######################
######iptable#########
######################
##iptables是一个工作于用户空间的防火墙应用软件
######三表五链######
filter表 mangle表 nat表
INPUT链 OUTPUT链 FORWARD链 PREROUTING链 POSTROUTING链
1.实验之前关闭firewalld服务，开启iptables
2.iptables命令
iptables -t ##指定表名称
-n ##不作解释
-L ##列出指定表中的策略
-A ##增加策略
-p ##网络协议
--dport ##端口
-s ##数据来源
-j ##动作
ACCEPT ##允许
REJECT ##拒绝
-N ##增加链
-E ##修改链名称
-X ##删除链
-D ##删除指定策略
-I ##插入
-R ##修改策略
-P ##修改默认策略
iptables -t filter -nL ##查看filter表中的策略
iptables -F ##刷掉filter表中的所有策略，当没有用-t指定表名称时默认filter
service iptables save ##保存当前策略
iptables -A INPUT -i lo -j ACCEPT ##允许lo
iptables -A INPUT -p tcp --dport 22 -j ACCEPT ##允许访问22端口
iptables -A INPUT -s 172.25.254.36 -j ACCEPT ##允许36主机访问本机所有端口
iptables -A INPUT -j REJECT ##拒绝所有主机的数据来源
测试：62主机访问22端口和Apache
iptables -N redhat ##增加链redhat
iptables -E redhat westos ##改变链名称
iptables -X westos ##删除链westos
iptables -D INPUT 2 ##删除INPUT链中的第二条策略
iptables -I INPUT -p tcp --dport 80 -jREJECT ##插入策略到INPUT链中的第一条
iptables -R INPUT 1 -p tcp --dport 80 -j ACCEPT ##修改第一条策略
iptables -P INPUT DROP ##把INPUT链中的默认策略改为drop
3. 提高访问速度，缓解访问压力方法iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT ##以前访问过的和正在访问的允许
iptables -A INPUT -i lo -m state --state NEW -j ACCEPT ##第一次访问lo状态为new执行这个策略，以后执行第一条策略
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT ##允许状态是NEW访问22端口
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT ##允许访状态是NEW问80端口
iptables -A INPUT -p tcp --dport 443 -m state --state NEW -j ACCEPT ##允许状态是NEW访问443端口
iptables -A INPUT -p tcp --dport 53 -m state --state NEW -j ACCEPT ##允许状态是NEW访问53端口
iptables -A INPUT -j REJECT ##拒绝所有主机数据来源
iptables-save ##保存
iptables-save > /etc/sysconfig/iptables ##保存到/etc/sysconfig/iptables
4.路由
sysctl -a | grep forward ##查看forward状态
echo "net.ipv4.ip_forward = 1" >>/etc/sysctl.conf ##开启路由
sysctl -p ##生效
iptables -t nat -A PREROUTING -i eth1 -jDNAT --to-dest 172.25.36.11 ##进入路由
测试：用172.25.254.62主机访问172.25.62.11
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source 172.25.254.136 ##出路由设置
测试：用172.25.254.62主机访问172.25.254.162 ， ip为172.25.62.11
测试：
[root@server36 ~]# ping 172.25.36.10
[root@server36 ~]# ping 172.25.254.36
