳定性。在实际应用中，应结合具体需求灵活使用，并注意规则的顺序与优先级，避免冲突或遗漏。
如需进一步了解 iptables 的进阶用法（如状态检测、日志记录、NAT 转换等），可参考官方文档或相关技术书籍。
