iptables模块和用户自定义链

可以使用multiport模块统一一次指定多个端口。

在写规则时,必须指定“ -m ”参数来检查状态

-m  stat --state  检测包状态

-m multiport这个模块可以匹配一组源或者目的的端口号,最多达15个端口;

如后面跟:

--source-ports  22,80

--destination-ports 80,53,110,443

如下面完整示例:

1、iptables -A INPUT -p all -m state --state  ESTABLISHED,RELATED  -j  ACCEPT

2、Iptables -A INPUT -p tcp --syn -m state --state NEW -m multiport --dports 21,80,443,8080 -j ACCEPT

iprange 模块

当需要为防火墙指定一段连续的IP地址时,这时最原始的方法,你可能需要添加很多条防火墙规则记录,而且一旦之后需要对其更改,那工作量也不小。而此时,我们可以利用iprange 模块的优势,将原本需要多条规则记录的方式,精简成一条规则。当然前提需要是连续的IP段。

如下面完整示例:

Iptables -A INPUT -m iprange --src-range 192.168.0.100-192.168.0.120 -j ACCEPT

处理方法

Netfilter内置了一些简单的处理方法:

ACCEPT和DROP处理方法,这两种是最常见的处理方法,分别是允许与不允许数据包进入系统。

如:

iptables -A INPUT -p tcp -d 192.168.0.0/24 -j ACCEPT

iptables -A INPUT -p tcp -d 192.168.1.0/24 -j DROP

QUEUE处理方法

这种处理方法,首先需要经过netfilter的条件匹配,若符合,则主要是依赖用户空间的应用程序来进一步地对数据包进行处理,分析,然后再经过选择后将数据包传出。而在用户空间的应用程序可以是“杀毒软件”,“邮件过滤分析软件”但目前对应这种机制的的应用程序非常少。

如:

iptables -A FORWARD -p tcp -d 192.168.0.200 --dport 25 -j QUEUE

RETURN处理方式

以上的几种处理方式大家可能都比较熟悉,还有一种RETURN的方式大家知道么?要来了解RETURN方式,需要先了解用户自定义链的概念。

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:https://www.heiqu.com/19999.html