基本匹配条件

#匹配ip段
iptables -t filter -I INPUT -s 192.168.3.103/24 -j DROP 
#匹配多个ip
iptables -t filter -I INPUT -s 192.168.2.101,192.168.2.103 -j DROP
#匹配ip取反
iptables -t filter -I INPUT ! -s 192.168.2.2 -j ACCEPT
#-d 匹配目标ip地址
iptables -t filter -I INPUT -s 192.168.2.101 -d 192.168.2.102 -j DROP
#-p 匹配协议类型，centos6 -p选项支持如下协议类型tcp, udp, udplite, icmp, esp, ah, sctp，centos7还支持icmpv6、mh
iptables -t filter -I INPUT -s 192.168.2.101 -p icmp -j DROP
iptables -t filter -I INPUT -s 192.168.2.101 ! -p tcp -j DROP
#-i 匹配报文流入网卡接口,只能适用于PREROUTING、INPUT、FORWARD链，不适用于OUTPUT、POSTROUTING链
iptables -t filter -I INPUT -i eth1 -p icmp -j DROP
iptables -t filter -I INPUT ! -i eth1 -p tcp -j DROP
#-o 匹配报文流出网卡接口,只能适用于OUTPUT、POSTROUTING、FORWARD链，不适用于PREROUTING、INPUT链
iptables -t filter -I OUTPUT -o eth1 -p icmp -j DROP

扩展匹配条件-常用扩展模块

tcp模块

#--dport 匹配目标端口
#-m tcp表示使用tcp扩展模块，-p tcp与 -m tcp并不冲突，-p用于匹配报文的协议，-m用于指定扩展模块的名称，正好，这个扩展模块也叫tcp。
iptables -t filter -I INPUT -s 192.168.2.101 -p tcp -m tcp --dport 22 -j DROP
#当使用-p选项指定报文的协议时，如没有使用-m指定对应的扩展模块名称，使用了扩展匹配条件，iptables默认会调用与-p选项对应的协议名称相同的模块。
iptables -t filter -I INPUT -s 192.168.2.101 -p tcp ! --dport 22 -j DROP
#--sport 匹配源端口
iptables -t filter -I INPUT -s 192.168.2.101 -p tcp --sport 22 -j DROP 
iptables -t filter -I OUTPUT -d 192.168.2.101 -p tcp --sport 22 -j DROP
#匹配连续端口范围
iptables -t filter -I INPUT -s 192.168.2.101 -p tcp --dport 28:35 -j DROP
iptables -t filter -I INPUT -s 192.168.2.101 -p tcp --dport 8080: -j DROP
iptables -t filter -I INPUT -s 192.168.2.101 -p tcp --dport :35 -j DROP
# --tcp-flags 匹配报文的tcp头的标志位 ,--syn 用于匹配tcp新建连接的请求报文，相当于使用"--tcp-flags SYN,RST,ACK,FIN  SYN"
iptables -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT
iptables -I OUTPUT -p tcp -m tcp --sport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT
iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags ALL SYN -j REJECT
iptables -t filter -I OUTPUT -p tcp -m tcp --sport 22 --tcp-flags ALL SYN,ACK -j REJECT
iptables -I INPUT -p tcp -m tcp --dport 22 --syn -j REJECT

multiport模块

#--dports、--sports匹配离散的端口，同时可以匹配连续端口
#-m multiport扩展只能用于tcp、udp协议，即配合-p tcp或者-p udp使用
iptables -t filter -I INPUT -s 192.168.2.101 -p tcp -m multiport --dports 22,80,8888 -j DROP
iptables -t filter -I INPUT -s 192.168.2.101 -p tcp -m multiport --dports 22:80,8888 -j DROP

udp模块

# 与tcp模块方法类似
iptables -t filter -I INPUT -p udp -m udp --dport 53 -j ACCEPT
iptables -t filter -I INPUT -p udp -m udp --dport 137:139 -j DROP
#可以结合multiport模块指定多个离散的端口
iptables -t filter -I INPUT -p udp -m udp -m multiport  --dports 53,123 -j ACCEPT

icmp模块

#禁止进出的icmp包
iptables -I INPUT -p icmp -j REJECT
#发出的ping请求属于类型8的icmp报文，而对方主机的ping回应报文则属于类型0的icmp报文
#禁止外部ping，但允许向外ping。
iptables -I INPUT -p icmp -m icmp --icmp-type 8 -j REJECT 
iptables -I OUTPUT -p icmp -m icmp --icmp-type 0 -j REJECT
#禁止发出ping请求icmp报文，达到禁止服务器向外ping
iptables -I OUTPUT -p icmp -m icmp --icmp-type 8 -j REJECT

iprange扩展模块

#--src-range 、--dst-range，可以指定"一段连续的IP地址范围"，
iptables -t filter -I INPUT -m iprange --src-range 192.168.7.1-192.168.7.255 -j DROP

string扩展模块

#--algo 指定对应的匹配算法（bm kmp），如无效换一个匹配算法（input用bm，output用kmp？？），注意使用INPUT、还是OUTPUT
#--string 指定匹配的字符串
iptables -t filter -I INPUT -m string --algo bm --string "west" -j DROP 
iptables -t filter -I OUTPUT -m string --algo kmp --string "west" -j DROP

time扩展模块

# time模块匹配时间是UTC，时区差8个小时
#--timestart  --timestop  开始结束时刻几点几分几秒
#--weekdays 每周哪天， --monthdays 每月哪天
#--datestart  与-datestop选项，指定具体的日期范围
#--monthdays与--weekdays可以使用"!"取反，其他选项不能取反
iptables -t filter -I OUTPUT -p tcp --sport 80 -m time --timestart 12:14:00 --timestop 12:15:00 -j DROP
iptables -t filter -I OUTPUT -p tcp --sport 80 -m time --weekdays 3,6,7 -j DROP
iptables -t filter -I OUTPUT -p tcp --sport 80 -m time --monthdays 8,10,11 -j DROP
iptables -t filter -I OUTPUT -p tcp --sport 80 -m time --weekdays 5,6 --monthdays 12,13,14 -j DROP
iptables -t filter -I OUTPUT -p tcp --sport 80 -m time --datestart 2020-08-12 --datestop 2020-08-14 -j DRO
iptables -t filter -I OUTPUT -p tcp --sport 80  -m time --timestart 09:00:00 --timestop 18:00:00 --weekdays 6,7 -j REJECT

connlimit扩展模块

#--connlimit-above  默认表示限制"每个IP"的链接数量
#--connlimit-mask 针对"某类IP段内的一定数量的IP"进行连接数量的限制
iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 10 --connlimit-mask 24 -j DROP

limit扩展模块

# 限制单位时间内流入的包的数量, /second、/minute、/hour、/day
#--limit-burst 默认值为5,
#令牌桶:"--limit"选项就是用于指定"多长时间生成一个新令牌的"，"--limit-burst"选项就是用于指定"木桶中最多存放几个令牌的"
iptables -A INPUT -p icmp -m limit --limit-burst 3 --limit 10/minute -j ACCEPT
iptables -A INPUT -p icmp -j REJECT