iptables -J动作总结
1、iptables常见动作
- ACCEPT
- DROP
- REJECT
- LOG
- SNAT
- DNAT
- MASQUERADE
- REDIRECT
2、iptables常见动作用法
2-1、ACCEPT：
作用：用于接收匹配的流量，使得流量继续往后面的规则和链路去匹配
2-2、DROP
作用：用于丢弃匹配的流量，使得流量不再往后面的规则和链路去匹配
2-3、REJECT
作用：用于拒绝匹配的流量，同时回复拒绝的原因，一般用于拒绝且需要设置提示信息的场景，当对方被拒绝时，会提示对方为什么被拒绝。
REJECT动作的常用选项为–reject-with：
-
icmp-net-unreachable
-
icmp-host-unreachable
-
icmp-port-unreachable,
-
icmp-proto-unreachable
-
icmp-net-prohibited
-
icmp-host-pro-hibited
-
icmp-admin-prohibited
-
tcp-reset
当不设置任何值时，默认值为icmp-port-unreachable。
2-4、LOG
作用：可以将符合条件的报文的相关信息记录到日志中，但当前报文具体是被”接受”，还是被”拒绝”，都由后面的规则控制。LOG动作只负责记录匹配到的报文的相关信息，不负责对报文的其他处理，如果想要对报文进行进一步的处理，可以在之后设置具体规则，进行进一步的处理。
查看iptables LOG日志：
LOG动作会将报文的相关信息记录在/var/log/message文件中，当然，我们也可以将相关信息记录在指定的文件中，以防止iptables的相关信息与其他日志信息相混淆，修改/etc/rsyslog.conf文件（或者/etc/syslog.conf），在rsyslog配置文件中添加如下配置即可：
#vim /etc/rsyslog.conf
kern.warning /var/log/iptables.log
加入上述配置后，报文的相关信息将会被记录到/var/log/iptables.log文件中。
完成上述配置后，重启rsyslog服务（或者syslogd）：service rsyslog restart
LOG动作也有自己的选项，常用选项如下：
-
–log-level选项可以指定记录日志的日志级别，可用级别有：emerg，alert，crit，error，warning，notice，info，debug。
-
–log-prefix选项可以给记录到的相关信息添加”标签”之类的信息，以便区分各种记录到的报文信息，方便在分析时进行过滤。
2-5、SNAT
作用：网络内部的主机可以借助SNAT隐藏自己的IP地址，同时还能够共享合法的公网IP，让局域网内的多台主机共享公网IP访问互联网。
2-6、DNAT
作用：只有一个公网IP，但内网中却有很多服务器提供各种服务，我们想要通过公网访问这些服务使用DNAT即可。利用DNAT，将客户端发送过来的报文的目标地址与端口号做了映射，将访问服务的报文转发到了内网中特定服务
2-7、MASQUERADE
作用：SNAT，也就是源地址转换。当我们对外每次分配的IP地址往往不同，不会长期分给我们一个固定的IP地址，如果这时，想要让内网主机共享公网IP，就会很麻烦，因为每次IP地址发生变化以后，我们都要重新配置SNAT规则。通过MASQUERADE即可解决这个问题，MASQUERADE会动态的将源地址转换为可用的IP地址，其实与SNAT实现的功能完全一致，都是修改源地址，只不过SNAT需要指明将报文的源地址改为哪个IP，而MASQUERADE则不用指定明确的IP，会动态的将报文的源地址修改为指定网卡上可用的IP地址。可以把MASQUERADE理解为动态的、自动化的SNAT，如果没有动态SNAT的需求，没有必要使用MASQUERADE，因为SNAT更加高效。
2-8、REDIRECT
作用：使用REDIRECT动作可以在本机上进行端口映射
比如，将本机的80端口映射到本机的8080端口上
iptables -t nat -A PREROUTING -p tcp –dport 80 -j REDIRECT –to-ports 8080
3、注意点
-
如果想要NAT功能能够正常使用，需要开启Linux主机的核心转发功能：
echo 1 > /proc/sys/net/ipv4/ip_forward
最后
以上就是彪壮裙子最近收集整理的关于【博客621】iptables -J动作总结iptables -J动作总结的全部内容，更多相关【博客621】iptables内容请搜索靠谱客的其他文章。
发表评论 取消回复