一：IPTABLES语法入门：
iptables 是建立在 netfilter 架构基础上的一个包过滤管理工具
用户通过 /sbin/iptables 命令来管理 iptables，和 route 命令相同，iptables 命令的效果在重新启动以后就不再有效。
可以使用 /etc/rc.d/init.d/iptables save 将当前 iptables 规则写到 /etc/sysconfig/iptables 文件中，那么每次开机时/etc/rc.d/init.d/iptables start 命令会使 /etc/sysconfig/iptables 中的规则生效。
iptables 可以操纵3 个表：filter 表，nat 表，mangle 表。NAT 和一般的 mangle 用 -t 参数指定要操作哪个表。filter 是默认的表，如果没有 -t 参数，就默认对 filter 表操作。
Rule 规则：过滤规则，端口转发规则等，例如：禁止任何机器 ping 我们的服务器，可以在服务器上设置一条规则：
bash> iptables -A INPUT -s ! 127.0.0.1 -p icmp -j DROP
从 –s 开始即是一条规则，-j 前面是规则的条件，-j 开始是规则的行为（目的）。整条命令解释为，在filter 表中的 INPUT 规则链中插入一条规则，所有源地址不为 127.0.0.1 的 icmp 包都被抛弃。
Chain 规则链：由一系列规则组成，每个包顺序经过 chain 中的每一条规则。chain 又分为系统 chain
和用户创建的 chain。下面先叙述系统 chain。
filter 表的系统 chain： INPUT，FORWAD，OUTPUT
nat 表的系统 chain： PREROUTING，POSTROUTING，OUTPUT
mangle 表的系统 chain： PREROUTING，OUTPUT
每条系统 chain 在确定的位置被检查。比如在包过滤中，所有的目的地址为本地的包，则会进入INPUT 规则链，而从本地出去的包会进入 OUTPUT 规则链。
所有的 table 和 chain 开机时都为空，设置 iptables 的方法就是在合适的 table 和系统 chain 中添加相应的规则。
用户可以创建新的chain。用户 chain 只有作为某个系统 chain 的目的才有作用。比如创建一个名叫AAA 的规则链，想让 icmp 包通过它的检验。
bash> iptables -A INPUT -p icmp -j AAA
上述命令将用户创建的规则链 AAA 作为了一条系统 chain（INPUT）中的规则 “-p icmp” 的目的。
对每条 chain 有一个默认策略，也就是对包的默认的行为。可以设为抛弃（DROP）或接受（ACCEPT）。系统启动的时候所有的默认策略都是 ACCEPT。当包通过了 chain 所有的规则（不符合所有的规则的条件）的时候，系统按默认策略处理这个包。
iptables 命令
� 针对表的操作
查看：iptables -t table_name -L
刷新：
1、清除所有的规则和用户创建的chain
iptables -t table_name -F
2、清除所有的记数（符合规则的包的数目）
iptables -t table_name -Z
� 针对链的操作（注意以下都省略了 -t table_name）
查看：iptables -L chain_name
刷新：iptables -F chain_name
清除记数：iptables -Z chain_name
创建新链：iptables -N chain_name
删除链：iptables -X chain_name
重命名：iptables -E chain_old_name chain_new_name
设置策略：iptables -P chain_name policy
� 针对规则的操作
添加一条规则：iptables -A chain_name rule-spec
插入一条规则：iptables -I chain_name 规则号 new_rule_spec （插入后的规则号为命令中指定的
号，原来存在的规则号顺延）。
删除一条规则：有两种方法删除规则：通过指定规则号删除一条规则或通过指定规则的内容来删除一
条规则。每个规则链中的规则号从1 开始记数。
iptables -D chain_name 规则号
iptables -D chain_name 规则内容
修改一条规则：iptables -R chain_name 规则号 new_rule_spec
----------------------------------------------------------------------------------
二，IPTABLES举例：
1，链的基本操作：
清除预设表filter中所有规则链中的规则：
iptables -F
清除预设表filter中使用者自定链中的规则：
iptables -X
将指定链中所有规则的包字节计数器清零：
iptables -Z
--------------------------------
2，设置链的默认规则：
首先允许所有包的规则：
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
首先禁止所有包的规则：
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
--------------------------------
3，列出表/链中的规则：
列出表/链中的所有规则
iptables -L
若显示较慢可以使用
iptables -L -n
--------------------------------
4，向链中添加规则：
如：
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -j ACCEPT
iptables -A FORWARD -o eth0 -j ACCEPT
注：由于本地进程不会经过FORWARD链，因此lo环回接口只在INPUT和OUTPUT两个链上工作。
--------------------------------
5，使用用户自定义链：
iptables -N brus
iptables -A brus -s 0/0 -d 0/0 -p icmp -j DROP
iptables -A INPUT -s 0/0 -d 0/0 -j brus
此例子的意思是：
第一句建立了一个叫做brus的用户自定义链；
第二句用-A参数添加了一条用户自定义的封堵规则；
第三句向默认的INPUT链添加一条新规则，使所有的包都由brus自定义链处理。
---------------------------------
6，设置默认的匹配规则：
匹配指定的协议：
iptables -A INPUT -p tcp
匹配指定协议之外的所有协议：
iptables -A INPUT -p ! tcp
-------------
指定地址匹配：
指定匹配的主机
iptables -A INPUT -s 192.168.1.1
指定匹配的网络
iptables -A INPUT -s 192.168.1.0/24
指定匹配主机之外的地址
iptables -A FORWARD -s ! 192.168.0.1
指定匹配网络之外的网络
iptables -A FORWARD -s ! 192.168.0.0/24
-----------------
指定网络接口匹配：
指定单一的网络接口匹配
iptables -A INPUT -i eth0
iptables -A FORWARD -o eth0
指定同类型的网络接口
iptables -A FORWARD -o eth+
-------------
指定端口匹配：
指定单一端口匹配
iptables -A INPUT -p tcp --sport www
iptables -A INPUT -p tcp --sport 80
iptables -A INPUT -p udp --sport 53
iptables -A INPUT -p udp --dport 53
匹配指定端口以外的端口
iptables -A INPUT -p tcp --sport ! 22
匹配指定的端口范围
iptables -A INPUT -p tcp --sport 22:80
匹配ICMP端口和ICMP类型
iptables -A INPUT -p icmp --icmp-type 8