iptables配置

关注

原创最新推荐文章于 2026-03-15 00:40:12 发布 479 阅读 AI 写同款· GEO 优化 ›

linux下IPTABLES配置详解这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,而且要写的规则就会增加.但如果你只想要有限的几个规则是,如只做WEB服务器.还是推荐三个链都是DROP.里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.我们要控制流入数据包。在下面就是FORWARD链,FORWARD链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链,对正在转发链的监控. 阅读详情

安装iptables服务

注：如果安装有上层防火墙，需要先删除，防止造成干扰
dnf remove firewall-cmd -y

rocky系统下安装
dnf install iptables-services -y

清理默认iptables规则

iptables -F
service iptables save

添加防火墙规则

入站默认阻止，放行特殊规则，新建一个链存放放行规则

cat > /etc/sysconfig/iptables <<EOF
# 过滤表
*filter
# 入站默认拦截
:INPUT DROP [0:0]
# 转发默认放行
:FORWARD ACCEPT [0:0]
# 出站默认放行
:OUTPUT ACCEPT [0:0]
# 自定义表，用户存放放行规则
:IN_DIRET - [0:0]
# 添加特殊规则，放行认证过的流量
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# 引用自定义链
-A INPUT -j IN_DIRET
# 添加特殊规则，放行认证过的流量
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# 添加放行规则到自定义链中
-A IN_DIRET -p tcp -m tcp --dport 22 -j ACCEPT
-A IN_DIRET -p tcp -m tcp --dport 80 -j ACCEPT
-A IN_DIRET -p tcp -m tcp --dport 443 -j ACCEPT
COMMIT
# nat 表
*nat
# 默认全放行
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT
EOF