iptables学习(3)

Target/jump

target/jump决定包的处理,语法是--jump target 或 -j target ,target分两类,一是具体的操作,如ACCEPT和DROP,另一个是发送到同一个表内的链

如:

iptables -N newchain

iptables -A INPUT -p tcp -j newchain

包从INPUT跳入newchain,到了newchain的结尾会退回INPUT链的下一条规则,如果在子链中ACCEPT,父链中也ACCEPT,相当于跳过父链中的其它规则

ACCEPT

-j ACCEPT ACCEPT后,当前链与表不再匹配,但还要接受其它表中的链的处理

DNAT

只能用在nat表的PREROUTING和OUTPUT链中,包含DNAT target的链不能被其它链调用

iptables -t nat -A PREROUTING -p tcp -d 172.16.1.1 --dport 80 -j DNAT --to-destination 192.168.1.1

DROP

丢掉包,不向发送者和路由返回信息

LOG

记录包的信息

iptables -A FORWARD -p tcp -j LOG --log-level debug

log-level分为:debug,info,notice warning,warn,err,error,crit,alert,emerg,panic

--log-prefix

log信息的前缀

--log-tcp-sequence

TCP序列号和其它日志信息一起记录

--log-ip-option

记录IP包头中字段大小不变的选项

MASQUERADE

与SNAT作用一样,但不需要指定--to-source,用于动态获取IP地址的连接,如拨号上网DHCP等,只能用于nat表的POSTROUTING,有一个选项--to-ports(非必须)

iptables -t nat POSTROUTING -p tcp -j MASQUERADE --to-ports 80

MARK

设置mark值

iptables -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 2

MIRROR

反转目的地址与来源地址

QUEUE

为软件管理包队列

REDIRECT

防火墙所在的主机内部转发包到另一个端口.

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

REJECT

与DROP作用一样,还会返回错误信息,只能用在INPUT,OUTPUT,FORWARD

iptables -A FORWARD -p tcp --dport 22 -j REJECT --reject-with tcp-reset

可用的信息类型:1,icmp-net-unreachable 2,icmp-host-unreachable 3,icmp-port-unreachable 4,icmp-proto-unreachable 5,icmp-net-prohibited 6,icmp-host-prohibited,默认是3,还有 echo-reply tcp-reset

RETURN

返回上一层,顺序是子链--父链--默认策略

SNAT

只能用在nat表的POSTROUTING

iptables -t nat -A POSTROUTING -p tcp -o eth0 -j SNAT --to-source 192.168.10.10

可以指定单独或连续的地址,也可指定端口

TOS

iptables -t mangle -A PREROUTING -p tcp --dport 22 -j TOS --set-tos 0x10

TTL

若ISP通过判断包的TTL来禁止共享连接,可以设置TTL为相同的数值来冲过封锁

iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-set 64

--ttl-dec 减少1

--ttl-inc 加1

注意TTL每通过一个路由都会减1

ULOG

ULOG可以在用户空间记录被匹配的包的信息，这些信息和整个包都会通过netlink socket被多播。然 后，一个或多个用户空间的进程就会接受它们。换句话说，ULOG是至今iptables和Netfilter下最成熟、最 完善的日志工具，它包含了很多更好的工具用于包的记录。这个target可以是我们把信息记录到MySQL或其 他数据库中。这样，搜索特定的包或把记录分组就很方便了。

iptables -A INPUT -p tcp --dport 22 -j ULOG --ulog-nlgroup 2

--ulog-prefix

--ulog-cprange

--ulog-qtreshold