iptables学习笔记
1. iptables基础使用简介: iptables是Linux系统中用于管理网络数据包过滤规则的工具。它允许我们在网络层面上控制入站和出站数据流量，从而实现防火墙、端口转发、NAT等功能。以下是一些常用的iptables命令和概念：
- iptables规则链: iptables规则按照预定义的链来组织。常见的链包括INPUT（入站数据包）、OUTPUT（出站数据包）、FORWARD（转发数据包）等。
- 规则动作: 规则动作可以是ACCEPT（接受数据包）、DROP（丢弃数据包）、REJECT（拒绝数据包并发送拒绝消息）等。
- 规则匹配: 你可以根据源IP、目标IP、端口号等条件匹配特定的数据包，并对其应用规则。
以下是一些常用的iptables命令示例：
# 清除所有规则和计数器
iptables -F
# 允许本地回环流量
iptables -A INPUT -i lo -j ACCEPT
# 允许特定端口的入站流量
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 拒绝其余入站流量
iptables -A INPUT -j DROP
# 查看规则列表
iptables -L -n
2. ipset命令: ipset是一个用于管理大量IP地址或端口号集合的工具，可以与iptables结合使用以实现高效的数据包过滤。它能够提高性能，减少规则数量，并支持多种集合类型。以下是一些ipset命令示例：
# 创建一个名为"whitelist"的IP集合
ipset create whitelist hash:ip
# 向集合中添加IP地址
ipset add whitelist 192.168.1.1
# 从集合中移除IP地址
ipset del whitelist 192.168.1.1
# 使用ipset集合来允许流量
iptables -A INPUT -m set --match-set whitelist src -j ACCEPT
3. 编写bash脚本: 编写bash脚本可以帮助你自动化iptables和ipset的配置。以下是一个简单的示例脚本，用于设置基本的防火墙规则：
#!/bin/bash
# 清除所有规则和计数器
iptables -F
# 设置默认规则：拒绝所有入站和转发流量，允许所有出站流量
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
# 允许回环流量
iptables -A INPUT -i lo -j ACCEPT
# 允许已建立的连接和相关数据包
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# 允许特定端口的入站流量
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 拒绝其余入站流量
iptables -A INPUT -j DROP
# 保存规则
service iptables save
这个示例脚本演示了如何创建一个基本的防火墙规则集，你可以根据需要进行修改和扩展。
总结 通过学习iptables基础使用、ipset命令和编写bash脚本，我们可以有效地管理Linux系统的网络数据包过滤规则，实现安全性和网络性能的平衡。这些工具为你提供了控制网络流量的灵活性和定制性。
