iptables
Linux上常用的防火墙软件。
iptables命令 是Linux上常用的防火墙软件，是netfilter项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。
开启Linux 内核转发
sysctl -w net.ipv4.ip_forward=1
或者
echo >> /etc/sysctl.conf net.ipv4.ip_forward=1 systctl -p
语法
iptables -选项 -参数
-t, --table table 对指定的表 table 进行操作， table 必须是 raw， nat，filter，mangle 中的一个。如果不指定此选项，默认的是 filter 表。 # 通用匹配：源地址目标地址的匹配 -p：指定要匹配的数据包协议类型； -s, --source [!] address[/mask] ：把指定的一个／一组地址作为源地址，按此规则进行过滤。当后面没有 mask 时，address 是一个地址，比如：192.168.1.1；当 mask 指定时，可以表示一组范围内的地址，比如：192.168.1.0/255.255.255.0。 -d, --destination [!] address[/mask] ：地址格式同上，但这里是指定地址为目的地址，按此进行过滤。 -i, --in-interface [!] <网络接口name> ：指定数据包的来自来自网络接口，比如最常见的 eth0 。注意：它只对 INPUT，FORWARD，PREROUTING 这三个链起作用。如果没有指定此选项， 说明可以来自任何一个网络接口。同前面类似，"!" 表示取反。 -o, --out-interface [!] <网络接口name> ：指定数据包出去的网络接口。只对 OUTPUT，FORWARD，POSTROUTING 三个链起作用。
# 查看管理命令 -L, --list [chain] 列出链 chain 上面的所有规则，如果没有指定链，列出表上所有链的所有规则。
# 规则管理命令 -A, --append chain rule-specification 在指定链 chain 的末尾插入指定的规则，也就是说，这条规则会被放到最后，最后才会被执行。规则是由后面的匹配来指定。 -I, --insert chain [rulenum] rule-specification 在链 chain 中的指定位置插入一条或多条规则。如果指定的规则号是1，则在链的头部插入。这也是默认的情况，如果没有指定规则号。 -D, --delete chain rule-specification -D, --delete chain rulenum 在指定的链 chain 中删除一个或多个指定规则。 -R num：Replays替换/修改第几条规则
# 链管理命令（这都是立即生效的） -P, --policy chain target ：为指定的链 chain 设置策略 target。注意，只有内置的链才允许有策略，用户自定义的是不允许的。 -F, --flush [chain] 清空指定链 chain 上面的所有规则。如果没有指定链，清空该表上所有链的所有规则。 -N, --new-chain chain 用指定的名字创建一个新的链。 -X, --delete-chain [chain] ：删除指定的链，这个链必须没有被其它任何规则引用，而且这条上必须没有任何规则。如果没有指定链名，则会删除该表中所有非内置的链。 -E, --rename-chain old-chain new-chain ：用指定的新名字去重命名指定的链。这并不会对链内部造成任何影响。 -Z, --zero [chain] ：把指定链，或者表中的所有链上的所有计数器清零。 -j, --jump target <指定目标> ：即满足某条件时该执行什么样的动作。target 可以是内置的目标，比如 ACCEPT，也可以是用户自定义的链。 -h：显示帮助信息；
基本参数
| 参数 | 作用 |
| -P | 设置策略： iptables -P INPUT /DROP |
| -F | 清空规则链 |
| -L | 查看规则链 |
| -A | 在规则链的末尾加入新规则 |
| -I | 在规则链的头部加入新规则 |
| -D | 删除某一条规则 |
| -s | 匹配来源地址ip/mask,加叹号“！”表示除这个IP外 |
| -d | 匹配目标地址 |
| -i | 网卡名称 匹配从这块网卡流入的数据 |
| -o | 网卡名称匹配从这块网卡流出的数据 |
| -p | 匹配协议 如：tcp 、udp、icmp |
| --dport |
匹配目标端口号 |
| --sport |
匹配来源端口号 |
命令选项输入顺序
iptables -t 表名 <-A /I/D/R> 规则链名 [规则号] <-i/o网卡名称> -p 协议名 <-s 源IP/源子网> --sport 源端口<-d 目标IP/目标子网> --dport 目标端口 -j 动作<DROP/ACCEPT/REJECT>
工作机制
规则链名包括（也被称为5个钩子函数<hook functions>）
INPUT链 ： 处理输入数据包
OUTPUT链：处理输出数据包
FORWARD链：处理转发数据包
PREROUTING链：用于DNAT（目标地址转换）
POSTOUTING链：用于SNAT （源地址转换）
表名包括：
raw：高级功能，如：网址过滤
mangle：数据包修改，用于实现服务质量
nat：地址转换，用于网关路由器
filter：包过滤，用于防火墙规则
动作包括：
ACCEPT ：接收数据包
DROP：丢弃数据包
REDIRECT：从定向、映射、透明代理。
SNAT：源地址转换
DNAT：目的地址转换
MASQUERADE：IP伪装（NAT）
LOG：日志记录
iptables 实例：
清空所有规则和计数（谨慎使用）
iptables -F #清空所有的防火墙规则 iptables -X #删除用户自定义的空链 iptables -Z #清空计数
设置默认规则
ipabtles -P INPUT DROP #配置默认的不让进 iptables -P FORWARD DROP #默认的不允许转发 iptables -P OUTPUT ACCEPT #默认的可以出去
列出已设置的规则
iptables -L -t nat #列出 nat 上面的所有规则 # -t 参数指定。必须是raw、nat、filter、mangle中的一个 iptables -L -t nat --line-numbers #规则带编号 iptables -L -nv #查看，这个列表看起来更详细
指定数据包出去的网络接口，只对 OUTPUT，FORWARD，POSTROUTING三个链起作用。
iptables -A FORWARD -o eth0
网络转发规则 公网 1.1.1.1 内网 2.2.2.2
iptables -t nat -A POSTROUTING -s 2.2.2.0/24 -j SNAT --to-source 1.1.1.1
端口映射
本机的 80端口映射到内网虚拟机的 1880 端口
iptables -t nat -A PREROUTING -d 1.1.1.1 -p tcp --dport 80 -j DNAT --to-dest 2.2.2.2:1880
标签：iptables,chain,--,指定,规则,数据包 From： https://www.cnblogs.com/yaoyin/p/16802258.html