【iptables命令详解】iptables 是 Linux 系统中用于配置 IPv4 数据包过滤和网络地址转换（NAT）的工具，是防火墙的核心组件之一。它通过定义规则来控制进出系统的网络流量，从而实现安全防护、流量管理等功能。本文将对 iptables 的基本概念、常用命令及功能进行总结，并以表格形式展示关键信息。
一、iptables 基本概念
| 概念 | 说明 |
| 表（Table） | iptables 有四个默认表：`filter`（默认）、`nat`、`mangle`、`raw`，分别用于不同的网络处理任务。 |
| 链（Chain） | 每个表中包含多个链，如 `INPUT`、`OUTPUT`、`FORWARD` 等，用于定义数据包的处理流程。 |
| 规则（Rule） | 每条规则指定如何处理特定的数据包，包括允许、拒绝、丢弃等操作。 |
| 匹配条件（Match） | 定义规则匹配的条件，如源地址、目标地址、端口、协议等。 |
| 目标（Target） | 定义匹配后执行的操作，如 `ACCEPT`、`DROP`、`REJECT`、`LOG` 等。 |
二、常用命令与功能
| 命令 | 功能说明 |
| `iptables -L` | 列出当前所有规则 |
| `iptables -L -n` | 列出规则并以数字形式显示 IP 和端口 |
| `iptables -L -v` | 显示详细信息，包括数据包计数 |
| `iptables -A INPUT -s 192.168.1.100 -j DROP` | 在 INPUT 链中添加一条规则，丢弃来自 192.168.1.100 的数据包 |
| `iptables -D INPUT 1` | 删除 INPUT 链中的第一条规则 |
| `iptables -F` | 清空所有规则 |
| `iptables -X` | 删除用户自定义的链 |
| `iptables -P INPUT DROP` | 设置 INPUT 链的默认策略为丢弃 |
| `iptables -t nat -L` | 查看 nat 表的规则 |
| `iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE` | 配置 NAT 转换，用于共享 IP 地址 |
三、常用选项说明
| 选项 | 说明 |
| `-A` | 添加规则到指定链的末尾 |
| `-I` | 插入规则到指定链的指定位置 |
| `-D` | 删除指定链中的规则 |
| `-R` | 替换链中的某条规则 |
| `-L` | 列出链中的规则 |
| `-F` | 清空链中的所有规则 |
| `-X` | 删除自定义链 |
| `-P` | 设置链的默认策略 |
| `-t` | 指定使用的表（如 `nat`、`mangle`） |
| `-n` | 不解析主机名和端口号 |
| `-v` | 显示详细信息 |
四、常见应用场景
| 应用场景 | 示例命令 |
| 防火墙基础设置 | `iptables -P INPUT DROP` |
| 允许 SSH 连接 | `iptables -A INPUT -p tcp --dport 22 -j ACCEPT` |
| 禁止特定 IP 访问 | `iptables -A INPUT -s 192.168.1.100 -j DROP` |
| 端口转发（NAT） | `iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.2:8080` |
| 日志记录 | `iptables -A INPUT -j LOG --log-prefix "iptables-log: "` |
五、注意事项
- iptables 规则是按顺序执行的，因此规则的顺序非常重要。
- 修改规则后，建议使用 `iptables-save` 保存配置，避免重启后丢失。
- 使用 `iptables -F` 或 `iptables -X` 前应确认规则内容，避免误删重要规则。
- 对于生产环境，建议结合 `firewalld` 或 `ufw` 等高级工具进行管理。
总结
iptables 是 Linux 中强大的网络流量控制工具，掌握其基本语法和常用命令对于系统管理员至关重要。通过合理配置规则，可以有效提升服务器的安全性和可控性。在实际应用中，应结合具体需求灵活使用，并注意规则的顺序与备份，确保系统稳定运行。
