Linux防火墙如何使用iptables命令
在 Linux 中，iptables 是最常用的防火墙配置工具之一，用于设置、维护和检查 IPv4 数据包过滤规则。下面从 基本概念 → 常用命令 → 实战示例 → 注意事项 系统介绍 iptables 的使用。
一、iptables 基本概念
1. 表（Tables）
iptables 有多个表，最常用的是：
| 表名 | 作用 |
|---|---|
filter |
默认表，负责数据包过滤（最常用） |
nat |
网络地址转换（端口映射、NAT） |
mangle |
修改数据包（如 TOS、TTL） |
2. 链（Chains）
每个表包含若干链：
filter 表常用链
INPUT：进入本机的数据包OUTPUT：从本机发出的数据包FORWARD：转发的数据包
nat 表常用链
PREROUTING：路由前POSTROUTING：路由后OUTPUT
二、iptables 基本命令格式
iptables [-t 表名] 命令 链名 [匹配条件] [-j 动作]
常见命令
| 命令 | 含义 |
|---|---|
-A |
追加规则 |
-I |
插入规则 |
-D |
删除规则 |
-L |
查看规则 |
-F |
清空规则 |
-P |
设置默认策略 |
常见动作
| 动作 | 含义 |
|---|---|
ACCEPT |
允许 |
DROP |
丢弃（无响应） |
REJECT |
拒绝（返回错误） |
三、查看 iptables 规则
iptables -L
详细显示：
iptables -nvL
指定表：
iptables -t nat -nvL
四、常用防火墙规则示例
1️⃣ 允许已建立的和相关的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
2️⃣ 允许本地回环接口（lo）
iptables -A INPUT -i lo -j ACCEPT
3️⃣ 允许 SSH（22端口）
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
⚠️ 注意：修改前一定要确保 SSH 端口允许，否则会被踢出服务器
4️⃣ 允许 HTTP / HTTPS
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
5️⃣ 拒绝所有其他入站流量
iptables -P INPUT DROP
允许出站（通常）：
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
6️⃣ 禁止某个 IP 访问
iptables -A INPUT -s 192.168.1.100 -j DROP
7️⃣ 开放指定端口范围
iptables -A INPUT -p tcp --dport 3000:4000 -j ACCEPT
五、删除规则
按规则编号删除
iptables -L --line-numbers
iptables -D INPUT 3
按规则内容删除
iptables -D INPUT -p tcp --dport 22 -j ACCEPT
六、清空规则（慎用）
iptables -F
iptables -X
iptables -Z
⚠️ 会清空所有规则，远程服务器可能失联
七、NAT 配置示例（端口映射）
开启 IP 转发
echo 1 > /proc/sys/net/ipv4/ip_forward
SNAT（内网上网）
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
DNAT（端口转发）
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.10:80
八、iptables 规则持久化
默认重启会丢失，需要保存。
CentOS / RHEL
service iptables save
Debian / Ubuntu
iptables-save > /etc/iptables/rules.v4
恢复：
iptables-restore < /etc/iptables/rules.v4
九、iptables vs firewalld / nftables
| 工具 | 说明 |
|---|---|
| iptables | 传统工具，兼容性好 |
| firewalld | RHEL/CentOS 7+ 默认 |
| nftables | 新一代防火墙（替代 iptables） |
如果你使用的是 CentOS 7+ / RHEL 7+ / Ubuntu 22+，建议了解 firewalld 或 nftables。
十、典型安全规则模板（HTTP 服务器）
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
如果你愿意，我可以：
- ✅ 帮你写 服务器专用 iptables 规则
- ✅ 对比 iptables vs firewalld
- ✅ 排查 iptables 配置导致的网络问题
- ✅ 教你 如何避免 SSH 被锁死
只要告诉我你的 Linux 发行版和使用场景即可。