2023学年完整公开课版IPtables高级命令

Iptables高级命令目录设置匹配数据包的条件隐含条件匹配通用条件匹配显式条件匹配23通用条件匹配协议匹配使用“-p协议名”的形式协议名可使用在“/etc/protocols”文件中定义的名称常用的协议包括tcp、udp、icmp等地址匹配4通用条件匹配[root@localhost~]#iptables-IINPUT-picmp-jREJECT[root@localhost~]#iptables-AFORWARD!-picmp-jACCEPT[root@localhost~]#iptables-AFORWARD-s192.168.1.11-jREJECT[root@localhost~]#iptables-AINPUT-ieth1-s172.16.0.0/12-jDROP[root@localhost~]#iptables-AFORWARD-oeth1-d61.35.4.3-jDROP5隐含条件匹配端口匹配使用“--sport源端口”、“--dport目标端口”的形式采用“端口1:端口2”的形式可以指定一个范围的端口TCP标记匹配6隐含条件匹配[root@localhost~]#iptables-AFORWARD-ptcp--dport22-jACCEPT[root@localhost~]#iptables-AOUTPUT-ptcp--sport20:80-jACCEPT[root@localhost~]#iptables-IINPUT-ieth1-ptcp--tcp-flagsSYN,RST,ACKSYN-jREJECT[root@localhost~]#iptables-AINPUT-ieth0-picmp--icmp-typeEcho-Request-jDROP[root@localhost~]#iptables-AINPUT-picmp--icmp-typeEcho-Reply-jACCEPT7显式条件匹配MAC地址匹配使用“-mmac”结合“--mac-sourceMAC地址”的形式8显式条件匹配多端口匹配使用“-mmultiport”结合“--sports源端口列表”或者“--dports目标端口列表”的形式多个端口之间使用逗号“,”分隔，连续的端口也可以使用冒号“:”分隔9显式条件匹配IP地址范围匹配使用“-miprange”结合“--src-range源IP范围”或者“--dst-range目标IP范围”的形式以“-”符号连接起始IP地址、结束IP地址

10[root@localhost~]#iptables-AFORWARD-mmac--mac-source00:0C:29:27:55:3F-jDROP[root@localhost~]#iptables-AINPUT-ptcp-mmultiport--dport20,21,25,110,1250:1280-jACCEPT[root@localhost~]#iptables-AFORWARD-ptcp-miprange--src-range192.168.1.20-192.168.1.99-jDROP11显式条件匹配（续）数据包状态匹配使用“-mstate”结合“--state状态类型”的形式同时表示多种状态时以逗号“,”分隔常见的数据包状态包括：NEW、ESTABLISHED、RELATED12显式条件匹配（续）[root@localhost~]#iptables-AFORWARD-mstate--stateNEW-ptcp!--syn-jDROP[root@localhost~]#iptables-AINPUT-ptcp-mstate--stateNEW-jDROP[r