• PREROUTING → INPUT → 本机应用程序

• 本机应用程序 → OUTPUT → POSTROUTING

• PREROUTING → FORWARD → POSTROUTING

• 自上而下依次检查规则，找到匹配规则后停止（LOG 策略例外）。
• 若无匹配规则，按默认策略处理（未修改时，默认为允许）。

• 默认使用 firewalld 防火墙，若需使用 iptables：

  systemctl stop firewalld.serviceyum -y install iptables iptables-servicesystemctl start iptables.service

命令格式：

iptables [-t 表名] [选项] [链名] [匹配条件] [-j 控制类型]

注意事项：

• 不指定表名，默认使用 filter 表。
• 不指定链名，默认使用链内所有链。
• 不指定匹配条件需默认处理。
• 选项、链名、控制类型使用大写字母。

常用控制类型：

• ACCEPT：允许数据包通过。
• DROP：丢弃数据包。
• REJECT：拒绝数据包，返回错误信息。
• SNAT：修改源地址。
• DNAT：修改目的地址。
• LOG：记录日志并继续处理。

常用管理选项：

• -A：在链末尾追加规则。
• -I：在链开头插入规则。
• -R：替换指定规则。
• -P：设置链默认策略。
• -D：删除规则。
• -F：清空链规则。
• -L：列出规则。
• -n：显示数字形式。
• -v：显示详细信息。
• --line-numbers：显示规则序号。

添加新规则：

iptables -t filter -A INPUT -p icmp -j REJECTiptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT

查看规则列表：

iptables -n -L [链名] --line-numbers

设置默认策略：

iptables -P INPUT DROPiptables -P FORWARD DROP

删除规则：

iptables -D INPUT 2iptables -t filter -D INPUT -p icmp -j REJECT

清空规则：

iptables -F INPUTiptables -F

DNAT 应用环境：

• 在 Internet 中发布局域网内的服务器。

DNAT 原理：

• 修改数据包的目的地址。

DNAT 转换前提条件：

• 服务器可访问 Internet。
• 网关有正确的 DNS 解析记录。
• 网关启用 IP 转发。

DNAT 开启方式：

vim /etc/sysctl.confnet.ipv4.ip_forward = 1sysctl -p

DNAT 转换示例：

iptables -t nat -A PREROUTING -i ens33 -d 12.0.0.1 -p tcp --dport 80 -j DNAT --to 192.168.133.10

备份：

iptables-save > /opt/ipt.txt

还原：

iptables-restore < /opt/ipt.txt

保存与重启：

vim /etc/sysconfig/iptablesiptables-save > /etc/sysconfig/iptablessystemctl stop iptablessystemctl start iptables