iptables设置只允许开启accept的端口访问
# 清空所有现有的规则
iptables -F
# 允许所有本地回环（loopback）访问
iptables -A INPUT -i lo -j ACCEPT
# 允许特定端口的访问
iptables -A INPUT -p tcp --dport 你的端口号 -j ACCEPT
# 允许已建立连接的数据包通过
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 拒绝所有其他未明确允许的输入
iptables -A INPUT -j DROP
# 允许转发到你的端口的出站流量
iptables -A FORWARD -p tcp -d 0/0 --dport 你的端口号 -j ACCEPT
# 允许已建立连接的转发数据包
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
# 拒绝所有其他未明确允许的转发
iptables -A FORWARD -j DROP
iptables查看规则编号
iptables -L -n --line-numbers
输出
num target prot opt source destination
1 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
2 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp dpt:8080
3 DROP all – 0.0.0.0/0 0.0.0.0/0
Chain FORWARD (policy ACCEPT)
num target prot opt source destination
Chain OUTPUT (policy ACCEPT)
num target prot opt source destination
Chain YJ-FIREWALL-INPUT (0 references)
num target prot opt source destination
iptables删除规则
1的值来源上一步的num
iptables -D INPUT 1
删除OUTPUT链中匹配特定条件的规则（例如，匹配22端口的TCP流量）：
iptables -D OUTPUT -p tcp --dport 22 -j ACCEPT
iptables关闭已开放的端口
直接删除开放的规则
# 查找开放端口8080的iptables规则
sudo iptables -L -n --line-numbers
# 删除开放端口8080的iptables规则
# 假设规则是 INPUT 链中的第一条，并且是对TCP协议的，使用以下命令
# 其中行号是通过上一个命令得到的
sudo iptables -D INPUT 1
# 如果不确定链和协议，可以直接删除端口
sudo iptables -D INPUT -p tcp --dport 8080
注意事项
所有规则都是前面的规则优先级更高如上图所示：
- 虽然
80端口已经开启，但是其位置位于DROP all -- 0.0.0.0/0 0.0.0.0/0之后，所以80端口外部还是无法访问的。
iptables关于ACCEPT/DROP重量级的操作命令（慎用！！！）
iptables -P INPUT DROP:拒绝所有入方向的接入(危险命令，会导致所有的外部访问都无法访问！！！)iptables -P OUTPUT ACCEPT:接受所有出方向的流出iptables -P FORWARD DROP:拒绝所有转发规则
如果拒绝入方向所有的接入，如何处理
- 此时
ssh已经无法登录，需要使用vnc方式登录 - 找到拒绝所有入方向规则，删除这条规则。或者直接清除
iptables规则iptables -F,然后再重建iptables规则，如允许所有入方向的连接iptables -P INPUT ACCEPT
iptables只允许指定ip访问
仅允许IP地址192.168.1.100访问所有到达22端口（通常是SSH）的流量
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP
保存iptables规则
iptables规则每次服务器重启后都会自动清空，所以需要保存iptables规则到文件
保存iptables规则到文件
文件路径和名称任意
iptables-save > /etc/sysconfig/iptables
iptables中的文件内容
# Generated by iptables-save v1.4.21 on Sat May 18 17:21:18 2024
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [493:55967]
:YJ-FIREWALL-INPUT - [0:0]
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8080 -j ACCEPT
-A INPUT -j DROP
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -s 113.91.42.55/32 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j DROP
COMMIT
# Completed on Sat May 18 17:21:18 2024
所以可以先修改iptables规则文件，再启用此文件规则，重建iptables防火墙
启用文件中的iptables规则
iptables-restore < /etc/sysconfig/iptables
