Home

Tags

iptables базовые ф-ии

2010-07-21 iptables linux

Вывести список правил 

iptables -L

Удалить все правила 
iptables -F # Удалить правила
iptables -t nat -F
iptables -t mangle -F
iptables -X # Удалить цепочки
iptables -t nat -X
iptables -t mangle -X

Сохранить/восстановить правила
iptables-save # Сохранить правила
iptables-restore # Восстановить правила

Установить действие по умолчанию для таблицы
iptables -P INPUT DROP # Блокируем входящий трафик
iptables -P FORWARD REJECT # Транзитный трафик, сообщаем об отказе
iptables -P OUTPUT ACCEPT # Исходящий трафик разрешаем

Правила

Разрешить входящие пакеты с подсети 192.168.1.0/24 на порты с 500 по 60000
iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 500:60000 -j ACCEPT

Разрешить все установленные соединения
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Установить фиксированный ttl на все исходящие пакеты
iptables -t mangle -I POSTROUTING -o eth0 -j TTL --ttl-set 64

Создать цепочку и сделать её вызов
iptables -N my_check # Создаем цепочку
iptables -A my_check -s 10.10.10.10 -j RETURN # "Хорошй" хост, выходим
iptables -A my_check -j DROP # Всех остальных игнорируем

# При совпадении условия вызываем нашу цепочку
iptables -A INPUT -s 10.10.0.0/16 -j my_check

Необходимые правила для INPUT

Если вы решили блокировать пакеты в таблице INPUT, то правила ниже нужно использовать для правильного функционирования локальной системы.
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT
iptables -A INPUT -p icmp --icmp-type parameter-problem -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT  # ping

Разрешить любой трафик + удалить все правила и цепочки

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -F
iptables -X

Запретить все кроме ssh

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -F
iptables -X
iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
iptables -P INPUT DROP
iptables -A OUTPUT -p tcp -m tcp --sport 22 -j ACCEPT
iptables -P OUTPUT DROP



постепенно будет пополняться