首页/新闻资讯/详情

Linux中iptables设置详细

发布时间：2026/9/30 23:30:10

Linux中iptables设置详细 无论如何iptables是一个需要特别谨慎设置的东西万一服务器不在你身边而你贸然设置导致无法SSH那就等着被老板骂吧呵呵。。。1.首先介绍一下指令和相关配置文件启动指令:service iptables start重启指令:service iptables restart关闭指令:service iptables stop然后是相关配置:/etc/sysconfig/iptables如何操作该配置呢vim /etc/sysconfig/iptables然后进去修改即可修改完了怎么办这里很多人会想到/etc/rc.d/init.d/iptables save指令但是一旦你这么干了你刚才的修改内容就白做了。。。具体方法是只修改/etc/sysconfig/iptables 使其生效的办法是修改好后先service iptables restart然后才调用/etc/rc.d/init.d/iptables save因为/etc/rc.d/init.d/iptables save会在iptables服务启动时重新加载要是在重启之前直接先调用了/etc/rc.d/init.d/iptables save那么你2.下面介绍一些指令用法主要还是man iptables看下相关资料才行-A指定链名-p指定协议类型-d指定目标地址--dport指定目标端口destination port 目的端口--sport指定源端口source port 源端口3.如果我不像修改文件直接打命令可以吗当然没问题步骤如下:例如我给SSH加放行的语句添加input记录 iptables -A INPUT -p tcp --dport 22 -j ACCEPT添加output记录 iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT4.接下来说明一下步骤如果机器不在我身边我只能SSH进去做iptables规则那么我必须注意每一步千万别搞错了否则就SSH链接不上都有可能1.如果SSH端口是22这里不建议用默认端口最好改掉SSH端口iptables -A INPUT -p tcp --dport 22 -j ACCEPTiptables -A OUTPUT -p tcp --sport 22 -j ACCEPT注意要/etc/rc.d/init.d/iptables save以下每一步都最好执行一遍此语句以下不再累述。2.vim /etc/sysconfig/iptables确定是否已经加入配置可以的话执行service iptables restart重启后生效3.下面是很危险的操作如果你第一步没做就会直接可能导致你连不上SSH此步骤前切记执行第一步iptables -P INPUT DROPiptables -P OUTPUT DROPiptables -P FORWARD DROP这个步骤是把所有不符合自己配置的规则ACCEPT的连接全部DROP掉执行完以后如果咱SSH还没掉那么谢天谢地安全了重启下iptables后继续下面的配置4.下面咱就不细说了具体就是看自己服务器要开放哪些端口或者是要访问哪些端口来做具体的配置下面是我自己的机器的配置/etc/sysconfig/iptables文件配置如下:# Generated by iptables-save v1.4.7 on Fri Mar 2 19:59:43 2012*filter:INPUT DROP [0:0]:FORWARD DROP [0:0]:OUTPUT DROP [8:496]-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT#ping使用的端口-A INPUT -p icmp -j ACCEPT-A INPUT -i lo -j ACCEPT-A INPUT -s 127.0.0.1/32 -d 127.0.0.1/32 -j ACCEPT-A INPUT -s 192.168.2.200/32 -d 192.168.2.200/32 -j ACCEPT#允许服务器自己的SSH对外部请求来说服务器是目标所以使用--dport-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT#80端口不用说了吧服务器网站访问端口-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT-A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT-A INPUT -p tcp -m tcp --dport 11211 -j ACCEPT-A INPUT -p tcp -m tcp --dport 11212 -j ACCEPT-A FORWARD -j REJECT --reject-with icmp-host-prohibited#53端口是DNS相关TCP和UDP都要配置-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT-A INPUT -p udp -m udp --dport 53 -j ACCEPT#ping使用的端口-A OUTPUT -p icmp -j ACCEPT-A OUTPUT -s 127.0.0.1/32 -d 127.0.0.1/32 -j ACCEPT-A OUTPUT -s 192.168.2.200/32 -d 192.168.2.200/32 -j ACCEPT#允许服务器SSH到其他机器使用外部端口就使用--dport-A OUTPUT -p tcp -m tcp --dport 22 -j ACCEPT#允许服务器自己的SSH自已为源输出就使用--sport-A OUTPUT -p tcp -m tcp --sport 22 -j ACCEPT#访问外部网站80端口使用外部端口就使用--dport-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT#如果服务器需要访问外部网站那么OUTPUT也需要配置53端口使用外部端口就使用--dport-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT#如果有访问外部邮箱那么打开邮箱相关端口使用外部端口就使用--dport-A OUTPUT -p tcp -m tcp --dport 465 -j ACCEPT-A OUTPUT -p tcp -m tcp --dport 25 -j ACCEPT-A OUTPUT -p tcp -m tcp --dport 110 -j ACCEPT#服务器网站访问端口自已为源输出就使用--sport-A OUTPUT -p tcp -m tcp --sport 80 -j ACCEPT-A OUTPUT -p tcp -m tcp --sport 3306 -j ACCEPT-A OUTPUT -p tcp -m tcp --sport 11211 -j ACCEPT-A OUTPUT -p tcp -m tcp --sport 11212 -j ACCEPTCOMMIT5.可能有时候需要删除规则最简单就是修改一下/etc/sysconfig/iptables然后service iptables restart,最后/etc/rc.d/init.d/iptables save即可。在网上找了一下删除规则的方法语法是 iptables -D chain rulenum [options]其中 chain 是链的意思就是INPUT FORWARD 之类的rulenum 是规则的编号。从1 开始。可以使用 --line-numbers 列出规则的编号所以例如上面要删除一个INPUT链的规则的话可以这样iptables -D INPUT 3意思是删除第3条规则。还有第二种方法。第二种办法是 -A 命令的映射不过用-D替换-A。当你的链中规则很复杂而你不想计算它们的编号的时候这就十分有用了。也就是说你如何用iptables -A.... 语句定义了一个规则则删除此规则时就用 -D 来代替- A 其余的都不变即可。说一下上面的 --line-numbers 选项如下面的命令iptables -L INPUT --line-numbers 列出INPUT 链所有的规则num target prot opt source destination1 REJECT tcp -- anywhere anywhere tcp dpt:microsoft-ds reject-with icmp-port-unreachable2 REJECT tcp -- anywhere anywhere tcp dpt:135 reject-with icmp-port-unreachable3 REJECT tcp -- anywhere anywhere tcp dpt:netbios-ssn reject-with icmp-port-unreachable......删除指定行规则6.最后补充一下如果想针对某IP进行单独开放端口可以如下配置如果我需要对内网某机器单独开放mysql端口应该如下配置iptables -A INPUT -s 192.168.2.6 -p tcp -m tcp --dport 3306 -j ACCEPT7.彻底禁止某IP访问:#屏蔽单个IP的命令是iptables -I INPUT -s 123.45.6.7 -j DROP#封整个段即从123.0.0.1到123.255.255.254的命令iptables -I INPUT -s 123.0.0.0/8 -j DROP#封IP段即从123.45.0.1到123.45.255.254的命令iptables -I INPUT -s 124.45.0.0/16 -j DROP#封IP段即从123.45.6.1到123.45.6.254的命令是iptables -I INPUT -s 123.45.6.0/24 -j DROP指令I是insert指令 但是该指令会insert在正确位置并不像A指令看你自己的排序位置因此用屏蔽因为必须在一开始就要加载屏蔽IP所以必须使用I命令加载然后注意执行/etc/rc.d/init.d/iptables save进行保存后重启服务即可
延伸阅读

更多相关文章

高等数学笔记 C8-9
2026/9/20 9:06:53

高等数学笔记 C8-9

八、线性代数 - 向量向量：n个独立的对象，线性。向量a-> xiyjzk有方向，有长度，叫做矢量。区别于标量。维数相同的才能加减法，平行四边形法则。向量的数量积（内积、点积），变成了一…

Python量化交易终极指南：如何用pyctp快速搭建专业交易系统
2026/9/30 2:50:26

Python量化交易终极指南：如何用pyctp快速搭建专业交易系统

Python量化交易终极指南：如何用pyctp快速搭建专业交易系统 【免费下载链接】pyctp ctp wrapper for python 项目地址: https://gitcode.com/gh_mirrors/pyc/pyctp 你是否曾梦想用Python构建自己的量化交易系统，却被复杂的CTP接口吓得望而却步&…

京东云二代刷入刷机教程 通用
2026/9/30 23:26:11

京东云二代刷入刷机教程 通用

其他版本可以自行测试，理论没什么问题，下载的后缀不用管zip不影响 工具下载 电脑有线连接路由器是lan口，非wlan口 获取ssh 先登录到路由器后台，如图： 登陆进去 先关闭自动更新 按下图片按钮，由蓝变灰就是…

WASM在ESP32上为何不能直接访问硬件？三层边界与工程化桥接方案
2026/9/30 23:26:11

WASM在ESP32上为何不能直接访问硬件？三层边界与工程化桥接方案

如果你在 ESP32 上折腾过 WASM，大概率会冒出这么个念头：既然 WASM 应用都能在 MCU 上跑起来了，为什么不干脆让里面的业务代码像普通 C 工程那样自己操作 GPIO、读写 I2C、把 SPI 外设的寄存器直接怼过去？这想法我最初也有&#xf…

Claude Code记忆系统实战：用CLAUDE.md与auto memory打造持久上下文
2026/9/30 23:26:11

Claude Code记忆系统实战：用CLAUDE.md与auto memory打造持久上下文

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

STM32按键输入全解析：GPIO模式、上下拉、消抖与中断处理
2026/9/30 23:26:11

STM32按键输入全解析：GPIO模式、上下拉、消抖与中断处理

把按键接到 STM32 的引脚上，这是很多人入门时做的第一件“带交互”的事。但大多数时候，代码写在 HAL_GPIO_ReadPin 那一行之后，就开始出问题：要么一直读到 1，要么一直读到 0，要么上电之后随机跳&#xff0c…

厚不锈钢水切割的工程参数解读：压力、精度与锥度
2026/9/30 23:21:11

厚不锈钢水切割的工程参数解读：压力、精度与锥度

1. 压力：决定"能不能稳稳穿透"磨料水射流的切割能力来自高速磨粒的冲蚀动能，而冲蚀动能由水压驱动。设备最高压力 420MPa 是厚料的底气——压力不足时，射流在厚板上的穿透力衰减快、切割速度和不稳定性都会暴露。压力是厚板参数里最…

东莞市品牌网站建设报价常见报错与解决
2026/9/29 11:07:23

东莞市品牌网站建设报价常见报错与解决

东莞品牌网站建设报价单背后：一份保姆级建站教程避坑实录 网站做好了没人访问，这大概是很多老板最头疼的事。花了大几万做的品牌站，上线后流量惨淡，比路边摊还冷清。别急着骂外包公司，很多“东莞品牌网站建设报价”里藏着不少猫腻，比如用模板站冒充定制…

如何划分训练/验证集：Spirula Studio五种eval_mode策略详解
2026/9/29 21:48:03

如何划分训练/验证集：Spirula Studio五种eval_mode策略详解

如何划分训练/验证集：Spirula Studio五种eval_mode策略详解 【免费下载链接】spirula-studio Cross-vendor 3D Gaussian Splatting trainer - video to splat to mesh, Vulkan or CUDA. 项目地址: https://gitcode.com/GitHub_Trending/sp/spirula-studio Sp…

SEO怎么推广速查手册新手避坑实战指南
2026/9/29 7:00:49

SEO怎么推广速查手册新手避坑实战指南

SEO怎么推广速查手册新手避坑实战指南 模板网站太丑不够用？别急着加滤镜，那是治标不治本。很多老板盯着后台流量掉得眼红，却还在纠结首页Banner的圆角是不是3像素。这就像穿着西装去挖土，姿势不对，努力白费。我整理这份 速查手册…

MATLAB+Yalmip+CPLEX实战：综合能源系统优化调度全流程解析
2026/9/30 0:01:22

MATLAB+Yalmip+CPLEX实战：综合能源系统优化调度全流程解析

做综合能源系统优化调度这活儿，最痛苦的不是建模本身，而是模型写完之后不知道该怎么求解。看论文里轻飘飘一句“采用Yalmip调用CPLEX求解”，自己上手时却往往卡在环境配置、变量声明、约束写法和求解状态判读上，一耗就是两三天。这…

I3C比I2C快10倍？RK3576实战：速率、DTS配置与混合总线避坑指南
2026/9/30 0:01:22

I3C比I2C快10倍？RK3576实战：速率、DTS配置与混合总线避坑指南

I3C 比 I2C 快 10 倍？这句话在嵌入式群里传了很久，每次都能吵出一堆截图。前段时间我正好在 RK3576 上调板级 I3C 接口，从控制器寄存器一路摸到 Linux DTS 配置，踩了不少坑，也把这笔速度账彻底算明白了。本文就用 RK35…

字符串转对象：JSON.parse、new Function与URLSearchParams
2026/9/30 0:01:22

字符串转对象：JSON.parse、new Function与URLSearchParams

“字符串转对象”这几个字，我在技术群里见过的问法至少有十几种：有人拿着一串{a:1,b:2}说 JSON.parse 直接报错，有人要从 URL 里抠出参数，还有人只是想把abc变成能挂属性的东西。js 这门语言里，字符串和对象之间的转换…

USB Type-C PCB布局分区设计：电源、高速信号与PD协议全攻略
2026/9/29 3:53:39

USB Type-C PCB布局分区设计：电源、高速信号与PD协议全攻略

做硬件这行，Type-C接口算是典型的“看着简单，做起来全坑”的东西。光引脚就24个，高低速信号、电源、控制线全部塞在一个小小的连接器里，如果PCB布局不做规划，打样回来基本就是“插上没反应”、“高速掉线”、“静电一打…

系统编程学习原型如何补齐稳定性边界
2026/9/30 18:00:04

系统编程学习原型如何补齐稳定性边界

系统编程学习原型如何补齐稳定性边界预算有限时&#xff0c;我先优化明显多余的复制&#xff0c;而不是猜测性地换容器。用借用传递只读数据通常就能减少分配&#xff1a; fn parse(line: &str) -> Result<Item, Error> { /* ... */ }用基准确认热点确实在分配&am…

雨花区哪家财务公司代理记账比较好？
2026/9/30 10:28:53

雨花区哪家财务公司代理记账比较好？

在雨花区&#xff0c;企业处理财税事务常常面临诸多挑战&#xff0c;选择一家靠谱的财务公司至关重要。湖南巨勤财务管理咨询有限公司就是本地正规实体财税服务机构&#xff0c;深耕本地工商财税行业多年&#xff0c;熟悉当地工商局、税务局最新政策与申报流程。主营公司注册、…

还想了解更多？直接咨询顾问

免费诊断 + 免费方案 + 透明报价。

全国咨询热线400-8866-253
免费获取方案
☎咨询二维码 ☎ ↑