Linux防火墙：iptables禁IP与解封IP常用命令

在Linux下，使用ipteables来维护IP规则表。要封停或者是解封IP，其实就是在IP规则表中对入站部分的规则进行添加操作。

要封停一个IP，使用下面这条命令：

iptables -I INPUT -s ***.***.***.*** -j DROP

要解封一个IP，使用下面这条命令：

1. iptables –D INPUT –s ***.***.***.*** –j DROP

参数-I是表示Insert（添加），-D表示Delete（删除）。后面跟的是规则，INPUT表示入站，***.***.***.***表示要封停的IP，DROP表示放弃连接。

此外，还可以使用下面的命令来查看当前的IP规则表：

1. iptables –list

比如现在要将123.44.55.66这个IP封杀，就输入：

1. iptables –I INPUT –s 123.44.55.66 –j DROP

要解封则将-I换成-D即可，前提是iptables已经有这条记录。如果要想清空封掉的IP地址，可以输入：

1. iptables –flush

要添加IP段到封停列表中，使用下面的命令：

1. iptables –I INPUT –s 121.0.0.0/8 –j DROP

其实也就是将单个IP封停的IP部分换成了Linux的IP段表达式。关于IP段表达式网上有很多详细解说的，这里就不提了。

相信有了iptables的帮助，解决小的DDoS之类的攻击也不在话下！

附：其他常用的命令

编辑 iptables 文件

1. vi /etc/sysconfig/iptables

关闭/开启/重启防火墙

1. /etc/init.d/iptables stop
2.  
3. #start 开启
4.  
5. #restart 重启

验证一下是否规则都已经生效：

1. iptables –L

保存并重启iptables

1. /etc/rc.d/init.d/iptables save
2. service iptables restart

linux下实用iptables封ip段的一些常见命令：

封单个IP的命令是：

1. iptables –I INPUT –s 211.1.0.0 –j DROP

封IP段的命令是：

1. iptables –I INPUT –s 211.1.0.0/16 –j DROP
2. iptables –I INPUT –s 211.2.0.0/16 –j DROP
3. iptables –I INPUT –s 211.3.0.0/16 –j DROP

封整个段的命令是：

1. iptables –I INPUT –s 211.0.0.0/8 –j DROP

封几个段的命令是：

1. iptables –I INPUT –s 61.37.80.0/24 –j DROP
2. iptables –I INPUT –s 61.37.81.0/24 –j DROP

想在服务器启动自运行的话有三个方法：

1、把它加到/etc/rc.local中

2、iptables-save >;/etc/sysconfig/iptables可以把你当前的iptables规则放到/etc/sysconfig/iptables中，系统启动iptables时自动执行。

3、service iptables save 也可以把你当前的iptables规则放/etc/sysconfig/iptables中，系统启动iptables时自动执行。

后两种更好此，一般iptables服务会在network服务之前启来，更安全。

解封的话：
iptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了

Linux防火墙Iptable如何设置只允许某个ip访问80端口，只允许特定ip访问某端口？参考下面命令，只允许46.166.150.22访问本机的80端口。如果要设置其他ip或端口，改改即可。

1. iptables –I INPUT –p TCP –dport 80 –j DROP
2. iptables –I INPUT –s 46.166.150.22 –p TCP –dport 80 –j ACCEPT

在root用户下执行上面2行命令后，重启iptables， service iptables restart

查看iptables是否生效：

1. [root@www.xxx.com]# iptables -L
2. Chain INPUT (policy ACCEPT)
3. target           prot opt source               destination
4. ACCEPT     tcp  –  46.166.150.22    anywhere            tcp dpt:http
5. DROP         tcp  –  anywhere             anywhere            tcp dpt:http
6.  
7. Chain FORWARD (policy ACCEPT)
8. target     prot opt source               destination
9.  
10. Chain OUTPUT (policy ACCEPT)
11. target     prot opt source               destination

上面命令是针对整个服务器（全部ip）禁止80端口，如果只是需要禁止服务器上某个ip地址的80端口，怎么办？

下面的命令是只允许来自174.140.3.190的ip访问服务器上216.99.1.216的80端口

1. iptables –A FORWARD –s 174.140.3.190 –d 216.99.1.216 –p tcp –m tcp –dport 80 –j ACCEPT
2. iptables –A FORWARD –d 216.99.1.216 –p tcp –m tcp –dport 80 –j DROP

更多iptables参考命令如下：

1.先备份iptables

1. # cp /etc/sysconfig/iptables /var/tmp

需要开80端口，指定IP和局域网

下面三行的意思：

先关闭所有的80端口

开启ip段192.168.1.0/24端的80口

开启ip段211.123.16.123/24端ip段的80口

1. # iptables -I INPUT -p tcp –dport 80 -j DROP
2. # iptables -I INPUT -s 192.168.1.0/24 -p tcp –dport 80 -j ACCEPT
3. # iptables -I INPUT -s 211.123.16.123/24 -p tcp –dport 80 -j ACCEPT

以上是临时设置。

2.然后保存iptables

1. # service iptables save

3.重启防火墙

1. #service iptables restart

===============以下是转载================================================

以下是端口，先全部封再开某些的IP

1. iptables –I INPUT –p tcp –dport 9889 –j DROP
2. iptables –I INPUT –s 192.168.1.0/24 –p tcp –dport 9889 –j ACCEPT

如果用了NAT转发记得配合以下才能生效

1. iptables –I FORWARD –p tcp –dport 80 –j DROP
2. iptables –I FORWARD –s 192.168.1.0/24 –p tcp –dport 80 –j ACCEPT

常用的IPTABLES规则如下：
只能收发邮件，别的都关闭

1. iptables –I Filter –m mac –mac–source 00:0F:EA:25:51:37 –j DROP
2. iptables –I Filter –m mac –mac–source 00:0F:EA:25:51:37 –p udp –dport 53 –j ACCEPT
3. iptables –I Filter –m mac –mac–source 00:0F:EA:25:51:37 –p tcp –dport 25 –j ACCEPT
4. iptables –I Filter –m mac –mac–source 00:0F:EA:25:51:37 –p tcp –dport 110 –j ACCEPT

IPSEC NAT 策略

1. iptables –I PFWanPriv –d 192.168.100.2 –j ACCEPT
2. iptables –t nat –A PREROUTING –p tcp –dport 80 –d $INTERNET_ADDR –j DNAT –to–destination 192.168.100.2:80
3.  
4. iptables –t nat –A PREROUTING –p tcp –dport 1723 –d $INTERNET_ADDR –j DNAT –to–destination 192.168.100.2:1723
5.  
6. iptables –t nat –A PREROUTING –p udp –dport 1723 –d $INTERNET_ADDR –j DNAT –to–destination 192.168.100.2:1723
7.  
8. iptables –t nat –A PREROUTING –p udp –dport 500 –d $INTERNET_ADDR –j DNAT –to–destination 192.168.100.2:500
9.  
10. iptables –t nat –A PREROUTING –p udp –dport 4500 –d $INTERNET_ADDR –j DNAT –to–destination 192.168.100.2:4500
11.  

FTP服务器的NAT

1. iptables –I PFWanPriv –p tcp –dport 21 –d 192.168.1.22 –j ACCEPT
2. iptables –t nat –A PREROUTING –p tcp –dport 21 –d $INTERNET_ADDR –j DNAT –to–destination 192.168.1.22:21

只允许访问指定网址

1. iptables –A Filter –p udp –dport 53 –j ACCEPT
2. iptables –A Filter –p tcp –dport 53 –j ACCEPT
3. iptables –A Filter –d www.ctohome.com –j ACCEPT
4. iptables –A Filter –d www.guowaivps.com –j ACCEPT
5. iptables –A Filter –j DROP

开放一个IP的一些端口，其它都封闭

1. iptables –A Filter –p tcp –dport 80 –s 192.168.1.22 –d www.pconline.com.cn –j ACCEPT
2. iptables –A Filter –p tcp –dport 25 –s 192.168.1.22 –j ACCEPT
3. iptables –A Filter –p tcp –dport 109 –s 192.168.1.22 –j ACCEPT
4. iptables –A Filter –p tcp –dport 110 –s 192.168.1.22 –j ACCEPT
5. iptables –A Filter –p tcp –dport 53 –j ACCEPT
6. iptables –A Filter –p udp –dport 53 –j ACCEPT
7. iptables –A Filter –j DROP

多个端口

1. iptables –A Filter –p tcp –m multiport –destination–port 22,53,80,110 –s 192.168.20.3 –j REJECT

连续端口

1. iptables –A Filter –p tcp –m multiport –source–port 22,53,80,110 –s 192.168.20.3 –j REJECT iptables –A Filter –p tcp –source–port 2:80 –s 192.168.20.3 –j REJECT

指定时间上网

1. iptables –A Filter –s 10.10.10.253 –m time –timestart 6:00 –timestop 11:00 –days Mon,Tue,Wed,Thu,Fri,Sat,Sun –j DROP
2. iptables –A Filter –m time –timestart 12:00 –timestop 13:00 –days Mon,Tue,Wed,Thu,Fri,Sat,Sun –j ACCEPT
3. iptables –A Filter –m time –timestart 17:30 –timestop 8:30 –days Mon,Tue,Wed,Thu,Fri,Sat,Sun –j ACCEPT

禁止多个端口服务

1. iptables –A Filter –m multiport –p tcp –dport 21,23,80 –j ACCEPT

将WAN 口NAT到PC

1. iptables –t nat –A PREROUTING –i $INTERNET_IF –d $INTERNET_ADDR –j DNAT –to–destination 192.168.0.1

将WAN口8000端口NAT到192。168。100。200的80端口

1. iptables –t nat –A PREROUTING –p tcp –dport 8000 –d $INTERNET_ADDR –j DNAT –to–destination 192.168.1.22:80

MAIL服务器要转的端口

1. iptables –t nat –A PREROUTING –p tcp –dport 110 –d $INTERNET_ADDR –j DNAT –to–destination 192.168.1.22:110
2. iptables –t nat –A PREROUTING –p tcp –dport 25 –d $INTERNET_ADDR –j DNAT –to–destination 192.168.1.22:25

只允许PING 202。96。134。133,别的服务都禁止

1. iptables –A Filter –p icmp –s 192.168.1.22 –d 202.96.134.133 –j ACCEPT
2. iptables –A Filter –j DROP

禁用BT配置

1. iptables –A Filter –p tcp –dport 6000:20000 –j DROP

禁用QQ防火墙配置

1. iptables –A Filter –p udp –dport ! 53 –j DROP
2. iptables –A Filter –d 218.17.209.0/24 –j DROP
3. iptables –A Filter –d 218.18.95.0/24 –j DROP
4. iptables –A Filter –d 219.133.40.177 –j DROP

基于MAC，只能收发邮件，其它都拒绝

1. iptables –I Filter –m mac –mac–source 00:0A:EB:97:79:A1 –j DROP
2. iptables –I Filter –m mac –mac–source 00:0A:EB:97:79:A1 –p tcp –dport 25 –j ACCEPT
3. iptables –I Filter –m mac –mac–source 00:0A:EB:97:79:A1 –p tcp –dport 110 –j ACCEPT

禁用MSN配置

1. iptables –A Filter –p udp –dport 9 –j DROP
2. iptables –A Filter –p tcp –dport 1863 –j DROP
3. iptables –A Filter –p tcp –dport 80 –d 207.68.178.238 –j DROP
4. iptables –A Filter –p tcp –dport 80 –d 207.46.110.0/24 –j DROP

只允许PING 202。96。134。133 其它公网IP都不许PING

1. iptables –A Filter –p icmp –s 192.168.1.22 –d 202.96.134.133 –j ACCEPT
2. iptables –A Filter –p icmp –j DROP

禁止某个MAC地址访问internet:

1. iptables –I Filter –m mac –mac–source 00:20:18:8F:72:F8 –j DROP

禁止某个IP地址的PING:

1. iptables –A Filter –p icmp –s 192.168.0.1 –j DROP

禁止某个IP地址服务：

1. iptables –A Filter –p tcp –s 192.168.0.1 –dport 80 –j DROP
2. iptables –A Filter –p udp –s 192.168.0.1 –dport 53 –j DROP

只允许某些服务，其他都拒绝(2条规则)

1. iptables –A Filter –p tcp –s 192.168.0.1 –dport 1000 –j ACCEPT
2. iptables –A Filter –j DROP

禁止某个IP地址的某个端口服务

1. iptables –A Filter –p tcp –s 10.10.10.253 –dport 80 –j ACCEPT
2. iptables –A Filter –p tcp –s 10.10.10.253 –dport 80 –j DROP

禁止某个MAC地址的某个端口服务

1. iptables –I Filter –p tcp –m mac –mac–source 00:20:18:8F:72:F8 –dport 80 –j DROP

禁止某个MAC地址访问internet:

1. iptables –I Filter –m mac –mac–source 00:11:22:33:44:55 –j DROP

禁止某个IP地址的PING:

1. iptables –A Filter –p icmp –s 192.168.0.1 –j DROP