Linux服务器iptables防火墙规则基础理论学习知识要点

博主：疯狂の猿猴
发布时间：2025 年 07 月 16 日
261 次浏览
1698字数
分类：技巧文章

四表五链

表/链	PREROUTING(路由前)	INPUT(入)	FORWARD(转发)	OUTPUT(出)	POSTROUTING(路由后)
Raw	✓			✓
Mangle	✓	✓	✓	✓	✓
Nat	✓			✓	✓
Filter		✓	✓	✓

动作和作用表

序	动作	含义	作用表	场景说明
1	ACCEPT	接受数据包，允许通过	Filter表	属于过滤性质
2	DROP	丢弃数据包，不给响应	Filter表	静默丢弃，无提示
3	REJECT	拒绝数据包，返回错误	Filter表	主动回复 ICMP 错误等
4	LOG	记录数据包信息到日志	Filter、NAT、Raw	通常配合调试使用
5	DNAT	目标地址转换	NAT表	场景：端口转发
6	SNAT	源地址转换	NAT表	场景：内网访问外网
7	MASQUERADE	动态源地址转换	NAT表	场景：拨号上网

组织流程

在写命令过程中，先分析需求，在拆分

组织流程
需求	→	动作	→	表	→	链

保证会话完整（回程命令）

iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEP

部分常用的参数

参数	作用
-t	要操作的匹配包的表
-j	指定规则的目标
-A	在所选择的链末添加一条或更多规则
-p	指定协议
--dport	目标端口
-P	设置链的默认规则（优先级最低）

最后修改：2025 年 07 月 16 日

© 允许规范转载

赞赏必须赞赏，多多益善，老板一直发大财！

Linux服务器iptables防火墙规则基础理论学习知识要点

疯狂の猿猴 • 2025 年 07 月 16 日

<h2>四表五链</h2><table><thead><tr><th>表/链</th><th>PREROUTING(路由前)</th><th>INPUT(入)</th><th>FORWARD(转发)</th><th>OUTPUT(出)</th><th>POSTROUTING(路由后)</th></tr></thead><tbody><tr><td>Raw</td><td>✓</td><td> </td><td> </td><td>✓</td><td> </td></tr><tr><td>Mangle</td><td>✓</td><td>✓</td><td>✓</td><td>✓</td><td>✓</td></tr><tr><td>Nat</td><td>✓</td><td> </td><td> </td><td>✓</td><td>✓</td></tr><tr><td>Filter</td><td> </td><td>✓</td><td>✓</td><td>✓</td><td> </td></tr></tbody></table><h2>动作和作用表</h2><table><thead><tr><th>序</th><th>动作</th><th>含义</th><th>作用表</th><th>场景说明</th></tr></thead><tbody><tr><td>1</td><td>ACCEPT</td><td>接受数据包，允许通过</td><td>Filter表</td><td>属于过滤性质</td></tr><tr><td>2</td><td>DROP</td><td>丢弃数据包，不给响应</td><td>Filter表</td><td>静默丢弃，无提示</td></tr><tr><td>3</td><td>REJECT</td><td>拒绝数据包，返回错误</td><td>Filter表</td><td>主动回复 ICMP 错误等</td></tr><tr><td>4</td><td>LOG</td><td>记录数据包信息到日志</td><td>Filter、NAT、Raw</td><td>通常配合调试使用</td></tr><tr><td>5</td><td>DNAT</td><td>目标地址转换</td><td>NAT表</td><td>场景：端口转发</td></tr><tr><td>6</td><td>SNAT</td><td>源地址转换</td><td>NAT表</td><td>场景：内网访问外网</td></tr><tr><td>7</td><td>MASQUERADE</td><td>动态源地址转换</td><td>NAT表</td><td>场景：拨号上网</td></tr></tbody></table><h2>组织流程</h2><p>在写命令过程中，先分析需求，在拆分</p><table><thead><tr><th>组织流程</th></tr></thead><tbody><tr><td>需求</td><td>→</td><td>动作</td><td>→</td><td>表</td><td>→</td><td>链</td></tr></tbody></table><h2>保证会话完整（回程命令）</h2><pre><code class="lang-SHELL">iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEP</code></pre><h2>部分常用的参数</h2><table><thead><tr><th>参数</th><th>作用</th></tr></thead><tbody><tr><td>-t</td><td>要操作的匹配包的表</td></tr><tr><td>-j</td><td>指定规则的目标</td></tr><tr><td>-A</td><td>在所选择的链末添加一条或更多规则</td></tr><tr><td>-p</td><td>指定协议</td></tr><tr><td>--dport</td><td>目标端口</td></tr><tr><td>-P</td><td>设置链的默认规则（优先级最低）</td></tr></tbody></table>

×