分类目录未分类

路由器配置详解

sysname ROUTER-00
 clock timezone BeijingChongqingHongKongUrumqi add 08:00:00
 acl 2000
     rule 10 permit source 192.168.0.0 0.0.255.255 
     rule 15 deny
 user-interface console 0
     authentication-mode aaa
 user-interface vty 0 4
     acl 2000 inbound
     authentication-mode aaa
     user privilege level 15
 aaa
     local-user huawei password irreversible-cipher 99mi3d#u
     local-user huawei privilege level 15 
     local-user huawei service-type telnet terminal ssh ftp http
     local-user huawei ftp-directory flash:/
     local-user admin password irreversible-cipher abc123456
     local-user admin privilege level 15 
     local-user admin service-type terminal http
 telnet server enable
 stelnet server enable                       \\ ssh
 dhcp enable
 lldp enable                                   \\ 二层的链路状态信息
 arp anti-attack entry-check fixed-mac enable   \\ 防止arp地址欺骗攻击 开启arp表面固化
 arp learning strict                             \\ 开启 arp 表项严格学习 只学习自己发的
 ip accounting mismatched-threshold 8192          \\ 开启 经过路由器的报文进行简单统计 一般最大值
 nat alg pptp enable                               \\ 开启nat alg 转换功能 有一些协议不能被nat转换 可以开启此功能
 info-center filter-id bymodule-alias NTP PACKET_LENGTH_WRONG \\ 自动删除无需上报的警告日志 
 info-center timestamp log format-date                         \\ 设置显示log日志 时间戳格式 
 snmp-agent                                            \\ 开启snmp功能 系统会自动生成id    与网管平台互通 管理功能
 snmp-agent community read  snmp11                      \\ 设置读团体名
 snmp-anent sys-info version v2c v3                      \\ 设置支持的版本 或all 配合snmp软件使用
 undo ntp-service enable                                  \\ 关闭 时间服务器 提高安全
 ntp-service cwmp unicast-server 137.189.11.66 first       \\ 香港 时间服务器
 ntp-service cwmp unicast-server 137.189.11.128 second      \\ 本地设备被配置成 由…提供时间
 dns resolve                                    \\ dns动态解析功能 例如 使ping和tracert 得到目的端主机ip的对应关系
 dns server 8.8.8.8                              \\ dns动态解析功能 的第一个服务地址
 dns server 4.2.2.4 
 dns proxy enable                                 \\ 开启dns 代理服务器功能 如果局域网内没有dns服务器时 客户端可以连接到外部dns服务器
 ssl policy default_policy type server             \\ 开启https ssl策略服务 防止ssl被篡改 提高安全性  
     pki-realm default                              \\ 应用 默认 规则
 http server-source -a 192.168.0.2                    \\ 创建 允许的访问ip段
 http acl 2000
 http server enable                                    \\ 开启 路由器web 页面
 http secure-server enable                              \\ 开启https 路由器web 页面
 http secure-server ssl-policy default_policy            \\ https ssl证书 名称 
 firewall defend syn-flood enable                          \\ 使SYN Flood攻击防范功能
 firewall defend udp-flood enable
 firewall defend icmp-flood enable
 firewall blacklist enable                                   \\ 使用防火墙 黑名单
 ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/0/1 116.50.140.1
 ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/0/2 61.238.73.126 preference 250
 ip route-static 116.50.140.0 255.255.255.128 NULL0
 interface g0/0/0 
     ip address 192.168.254.1 24
     dhcp select interface
     dhcp server dns-list 4.2.2.4 8.8.8.8
 vlan 4000
 interface Vlanif 4000
     ip address 192.168.0.2 24
     description to Core-SW
 interface Eth-Trunk 0
     description TO-Core-SW
     port link-type trunk
     port trunk allow-pass vlan all
     undo port trunk allow-pass vlan 1
 interface g1/0/0
     eth-trunk 0
     description to Core-sw
 interface g1/0/1
     eth-trunk 0
     description to Core-sw
 router id 192.168.0.2
 ospf
     default-route-advertise
     area 0
         network 192.168.0.0 0.0.0.255
 acl ……
 nat address-group  ……
 interface g0/0/1
     tcp adjust-mss 1200                     \\ tcp 最大 拆分数
     ip address 116.50.140.126 25
     nat outbound 3000 address-group 0      ……..
     qos car inbound source-ip-address range 192.168.10.0 to 192.168.10.253 cir 20480 cbs 3850240 pbs 6410240 green pass yellow pass red discard
     qos car inbound source-ip-address range 192.168.17.4 to 192.168.17.4 per-address cir 1024 cbs 96256 pbs 160256 green pass yellow pass red discard
     qos car outbound source-ip-address range 192.168.10.0 to 192.168.10.253 cir 20480 cbs 3850240 pbs 6410240 green pass yellow pass red discard
     qos car outbound source-ip-address range 192.168.17.4 to 192.168.17.4 per-address cir 1024 cbs 96256 pbs 160256 green pass yellow pass red discard
 interface g0/0/2
     tcp adjust-mss 1200
     ip address 61.238.73.65 26
     nat outbound 3201 address-group 121  ………
 traffic behavior PBR_G002
     redirect ip-nexthop 61.238.73.126
 traffic behavior PBR_G003
     redirect ip-nexthop 61.238.112.254
 traffic classifier PBR_G002_ACL
     if-match acl 3201             ……
 traffic classifier PBR_G003_ACL
     if-match acl 3261             ……
 traffic policy PBR_G002
     classifier PBR_G002_ACL behavior PBR_G002
     classifier PBR_G003_ACL behavior PBR_G003
 interface Vlanif 4000
     traffic-policy PBR_G002 inbound
     ip accounting input-packets               \\ 开启普通ip 入方向 统计功能
     ip accounting output-packets               \\ 开启普通ip 出方向 统计功能 使用 dis ip accounting input-packets matched 查看



 常用配置命令:
     display interface brief      查看接口信息
     display ip interface brief    查看接口ip信息
     display port vlan active
     put a.txt         ftp上传命令
     get a.txt         ftp下载命令
     lcd c:/          \\ cmd下fpt命令
     get
     put                     
     console 
     华为ar5700交换机 Ctrl+B 进入 密码为 Admin@huawei.com
     华为ar2200路由器 Ctrl+B 进入 密码为 Admin@huawei

iptables 防火墙





Iptables 防火墙



iptables 防火墙 安装

    # systemctl disable firewalld.service     \\ 关闭 firewalld开机启动
    # systemctl stop firewalld.service         \\ 停止 firewalld 服务  停止后iptables会被清空

    # yum install iptables iptables-services     \\ 安装 一般默认就有
    # service iptables save                       \\ 保存规则 即使是空规则 会生成配置文件 /etc/sysconfig/iptables
    # systemctl restart iptables
    # systemctl enable iptables                     \\ 加入开机启动
    # systemctl list-unit-files | grep iptables      \\ 查看所有服务的状态
    # iptables -L -n

    # iptables-save > /iptables.1                      \\ 备份 保存到文件
    # iptables-restore < /iptables.1                    \\ 导入 重新装载回来

    # vim /etc/sysconfig/iptables          \\ iptables 配置文件 可以直接使用

        # Generated by iptables-save v1.4.7 on Tue Nov 19 09:59:12 2019
        *nat
        :PREROUTING ACCEPT [96:4544]
        :POSTROUTING ACCEPT [6:312]
        :OUTPUT ACCEPT [6:312]
        COMMIT
        # Completed on Tue Nov 19 09:59:12 2019
        # Generated by iptables-save v1.4.7 on Tue Nov 19 09:59:12 2019
        *filter
        :INPUT ACCEPT [0:0]
        :FORWARD ACCEPT [0:0]
        :OUTPUT ACCEPT [559823219:59422546554]
        -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
        -A INPUT -p icmp -j ACCEPT 
        -A INPUT -i lo -j ACCEPT 
        -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
        -A INPUT -p tcp -m state --state NEW -m tcp --dport 65522 -j ACCEPT 
        -A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT 
        -A INPUT -p tcp -m state --state NEW -m tcp --dport 81 -j ACCEPT 
        -A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
        -A INPUT -p tcp -m state --state NEW -m tcp --dport 80:81 -j ACCEPT
        -A INPUT -s 47.91.219.64/32 -p tcp -m state --state NEW -m tcp --dport 10050 -j ACCEPT 
        -A INPUT -j REJECT --reject-with icmp-host-prohibited 
        -A FORWARD -j REJECT --reject-with icmp-host-prohibited 
        COMMIT
        # Completed on Tue Nov 19 09:59:12 2019


常用 iptables 防火墙命令

    # iptables -I INPUT 5 -p tcp -m state --state NEW --dport 443 -j ACCEPT
    # iptables -I INPUT 5 -p tcp -m state --state NEW --dport 80,81,82 -j ACCEPT
    # iptables -I INPUT 5 -p tcp -m state --state NEW -m multiport --dports 80,81,82 -j ACCEPT
    # iptables -I INPUT 5 -p tcp -m state --state NEW -m multiport --dports 80:82 -j ACCEPT    \\ 与下面一样 放行多个端口
    # iptables -I INPUT 5 -p tcp -m state --state NEW -m tcp --dport 80:82 -j ACCEPT
    # iptables -I INPUT 5 -p tcp -s 47.91.219.64 -m state --state NEW --dport 80 -j ACCEPT
    # iptables -I INPUT 5 -p tcp -s 47.91.219.0/24 -m state --state NEW --dport 80 -j REJECT
    # iptables -I INPUT 5 -p tcp -s 47.91.219.64 -m state --state NEW --dport 80 -j DROP

    # iptables -I IN_public_allow 5 -s 47.91.219.64 -p tcp --dport 80 -m conntrack --ctstate NEW,UNTRACKED -j DROP \\宝塔

    # service iptables save               \\ 保存规则
    # vim /etc/sysconfig/iptables          \\ 配置文件 直接修改即可


........................................................................................................................


iptables 端口转发                    \\ 把本机所有的 7410 端口转发到 172.21.34.33 的22端口

    ❶. 单个端口转发  不同端口转发
        # iptables -L -n
        # iptables -I FORWARD -p tcp -m state --state NEW -m tcp --dport 7410 -j ACCEPT
        # iptables -I FORWARD -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
        # iptables -L -n -t nat
        # iptables -I PREROUTING -d 172.21.34.204/32 -p tcp -m tcp --dport 7410 -j DNAT --to-destination 172.21.34.33:22
        # iptables -I POSTROUTING -d 172.21.34.33/32 -p tcp -m tcp --dport 22 -j SNAT --to-source 172.21.34.204


    ❷. 端口段 转发  相同端口转发
        # iptables -L -n
        # iptables -I FORWARD -p tcp -m state --state NEW -m tcp --dport 900:1000 -j ACCEPT
        # iptables -L -n -t nat
        # iptables -I PREROUTING -p tcp -m tcp --dport 900:1000 -j DNAT --to-destination 172.21.34.204
        # iptables -I POSTROUTING -d 172.21.34.204/32 -p tcp -m tcp --dport 900:1000 -j SNAT --to-source 192.168.10.13


    ❸. 单个端口转发 详解

        # vim /etc/sysctl.conf            \\ 开启内核转发
            net.ipv4.ip_forward = 1
        # sysctl -p

        # iptables -L -n                    \\ FORWARD 转发链 只放行需要 转发的端口及ip   不用在INPUT链放行7410端口
            Chain FORWARD (policy ACCEPT)

        # iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT            \\ 允许所有 已连接的状态
        # iptables -A FORWARD -p tcp -m state --state NEW -m tcp --dport 7410 -j ACCEPT  \\ 所有ip到 7410 放行
        # iptables -A FORWARD -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT     \\ 所有ip到 22 放行
        # iptables -A FORWARD -j REJECT --reject-with icmp-host-prohibited                 \\ 拒绝所有 在最后添加
        # iptables -L -n 

        # iptables -L -n -t nat                  \\ 查看 转发表 规则   未添加的时候为空
        # iptables -A PREROUTING -d 172.21.34.204/32 -p tcp -m tcp --dport 7410 -j DNAT --to-destination 172.21.34.33:22
        # iptables -A POSTROUTING -d 172.21.34.33/32 -p tcp -m tcp --dport 22 -j SNAT --to-source 172.21.34.204

        # iptables -L -n -t nat                     \\ 查看 转发表 规则
            Chain PREROUTING (policy ACCEPT)
            target     prot opt source               destination         
            DNAT       tcp  --  0.0.0.0/0            172.21.34.204        tcp dpt:7410 to:172.21.34.33:22

            Chain POSTROUTING (policy ACCEPT)
            target     prot opt source               destination         
            SNAT       tcp  --  0.0.0.0/0            172.21.34.33         tcp dpt:22 to:172.21.34.204

        注: 
            prerouting 路由前  把所有目标ip为本机端口为7410的 做DNAT 进来的时候改变目标地址为 172.21.34.33:22
            postrouting 路由后 回源的目标ip为34.33端口为22的 做SNAT 源地址转换 就是做 nat 为 172.21.34.204


        # vim /etc/sysconfig/iptables          \\ iptables 关于 端口转发的配置文件 可以直接使用 
            *nat
            :PREROUTING ACCEPT [6987:545148]
            :INPUT ACCEPT [2:58]
            :OUTPUT ACCEPT [2:152]
            :POSTROUTING ACCEPT [2:152]
            -A PREROUTING -d 172.21.34.204/32 -p tcp -m tcp --dport 7410 -j DNAT --to-destination 172.21.34.33:22
            -A POSTROUTING -d 172.21.34.33/32 -p tcp -m tcp --dport 22 -j SNAT --to-source 172.21.34.204
            COMMIT
            *filter
            :INPUT ACCEPT [0:0]
            :FORWARD ACCEPT [0:0]
            :OUTPUT ACCEPT [559823219:59422546554]
            -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
            -A INPUT -p icmp -j ACCEPT 
            -A INPUT -i lo -j ACCEPT 
            -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
            -A INPUT -j REJECT --reject-with icmp-host-prohibited
            -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
            -A FORWARD -s 172.21.34.0/24 -p tcp -m state --state NEW -m tcp -j ACCEP
            -A FORWARD -j REJECT --reject-with icmp-host-prohibited
            COMMIT
            # Completed on Tue Nov 19 09:59:12 2019

.......................................................................................................................


iptables 内网转发         \\ iptables 作为路由 转发内网的流量 使得内网机器可以上网

    内网机器设置
        # route -n
        # vi /etc/sysconfig/static-routes            \\ 路由的配置文件 可永久添加路由 没有需要创建
            any net 0.0.0.0/0 gw 192.168.116.129
        # systemctl restart network
        # route -n
        # vim /etc/sysconfig/network-scripts/ifcfg-ens33   \\ 永久修改 DNS
            DNS1=8.8.8.8


        # route add default gw 192.168.116.129        \\ 临时添加 加个默认 ip  指向 转发服务器
        # route -n
        # vim /etc/resolv.conf                          \\ 临时修改 dns  重启网络 或重启服务器会变
            nameserver 8.8.8.8


    转发 机器 配置                \\ 有两块网卡 ens33 连接的是外网        ens37连接内网
        # iptables -I FORWARD 2 -i ens37 -o ens33 -m state --state NEW -j ACCEPT       \\ 放行 内网网卡 到 外网网卡
        # iptables -t nat -I POSTROUTING -o ens33 -j MASQUERADE                         \\ 只要通过外网的网卡 都做 伪装


        # vim /etc/sysconfig/iptables                 \\ 完整的防火墙配置文件  可直接使用
            # Generated by iptables-save v1.4.21 on Wed Jun 23 05:00:41 2021
            *nat
            :PREROUTING ACCEPT [4:336]
            :INPUT ACCEPT [0:0]
            :OUTPUT ACCEPT [0:0]
            :POSTROUTING ACCEPT [0:0]
            -A POSTROUTING -o ens33 -j MASQUERADE
            COMMIT
            # Completed on Wed Jun 23 05:00:41 2021
            # Generated by iptables-save v1.4.21 on Wed Jun 23 05:00:41 2021
            *filter
            :INPUT ACCEPT [0:0]
            :FORWARD ACCEPT [0:0]
            :OUTPUT ACCEPT [194:32248]
            -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
            -A INPUT -p icmp -j ACCEPT
            -A INPUT -i lo -j ACCEPT
            -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
            -A INPUT -j REJECT --reject-with icmp-host-prohibited
            -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
            -A FORWARD -i ens37 -o ens33 -m state --state NEW -j ACCEPT
            -A FORWARD -j REJECT --reject-with icmp-host-prohibited
            COMMIT
            # Completed on Wed Jun 23 05:00:41 2021
        # systemctl restart iptables                   \\ 配置文件中只放行了 22 端口 需求其他端口自行添加


.......................................................................................................................


iptables 防火墙 基础

    选择表
        -t filter  可以是 filter  nat  mangle  raw 省略为filter

    链管理
        -F: 清空
        -X: 删除空自定义链
        -P: 默认规则 ACCEPT DROP REJECT
            -N: new    新建自定义链
            -Z: zero   清零计数器
            -E: rename 重命名计数为0的自定义链

    查看
        -L: 显示规则
            -n: 不反解
            -v: 详细信息 -vv -vvv
            --line-numbers: 显示规则编号
            -x: exactly 显示计数器结果的精确值 

    规则管理
        -A: 添加规则到尾部
        -I: 添加到某一条规则之上
        -D: 删除某一条规则
            -R: 替换指定链上的指定规则

    匹配条件
        -s: 源IP地址
        -d: 目标IP地址
        -i: 报文的流入接口
        -o: 报文的流出接口
        -p: 协议 tcp udp icmp
            -p tcp --dport  源端口
            -p tcp --sport  目标端口
            -p icmp --icmp-type 8 用于别人ping他  请求回送
            -p icmp --icmp-type 0 用于他ping别人  回显应答 回送应答

    显示扩展匹配
        1 multiport 扩展 以离散方式定义多端口匹配 最多指定15个端口
            -m multiport --sports 22,80 指明多个源端口
            -m multiport --dports 22:30 指明多个目标端口
            -m multiport --ports 22,80  既可以指明源 也可以指明目标 很少用
        2 iprange 扩展     指明连续的(但一般是不能扩展为整个网络)ip地址范围时使用
            -m iprange --src-range 192.168.10.1-192.168.10.120  指明连续的源地址范围
            -m iprange --dst-range 192.168.10.1-192.168.10.120  指明连续的目标地址范围
        3 string 扩展  检查报文中出现的字符串 kmp 可以 已测试      bm不行 待测试
            --dport--dportm string --algo kmp --string 'movie'  \\ 字符串匹配 kmp 为算法 
        4 time 扩展 匹配时间  date查看时间注意是 CST时间是东八区  设置的时间为UTC时间是0时区
            -m time --timestart 14:00 -m time --timestop 16:00
            -m time --datestart
            -m time --datestop
            -m time --monthdays   1-31
            -m time --weekdays    1-7 
        5 connlimit 扩展 并发连接数限制  根据每客户端IP(也可以说地址块) 做并发连接数量匹配
            -m connlimit --connlimit-above 3  \\ 大于 超过的连接数目 一般做拒绝 相对默认放行一般做拒绝
            -m connlimit --connlimit-upto 3    \\ 小于等于此上限 一般做放行 相对默认拒绝一般做放行
        6 limit 扩展 基于收发报文的速率做检查
            -m limit --limit 10/minute         \\ 设定速率是10个每分钟 还有  /hour  /day  /second
            -m limit --limit-burst 3            \\ 设定一开始的峰值是3 不做限制
        7 state 扩展 根据连接追踪机制检查连接的状态  ***
            /proc/sys/net/nf_conntrack_max      调整连接追踪功能所能够容纳的最大连接数量
            /proc/net/nf_conntrack              已经追踪到并记录下的连接
            /proc/sys/net/netfilter/            目录下有不同协议或连接类型追踪的时长
            可追踪的连接状态
                -m state --state NEW: 新发出的请求  连接追踪模板中不存此连接相关的信息条目 因此 将其识别为第一次发出的请求
                -m state --state ESTABLISHED: new状态后  连接追踪模板中为其建立的条目失效之前期间内所进行的通信的状态
                -m state --state RELATED: 相关的连接 如ftp协议的命令连接与数据连接之间的关系
                -m state --state INVALIED: 无法识别的连接
            # iptables -I INPUT -d 192.168.10.14 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
            # iptables -I OUTPUT -s 192.168.10.14 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
            可以优化规则  简化
                # iptables -I INPUT -m state --state ESTABLISHED -j ACCEPT   \\ 是这种状态的都放行 后面可以加new 的规则做放行
                # iptables -I OUTPUT -m state --state ESTABLISHED -j ACCEPT   \\ 是这种状态的都放   

    目标:
        -j: 跳转至指定 处理目标
            accept:     接受
            drop:       丢弃 
            reject:     拒绝
            return:     返回调用链
            redirect:   端口重定向
            log:        记录日志
            mark:       做防火墙标记
            dnat:       目标地址转换
            snat:       源地址转换
            masquerade: 地址伪装
            ...
            自定义链:    由自定义链上的规则进行匹配检查

    基本命令
        # systemctl restart firewalld.service  \\ 重启服务
        # iptables -L -n -v --line-numbers      \\ 显示
        # iptables -F                            \\ 清空链
        # iptables -X                             \\ 删除自定义规则
        # iptables -D INPUT 9                      \\ 删除 第9条规则

示例:
放行所有访问本机的 tcp协议
    # iptables -A INPUT -d 192.168.10.11 -p tcp -j ACCEPT
    # iptables -A OUTPUT -s 192.168.10.11 -p tcp -j ACCEPT
修改链的 默认值
    # iptables -P INPUT DROP     \\ 把 filter 表中3个链 默认状态都改为drop
打开 ping 协议
    # iptables -A INPUT -d 192.168.10.11 -p icmp -j ACCEPT  \\ 如果上面默认为丢弃 则不能ping通 可开通下两条 使之能ping通
    # iptables -A OUTPUT -s 192.168.10.11 -p icmp -j ACCEPT
禁 ping
    # iptables -A OUTPUT -s 192.168.10.11 -p icmp --icmp-type 8 -j ACCEPT  
        \\ 只允许类型为8请求会送 的出去 其他不能出去  只能ping别人 其他人ping不了自己
    # iptables -A INPUT -d 192.168.10.11 -p icmp --icmp-type 0 -j ACCEPT\\ 只允许类型为0 请求应答 的进来 其他不允许 禁ping
限制报文流入流出 网卡
    # IPTABLES -A INPUT -d 192.168.10.11 -i ens33 -j ACCEPT \\ 来着于ens33 网卡 访问本机的所有流量 都放行 -i 数据报文流入接口
    # iptables -A OUTPUT -s 192.168.10.11 -o ens33 -j ACCEPT \\ -o 数据报文流出接口
放行22端口 ssh服务
    # iptables -I INPUT -d 192.168.10.11 -p tcp --dport 22 -j ACCEPT   \\ -I插入最前面 --dport 目标 --sport 源端口
    # iptables -I OUTPUT 2 -s 192.168.10.11 -p tcp --sport 22 -j ACCEPT \\ 放行了22端口  -I OUTPUT 2 插入到第2条
同时放行22 23 和 80端口 
    # iptables -I INPUT -s 192.168.10.0/32 -d 192.168.10.14 -p tcp -m multiport --dports 22:23,80 -j ACCEPT \\ 同时打开多端口
    # iptables -I OUTPUT -s 192.168.10.14 -d 192.168.10.0/32 -p tcp -m multiport --sports 22:23,80 -j ACCEPT 
只放行某一IP段
    # iptables -I INPUT -d 192.168.10.14 -p tcp -m multiport --dports 22:23,80 -m iprange --src-range 192.168.10.1-192.168.10.120 -j ACCEPT   
    # iptables -I OUTPUT -s 192.168.10.14 -p tcp -m multiport --sports 22:23,80 -m iprange --dst-range 192.168.10.1-192.168.10.120 -j ACCEPT
根据字符串匹配
    # iptables -I OUTPUT -m string --algo kmp --string 'movie' -j REJECT  \\ 无论是谁访问的 基于哪种协议 只要有movie都做拒绝
根据时间匹配
    # iptables -I INPUT -d 192.168.10.14 -p tcp --dport 80 -m time --timestart 14:00 --timestop 16:00 -j REJECT \\ 时间段拒绝
限制22端口并发连接数 单IP             
    # iptables -I INPUT -d 192.168.10.14 -p tcp --dport 22 -m connlimit --connlimit-above 3 -j REJECT   
限制ping速率是10个每分钟
    # iptables -A INPUT -d 192.168.10.14 -p icmp --icmp-type 8 -m limit --limit-burst 2 --limit 10/minute -j ACCEPT
禁止访问百度
    # iptables -I OUTPUT -m string --string "baidu.com" --algo kmp -j DROP

# vim /etc/sysconfig/iptables                       \\ 防火墙默认配置文件
    # sample configuration for iptables service
    # you can edit this manually or use system-config-firewall
    # please do not ask us to add additional ports/services to this default configuration
    *filter
    :INPUT ACCEPT [0:0]
    :FORWARD ACCEPT [0:0]
    :OUTPUT ACCEPT [0:0]
    -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
    -A INPUT -p icmp -j ACCEPT
    -A INPUT -i lo -j ACCEPT
    -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
    -A INPUT -j REJECT --reject-with icmp-host-prohibited
    -A FORWARD -j REJECT --reject-with icmp-host-prohibited
    COMMIT


手动添加以上命令: 
    # iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
    # iptables -A INPUT -p icmp -j ACCEPT
    # iptables -A INPUT -i lo -j ACCEPT
    # iptables -A INPUT  -m state --state NEW -p tcp --dport 65522 -j ACCEPT
    # iptables -A INPUT  -s 47.90.1.83 -m state --state NEW -p tcp --dport 10050 -j ACCEPT
    # iptables -A INPUT  -m state --state NEW -p tcp --dport 80 -j ACCEPT
    # iptables -A INPUT  -m state --state NEW -p tcp --dport 443 -j ACCEPT
    # iptables -A INPUT -j REJECT --reject-with icmp-host-prohibited        \\ 拒绝所有端口
    # iptables -A FORWARD -j REJECT --reject-with icmp-host-prohibited


保存及重载规则
    iptables-save > /iptables.1     \\ 保存到文件
    iptables-restore < /iptables.1   \\ 重新装载回来

    CentOS 7:
        引入了新的iptables前端管理服务工具 firewalld 是以iptables为基准生成规则的
        对于本机的简单防火墙实现 建议使用iptables 首先先要禁用firewalld
            # systemctl disable firewalld.service  \\ 关闭 开机启动
            # systemctl stop firewalld.service      \\ 停止服务  停止后iptables会被清空
            # yum install iptables iptables-services
                # systemctl start iptables
                # service iptables save         \\ 保存规则 即使是空规则 会生成配置文件 /etc/sysconfig/iptables
                # systemctl restart iptables
                # systemctl status iptables       \\ 查询状态
                # systemctl enable iptables        \\ 加入开机启动
                # systemctl list-unit-files          \\ 查看所有服务的状态
                
    CentOS 6:
        service iptables save                        \\ 保存 
            iptables-save > /etc/sysconfig/iptables   \\ 相当于  保存
        service iptables restart                       \\ 重新启动
            iptables-restore < /etc/sysconfig/iptables  \\ 相当于重载
                # service  iptables start
                # service iptables save       \\ 保存规则 即使是空规则 会生成配置文件 /etc/sysconfig/iptables
                # chkconfig --list             \\ 查看是否开机启动
                # chkconfig --level 345 zabbix_agentd on \\ 添加开机启动
                /etc/sysconfig/iptales          \\ 配置文件
                /etc/sysconfig/iptables-config   \\ 加载模块 配置文件
                /etc/init.d/iptables              \\ 启动脚本

iptables 端口转发
    -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
    echo 'net.ipv4.ip_forward = 1'  >> / etc/sysctl.conf


-----------------------------------------------------------------------------------------------------------------


iptables 命令详解  为以上命令详解版本
    -t:  filter  nat  mangle  raw    省略时 filter
    链管理
        -F: flush清空规则链  省略链 表示清空指定表上的所有的链
        -N: new 创建新的自定义规则链 
        -X: drop 删除用户自定义的空的规则链 可先用-F清空在删除
        -Z: zero 清零 置零规则计数器
        -P: policy 为指定链设置默认策略 对filter表中的链而言 默认策略通常有 accept允许放行报文 drop丢弃报文 reject拒绝报文
        -E: rename 重命名自定义链 引用计数不为0的自定义链 无法改名 也无法删除
    规则管理
        -A: append 将新规则追加于指定链的尾部
        -I: insert 将新规则插入至指定链的指定位置  不指明插入第几条时 插入到第一条
        -D: delete 删除指定链上的指定规则 
            有两种指定方式:
                1 指定匹配条件 
                2 指定规则编号
        -R: replace 替换指定链上的指定规则
    查看:
        -L: lsit 列出指定链上的所有规则  默认显示为filter表
            -n: numberic 以数字格式显示地址和端口号 不反解
                -vv -vvv    v越多 显示信息越详细
            --line-numbers: 显示规则编号
            -x: exactly 显示计数器结果的精确值 
    规则示例1:
        # iptables -L            \\ 显示filter表上链的规则 虚拟中会显示出很多 自定义链 带有(0 references) 如果使用-F情况
            # iptables -X         \\ 默认清楚filter表上 自定义的规则
            # iptables -L -n       \\ 查看 
        # iptables -t nat  -L       \\ 显示 nat 表上链的规则
        # iptables -t mangle -L
        # iptables -t raw -L
        # iptables -t filter -N IN_public    \\ 在filter表上 创建 自定义规则
            # iptables -L -n                  \\ 查看
            # iptables -t filter -E IN_public OUT_public \\ 改名 自定义链
        # systemctl restart firewalld.service             \\ 重启防火墙服务 重启后 改动的规则就回来了
        # iptables -L -n        \\ 显示的时候详解 
            Chain INPUT (policy ACCEPT 0 packets, 0 bytes)  \\ 但凡不能被本地所指定的规则所匹配的 那么都匹配成默认规则
            链    哪个链  默认策略为 accept 还可以是 drop reject
            target    prot                          opt     source              destination
            处理目标   哪种协议(一般三种tcp,udp,icmp)  选项    源地址 来自哪个地址  目标地址0.0.0.0/0 表上所有地址
            ACCEPT    all                           --      0.0.0.0/0            0.0.0.0/0    ctstate RELATED,ESTABLISHED
            表示接受   所有协议                               所有地址              所有地址       连接追踪状态
            INPUT_DIRECT
            把自定义链 当 target 由这个自定义链所检查去了
        # iptables -L -n -v       \\ 加入 -v选项 会多两个计数器 匹配到的
            pkts      bytes        
            报文个数   字节数
        # iptables -P FORWARD DROP      \\ 修改默认filter表中 FORWARD链中 默认规则为DROP  可以加入-t 现在修改哪张表 的哪条链
        # iptables -L -n --line-numbers  \\ 查看链规则上的编号
        # iptables -D FORWARD 9           \\ 删除 FORWARD链上的 第9条规则
            # iptables -L -n -v -x         \\ -v 查看详细的信 -x 计数器不做单位换算
    匹配条件:
        基本匹配:
            [!] -s   --src   --source        IP|Netaddr: 检查报文中源IP地址是否符合此处指定的地址范围
            [!] -d   --dst   --destination   IP|Netaddr: 检查报文中源IP地址是否符合此处指定的地址范围
                -p   --protocol{tcp|udp|icmp}: 检查报文中的协议 即ip首部中的protocols所标识的协议
                -i   --in-interface IFACE: 数据报文的流入接口: 仅能用于prerouting input及forward链上
                -o   --out-interface IFACE: 数据报文的流出接口: 仅能用于forward output及postrouting链上
        扩展匹配: -m macth_name --spec_options
            例如: -m tcp --dport 22          \\ sport 源端口 dport 目标端口
            隐式扩展: 对 -p protocol指明的协议进行的扩展 可省了-m 选项
                -p tcp 
                    --dport   目标端口匹配 可以是单个端口或连续多个端口
                    --sport   源端口匹配
                    --tcp-flage LIST1 LIST2: 检查LIST1所指明的所有标志位,且这其中,LIST2所表示出的所有标记位必须为1 
                                             而余下的必须为0 没有LIST1中指明的 不作检查
                        SYN   ACK   FIN   RST   PSH   URG   
                    --syn: 相当于--tcp-flags SYN,ACK,FIN,RST SYN  相当于 tcp三次握手的第一次
                -p udp
                    --dport
                    --sport
                -p icmp
                    --icmp-type  可用数字表示其类型
                        0  echo-reply     回显应答 回送应答 用在他ping别人
                        8  echo-request   请求回送  用在别人ping他
            显式扩展: 必须使用 -m 选项指定使用的扩展
                # man iptables                   \\ CentOS 6 获取帮助
                # man iptables-extensions         \\ CentOS 7 获取帮助
                1 multiport 扩展   以离散方式定义多端口匹配 最多指定15个端口
                    -m multiport --sports 22,80  指明多个源端口    22和80   下面有示例
                    -m multiport --dports 22:30  指明多个目标端口  22到30
                    -m multiport --ports 22,80 既可以指明源 也可以指明目标 很少用
                2 iprange 扩展     指明连续的(但一般是不能扩展为整个网络)ip地址范围时使用
                    -m iprange --src-range 192.168.10.1-192.168.10.120    指明连续的源地址范围
                    -m iprange --dst-range 192.168.10.1-192.168.10.120    指明连续的目标地址范围
                3 string 扩展  检查报文中出现的字符串       \\ 使用kmp 可以   使用 bm不行
                    -m string --algo kmp --string 'movie'  \\ kmp bm  两种算法 都差不多 用一个就行
                4 time 扩展 匹配时间  date查看时间注意是 CST时间是东八区  设置的时间为UTC时间是0时区
                    -m time --timestart 14:00 -m time --timestop 16:00
                    -m time --datestart
                    -m time --datestop
                    -m time --monthdays   1-31
                    -m time --weekdays    1-7
                5 connlimit 扩展 并发连接数限制  根据每客户端IP(也可以说地址块) 做并发连接数量匹配
                    -m connlimit --connlimit-above 3   大于 超过的连接数目 一般做拒绝 相对默认放行一般做拒绝
                    -m connlimit --connlimit-upto 3    小于等于此上限 一般做放行 相对默认拒绝一般做放行
                6 limit 扩展 基于收发报文的速率做检查
                    -m limit --limit 10/minute         设定速率是10个每分钟 还有  /hour  /day  /second
                    -m limit --limit-burst 3      设定一开始的峰值是3 不做限制
                7 state 扩展 ***根据连接追踪机制检查连接的状态 
                    /proc/sys/net/nf_conntrack_max      调整连接追踪功能所能够容纳的最大连接数量
                    /proc/net/nf_conntrack              已经追踪到并记录下的连接
                    /proc/sys/net/netfilter/            目录下有不同协议或连接类型追踪的时长
                    可追踪的连接状态
                        -m state --state NEW: 新发出的请求 连接追踪模板中不存此连接相关的信息条目 将其识别为第一次发出的请求
                        -m state --state ESTABLISHED: new状态后  连接追踪模板中为其建立的条目失效之前期间内所进行的通信的状态
                        -m state --state RELATED: 相关的连接 如ftp协议的命令连接与数据连接之间的关系
                        -m state --state INVALIED: 无法识别的连接
                    # iptables -I INPUT -d 192.168.10.14 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
                    # iptables -I OUTPUT -s 192.168.10.14 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
                        可以优化规则  简化
                            # iptables -I INPUT -m state --state ESTABLISHED -j ACCEPT  \\ 可以加new 的规则做放行
                            # iptables -I OUTPUT -m state --state ESTABLISHED -j ACCEPT  \\ 是这种状态的都放行
                    开启被动模式的ftp服务  26天4 没看 已跳过 
                        1 装载ftp追踪时的专用模块
                            # modprobe nf_conntrack_ftp
                        2 放行请求报文
                            命令连接: NEW  ESTABLISHED
                            数据连接: RELATED  ESTABLISHED
                            # iptables -A INPUT -d 192.168.10.14 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
                            # iptables -A INPUT -d 192.168.10.14 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
                        3 放行响应报文:
                            ESTABLISEHD
                            # iptables -A OUTPUT -s 192.168.10.14 -p tcp -m state --state ESTABLISHED -j ACCEPT
    目标:
        -j  jump至指定的 target处理目标
            accept:     接受
            drop:       丢弃 
            reject:     拒绝
            return:     返回调用链
            redirect:   端口重定向
            log:        记录日志
            mark:       做防火墙标记
            dnat:       目标地址转换
            snat:       源地址转换
            masquerade: 地址伪装
            ...
            自定义链:    由自定义链上的规则进行匹配检查
    规则示例2:
        # iptables -t filter -A INPUT -s 0.0.0.0/0 -d 192.168.10.11 -p tcp -j ACCEPT  \\ 凡是访问本机的报文属于tcp协议都放行
            首先 放行 就是 过滤 所以是-t filter表  可以省略
            访问本机 就是到本机内部来的 在-A规则后面 添加到 INPUT链上 到本机内部只有两个一个inpu 一个是perrouting 第二个不能过滤
            源地址是   所有主机  -s 0.0.0.0/0    可以省略 写的时候要有掩码
            目标地址是 本地主机  -d 192.168.10.11
            协议是 -p tcp     目标 -j accept 都放行
        # iptables -t filter -A OUTPUT -s 192.168.10.11 -d 0.0.0.0/0 -p tcp -j ACCEPT
            凡是由本机发出的tcp协议报文跟任何主机通信都允许出去