Iptables语法概述
Iptables指令可以划分为两个部份，一个是“Iptables指令参数”，另一个是“规则语法”。
Iptables的参数相当多，这并不代表需要记住所有的参数，实际使用的参数并不是太多，只需要记住几个特定的参数即可，而且Iptables的参数是有规则可循的。如下图所示：
例1：列出Filter表中的所有内容
|
1
|
iptables –t filter –L
|
执行的结果如下图所示。
例2：将Filter表中的INPUT Chain内容显示出来
|
1
|
iptables –t filter –L INPUT
|
执行的结果如下图所示。
例3：将Filter表中所有内容清空
|
1
|
iptables –t filter –F
|
执行的结果如下图所示。
例4：将规则加入到Filter表的INPUT Chain
|
1
|
iptables –t filter –A INPUT –p icmp –j ACCEPT
|
执行的结果如下图所示。
例5：将FORWARD链的Default Policy设为DROP
|
1
|
iptables –t filter –P FORWARD DROP
|
执行的结果如下图所示。
例6：在INPUT Chain中插入新的规则
|
1
|
iptables –t filter –I INPUT 2 –p tcp –j ACCEPT
|
执行的结果如下图所示。
例7：替换INPUT Chain中已存在的规则
|
1
|
iptables –t filter –R INPUT 2 –p tcp –j ACCEPT
|
执行的结果如下图所示。
例8：删除INPUT Chain中已存在的规则
|
1
|
iptables –t filter –D INPUT 2
|
执行的结果如上图图所示。
例9：NAT表操作
如下图所示。
例10：managle表操作
如下图所示。
例11：raw表操作
如下图所示。
Iptables规则语法
操作命令（-A、-I、-D、-R、-P、-F）
查看命令（-[vnx]L）
一：-A <链名>
APPEND，追加一条规则（放到最后）
例如：
|
1
|
iptables -t filter -A INPUT -j DROP
|
在 filter 表的 INPUT 链里追加一条规则（作为最后一条规则）， 匹配所有访问本机 IP 的数据包，匹配到的丢弃。
二：-I <链名> [规则号码]
INSERT，插入一条规则
例如：
|
1
|
iptables -I INPUT -j DROP
|
在 filter 表的 INPUT 链里插入一条规则（插入成第 1 条）。
例如：
|
1
|
iptables -I INPUT 3 -j DROP
|
在 filter 表的 INPUT 链里插入一条规则（插入成第 3 条）。
注意：
1、-t filter 可不写，不写则自动默认是 filter 表
2、-I 链名 [规则号码]，如果不写规则号码，则默认是 1
3、确保规则号码 ≤ （已有规则数 + 1），否则报错
三：-D <链名> <规则号码 | 具体规则内容>
DELETE，删除一条规则
例如：
|
1
|
iptables -D INPUT 3
|
删除 filter 表 INPUT 链中的第三条规则（不管它的内容是什么）。
例如：
|
1
|
iptables -D INPUT -s 192.168.0.1 -j DROP
|
删除 filter 表 INPUT 链中内容为“-s 192.168.0.1 -j DROP”的规则 （不管其位置在哪里）
注意：
1、若规则列表中有多条相同的规则时，按内容匹配只删除序号最小的一条
2、按号码匹配删除时，确保规则号码 ≤ 已有规则数，否则报错
3、按内容匹配删除时，确保规则存在，否则报错
四：-R <链名> <规则号码> <具体规则内容>
REPLACE，替换一条规则
例如：
|
1
|
iptables -R INPUT 3 -j ACCEPT
|
将原来编号为 3 的规则内容替换为“-j ACCEPT”。
五：-P <链名> <动作>
POLICY，设置某个链的默认规则
例如：
|
1
|
iptables -P INPUT DROP
|
设置 filter 表 INPUT 链的默认规则是 DROP。
六：-F [链名]
FLUSH，清空规则
例如：
|
1
|
iptables -F INPUT
|
清空 filter 表 INPUT 链中的所有规则。
例如：
|
1
|
iptables -t nat -F PREROUTING
|
清空 nat 表 PREROUTING 链中的所有规则
注意：
1、-F 仅仅是清空链中规则，并不影响 -P 设置的默认规则
2、-P 设置了 DROP 后，使用 -F 一定要小心！！！
3、如果不写链名，默认清空某表里所有链里的所有规则
七：-L [链名]
LIST，列出规则
v：显示详细信息，包括每条规则的匹配包数量和匹配字节数
x：在 v 的基础上，禁止自动单位换算（K、M）
n：只显示 IP 地址和端口号码，不显示域名和服务名称
例如：
|
1
|
iptables -L
|
粗略列出 filter 表所有链及所有规则。
例如：
|
1
|
iptables -t nat -vnL
|
用详细方式列出 nat 表所有链的所有规则，只显示 IP 地址和端口号
例如：
|
1
|
iptables -t nat -vxnL PREROUTING
|
用详细方式列出 nat 表 PREROUTING 链的所有规则以及详细数字，不反解。
