iptables入门：规则及路由基础-唐霜

之前在写服务器安全基础的文章的时候，涉及【未经授权禁止转载】【转载请注明来源】到了iptables的一些知识。本来不打【本文首发于唐霜的博客】【访问 www.tangshuang.net 获取更多精彩内容】算对iptables做单独的介绍，但是由【转载请注明来源】【转载请注明来源】于网上的文章都太水，没有让人一看就能知道本文作者：唐霜，转载请注明出处。本文版权归作者所有，未经授权不得转载。的教程，一些比较简单的东西到处都是，而那【关注微信公众号：wwwtangshuangnet】【版权所有】唐霜 www.tangshuang.net些稍微比较复杂一点的，诸位作者就说这个你【本文首发于唐霜的博客】未经授权，禁止复制转载。用不到，然后就略过了。本文则来拾遗这些本转载请注明出处：www.tangshuang.net【未经授权禁止转载】来应该被注意的点。

数据包关卡【原创内容，转载请注明出处】

【作者：唐霜】本文作者：唐霜，转载请注明出处。【未经授权禁止转载】未经授权，禁止复制转载。

到来自服务器外的其他用户访问这台服务器时【版权所有，侵权必究】【本文受版权保护】，防火墙软件对数据包设置了多个关卡，根据原创内容，盗版必究。【版权所有，侵权必究】数据处理的逻辑，在逻辑顺序的某些关键节点【转载请注明来源】【访问 www.tangshuang.net 获取更多精彩内容】，防火墙对数据进行监控，根据规则对数据包【原创内容，转载请注明出处】本文版权归作者所有，未经授权不得转载。进行放行、丢弃、拒绝、修改。而这些关卡就【关注微信公众号：wwwtangshuangnet】本文版权归作者所有，未经授权不得转载。是被人称为“链”的逻辑位置。

【作者：唐霜】原创内容，盗版必究。【关注微信公众号：wwwtangshuangnet】

用关卡来形容这个过程，是让读者可以理解，【作者：唐霜】未经授权，禁止复制转载。防火墙对数据包的放行、丢弃、拒绝、修改仅转载请注明出处：www.tangshuang.net【版权所有，侵权必究】在这些逻辑位置发生，不是全程跟踪数据包的【转载请注明来源】【原创内容，转载请注明出处】。我们可以简单的理一理这些关卡有哪些：①【本文首发于唐霜的博客】本文版权归作者所有，未经授权不得转载。数据包达到服务器；②数据包离开服务器。这著作权归作者所有，禁止商业用途转载。【关注微信公众号：wwwtangshuangnet】是我们最容易get到的情况，还有三种情况【本文首发于唐霜的博客】原创内容，盗版必究。：③数据包在服务器内进行传播，比如先经过【原创不易，请尊重版权】原创内容，盗版必究。一个程序处理，得到的结果丢给第二个程序继【关注微信公众号：wwwtangshuangnet】转载请注明出处：www.tangshuang.net续处理，也有可能是，数据本身是从服务器发本文版权归作者所有，未经授权不得转载。本文作者：唐霜，转载请注明出处。出去的，在另外一台机器上处理完以后，又把著作权归作者所有，禁止商业用途转载。【访问 www.tangshuang.net 获取更多精彩内容】数据包发回来，或者说就是路由的情况；④服【本文首发于唐霜的博客】【转载请注明来源】务器作为中转站，数据包到达服务器之后并不【版权所有，侵权必究】转载请注明出处：www.tangshuang.net实际进入服务器内部，而是问一问路，就去了原创内容，盗版必究。未经授权，禁止复制转载。想去的方向，这种情况出现在用服务器作为代【版权所有】唐霜 www.tangshuang.net未经授权，禁止复制转载。理或路由的时候；⑤也就是问完路离开的那一【关注微信公众号：wwwtangshuangnet】未经授权，禁止复制转载。瞬间，但是问完路也有可能发现要进到服务器转载请注明出处：www.tangshuang.net著作权归作者所有，禁止商业用途转载。里面去，但是第5种情况是不进入服务器，问【版权所有】唐霜 www.tangshuang.net【关注微信公众号：wwwtangshuangnet】完路去其他地方。

【作者：唐霜】【作者：唐霜】【转载请注明来源】

4表5链【本文首发于唐霜的博客】

4表（nat、filter、mangle【原创不易，请尊重版权】【访问 www.tangshuang.net 获取更多精彩内容】、raw）是指在iptables中，所有未经授权，禁止复制转载。转载请注明出处：www.tangshuang.net的规则是被存放在4张表中的，在数据包到达本文版权归作者所有，未经授权不得转载。【本文首发于唐霜的博客】一个关卡的时候，iptables先从na本文版权归作者所有，未经授权不得转载。著作权归作者所有，禁止商业用途转载。t表中找出与本关卡相关的规则记录，然后按转载请注明出处：www.tangshuang.net原创内容，盗版必究。照规则在表中的先后顺序执行，执行完nat未经授权，禁止复制转载。【原创内容，转载请注明出处】表之后，又去filter表执行同样的动作【转载请注明来源】【本文受版权保护】。不过在1.2.9以后版本的iptabl【原创不易，请尊重版权】未经授权，禁止复制转载。es中新增的raw表具有更高的优先级。具原创内容，盗版必究。未经授权，禁止复制转载。体的表相关内容，可以阅读这篇参考文献本文版权归作者所有，未经授权不得转载。的4表部分。本文版权归作者所有，未经授权不得转载。

5链对应上面提到的5种关卡位置，5链包括【访问 www.tangshuang.net 获取更多精彩内容】转载请注明出处：www.tangshuang.net：INPUT（对应①）、OUTPUT（对【转载请注明来源】【本文首发于唐霜的博客】应②）、FORWORD（对应③）、PRE著作权归作者所有，禁止商业用途转载。【作者：唐霜】ROUTING（对应④）、POSTROU转载请注明出处：www.tangshuang.net本文作者：唐霜，转载请注明出处。TING（对应⑤）。

【作者：唐霜】【未经授权禁止转载】转载请注明出处：www.tangshuang.net【本文受版权保护】【本文受版权保护】

规则顺序【转载请注明来源】

【原创不易，请尊重版权】【未经授权禁止转载】【关注微信公众号：wwwtangshuangnet】

虽然5链把所有情况都囊括了，但是有一个问【关注微信公众号：wwwtangshuangnet】未经授权，禁止复制转载。题是，难道一个数据包必须要严格的经过所有【未经授权禁止转载】【本文受版权保护】的关卡吗？显然不是，数据包可能仅经过很少【本文首发于唐霜的博客】【关注微信公众号：wwwtangshuangnet】的关卡就结束了防火墙的监控。具体的监控逻【原创不易，请尊重版权】本文版权归作者所有，未经授权不得转载。辑顺序如下图：

【访问 www.tangshuang.net 获取更多精彩内容】著作权归作者所有，禁止商业用途转载。本文作者：唐霜，转载请注明出处。

iptables-routing

【本文首发于唐霜的博客】【本文受版权保护】转载请注明出处：www.tangshuang.net

我们来举一个实际环境中遇到过的例子：在p【作者：唐霜】【转载请注明来源】hp程序中，我们使用区域网内的另外一台服【本文首发于唐霜的博客】本文作者：唐霜，转载请注明出处。务器作为mysql的服务器运行，在mys原创内容，盗版必究。【版权所有】唐霜 www.tangshuang.netql服务器上用iptables进行防火墙【作者：唐霜】原创内容，盗版必究。控制。那么当php程序连接mysql的时【关注微信公众号：wwwtangshuangnet】原创内容，盗版必究。候，iptables是怎么来防护mysq【原创不易，请尊重版权】本文作者：唐霜，转载请注明出处。l服务器的呢？

首先，无论是公网还是局域网，对于服务器本【关注微信公众号：wwwtangshuangnet】【关注微信公众号：wwwtangshuangnet】身而言都是外部访问，都会经过iptabl未经授权，禁止复制转载。本文作者：唐霜，转载请注明出处。es的关卡。当php第一次去请求mysq【本文受版权保护】本文作者：唐霜，转载请注明出处。l连接的时候，首先在prerouting【访问 www.tangshuang.net 获取更多精彩内容】【关注微信公众号：wwwtangshuangnet】处被检测到，但是由于我们并没有在raw、【原创内容，转载请注明出处】本文版权归作者所有，未经授权不得转载。mangle、nat三张表中找到prer【未经授权禁止转载】【版权所有，侵权必究】outing相关的记录，因此数据进入了I本文版权归作者所有，未经授权不得转载。未经授权，禁止复制转载。NPUT挂载点，这时，在filter中找未经授权，禁止复制转载。【本文受版权保护】到了input相关的记录，于是按照记录的【版权所有，侵权必究】【版权所有】唐霜 www.tangshuang.net顺序逐条进行判断。在这些input记录中【版权所有】唐霜 www.tangshuang.net【作者：唐霜】，前面几条都与这个数据包不匹配，直到第n著作权归作者所有，禁止商业用途转载。【关注微信公众号：wwwtangshuangnet】条，这条记录作出如下限制：

-A INPUT -s 127.0.0.1/32 -p tcp -m tcp --dport 3306 -j ACCEPT

意思是：如果数据包的来源为网段127.0【未经授权禁止转载】【版权所有】唐霜 www.tangshuang.net.0.1/32这个网段（与服务器是同一网未经授权，禁止复制转载。【作者：唐霜】段，也就是局域网内），那么3306端口对转载请注明出处：www.tangshuang.net转载请注明出处：www.tangshuang.net该数据包进行放行。一旦在表中有一条记录的本文版权归作者所有，未经授权不得转载。【访问 www.tangshuang.net 获取更多精彩内容】条件跟数据包条件匹配，那么就不再往下去匹原创内容，盗版必究。【作者：唐霜】配规则了。所以，该数据包顺利通过了INP未经授权，禁止复制转载。【转载请注明来源】UT挂载点filter表中的规则验证，在本文作者：唐霜，转载请注明出处。【未经授权禁止转载】进入OUTPUT挂载点，都没有相关的规则【版权所有，侵权必究】本文作者：唐霜，转载请注明出处。，所以该数据包在得到mysql的处理结果本文版权归作者所有，未经授权不得转载。【版权所有，侵权必究】之后，顺利出站，返回给php程序。

转载请注明出处：www.tangshuang.net著作权归作者所有，禁止商业用途转载。著作权归作者所有，禁止商业用途转载。

在上面的案例中，假如php所在的服务器不【本文首发于唐霜的博客】【本文受版权保护】在127.0.0.1/32这个网段，那就著作权归作者所有，禁止商业用途转载。本文版权归作者所有，未经授权不得转载。不能匹配上面那条规则，如此就会继续往下匹【版权所有，侵权必究】【访问 www.tangshuang.net 获取更多精彩内容】配规则，直到匹配到某一条规则为止。如果所【版权所有】唐霜 www.tangshuang.net【本文首发于唐霜的博客】有规则都不匹配，那么OK，数据包通过了所【转载请注明来源】本文版权归作者所有，未经授权不得转载。有关卡。

【原创不易，请尊重版权】【转载请注明来源】原创内容，盗版必究。本文作者：唐霜，转载请注明出处。

规则动作的后续选择【转载请注明来源】

上面的案例中说，一旦匹配了，就不再往下去【访问 www.tangshuang.net 获取更多精彩内容】本文版权归作者所有，未经授权不得转载。匹配同表中的同链规则了。大部分情况下，一【本文首发于唐霜的博客】【作者：唐霜】旦匹配某条规则，就不再继续匹配同表同链规未经授权，禁止复制转载。【版权所有，侵权必究】则了，但是也有例外，那就是一个叫做LOG【本文首发于唐霜的博客】【作者：唐霜】的动作。因此，必须把规则动作拿出来讲一下【转载请注明来源】原创内容，盗版必究。。

未经授权，禁止复制转载。【原创不易，请尊重版权】未经授权，禁止复制转载。【本文首发于唐霜的博客】【未经授权禁止转载】

iptables有这么几种规则动作：AC本文版权归作者所有，未经授权不得转载。原创内容，盗版必究。CEPT、DROP、REJECT、SNA【版权所有，侵权必究】【本文首发于唐霜的博客】T、MASQUERADE、DNAT、RE【本文受版权保护】【关注微信公众号：wwwtangshuangnet】DIRECT、LOG。在参考文献中，每个本文版权归作者所有，未经授权不得转载。本文作者：唐霜，转载请注明出处。动作都做了解释，也就不再赘述它们具体都是【版权所有】唐霜 www.tangshuang.net【版权所有】唐霜 www.tangshuang.net干嘛的。但是，除了LOG以外，其他动作确【访问 www.tangshuang.net 获取更多精彩内容】【原创内容，转载请注明出处】实是执行完以后，就不再继续匹配其他同链本文作者：唐霜，转载请注明出处。的规则动作了，如果一个数据包被ACCEP【版权所有】唐霜 www.tangshuang.net【版权所有】唐霜 www.tangshuang.netT了，那么不管后面有没有规则对它进行DR【本文受版权保护】【原创不易，请尊重版权】OP或REJECT，该数据包在该链【转载请注明来源】内将一直被放行。因此，规则的顺序极其关键转载请注明出处：www.tangshuang.net【原创内容，转载请注明出处】。LOG动作就是在某个数据包在通过某个关【本文首发于唐霜的博客】【本文首发于唐霜的博客】卡时，正好发现它匹配某些规则，所以把它记转载请注明出处：www.tangshuang.net本文版权归作者所有，未经授权不得转载。录下来，记录下来以后当然不应该阻止它继续本文作者：唐霜，转载请注明出处。【版权所有，侵权必究】往下流动，因此LOG动作除了产生日志文件【版权所有】唐霜 www.tangshuang.net转载请注明出处：www.tangshuang.net之外，不会对数据放行、丢弃、拒绝、修改。

未经授权，禁止复制转载。【原创不易，请尊重版权】转载请注明出处：www.tangshuang.net

因此，规则动作的后续选择需要通过你在向链【访问 www.tangshuang.net 获取更多精彩内容】著作权归作者所有，禁止商业用途转载。增加规则时的顺序而表现出来，如果不思考规【原创不易，请尊重版权】未经授权，禁止复制转载。则顺序，那么你很有可能得不到想要的结果。

关于这种选择的情况，可以阅读原创内容，盗版必究。这篇参考文献【本文受版权保护】，了解更多。本文作者：唐霜，转载请注明出处。

【转载请注明来源】【本文受版权保护】【原创不易，请尊重版权】【本文受版权保护】

如何把握规则顺序【作者：唐霜】

本文版权归作者所有，未经授权不得转载。【原创不易，请尊重版权】【原创不易，请尊重版权】

前面说规则顺序至关重要，那么到底规则顺序未经授权，禁止复制转载。本文版权归作者所有，未经授权不得转载。应该怎么把握呢？一般提供了两个策略：通、【本文受版权保护】原创内容，盗版必究。堵。所谓通，就是把所有的关卡先关起来，然【原创不易，请尊重版权】著作权归作者所有，禁止商业用途转载。后只对部分数据包进行放行。堵则是所有关卡著作权归作者所有，禁止商业用途转载。【访问 www.tangshuang.net 获取更多精彩内容】先打开，来一个数据包，对它进行检查，发现著作权归作者所有，禁止商业用途转载。【转载请注明来源】风险，就堵在外面。

【本文首发于唐霜的博客】【作者：唐霜】原创内容，盗版必究。未经授权，禁止复制转载。【本文首发于唐霜的博客】

【本文受版权保护】原创内容，盗版必究。【原创内容，转载请注明出处】【作者：唐霜】

“通”的策略风险比较大，因为先把所有出入著作权归作者所有，禁止商业用途转载。原创内容，盗版必究。口封起来之后，对数据包进行匹配的，都是你【本文受版权保护】转载请注明出处：www.tangshuang.net所能想到的，然而往往会有一些没有想到的情【原创内容，转载请注明出处】【原创内容，转载请注明出处】况。一旦一些原本是正常的数据包，不在你的【本文首发于唐霜的博客】本文版权归作者所有，未经授权不得转载。“通”的规则里面，那么就被挡在了外面。当本文作者：唐霜，转载请注明出处。【作者：唐霜】然，从安全性上讲，这无疑是最安全的，因为【作者：唐霜】【版权所有，侵权必究】只有你信任的会被放进来，那些不管是你不信【作者：唐霜】【原创内容，转载请注明出处】任的，还是不知道的，都被挡着了，不管怎么本文作者：唐霜，转载请注明出处。【版权所有】唐霜 www.tangshuang.net样，不会有风险进来。而“堵”的策略则风险【原创不易，请尊重版权】本文作者：唐霜，转载请注明出处。比较大，因为你堵的，全是有风险的数据包，【版权所有】唐霜 www.tangshuang.net【访问 www.tangshuang.net 获取更多精彩内容】可是一个人或一群人，都不可能把所有有风险【原创不易，请尊重版权】【原创内容，转载请注明出处】的情况想到，必然有一些有风险的数据包有可转载请注明出处：www.tangshuang.net【转载请注明来源】能被遗漏进入服务器。

本文作者：唐霜，转载请注明出处。【未经授权禁止转载】【作者：唐霜】未经授权，禁止复制转载。【访问 www.tangshuang.net 获取更多精彩内容】

仍然以上面的php和mysql的交互来举未经授权，禁止复制转载。著作权归作者所有，禁止商业用途转载。例，规则列表中，首先得允许数据库返回以后转载请注明出处：www.tangshuang.net原创内容，盗版必究。，php再来交互时，不用再那么麻烦进行匹【原创不易，请尊重版权】【原创内容，转载请注明出处】配验证，所以再最前面写上：

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

这就是我说的“最宽的信任”，RELATE【原创内容，转载请注明出处】【原创不易，请尊重版权】D，ESTABLISHED这两种状态的数转载请注明出处：www.tangshuang.net本文版权归作者所有，未经授权不得转载。据包，无论是mysql产生的，还是其他什【原创不易，请尊重版权】【版权所有】唐霜 www.tangshuang.net么程序产生的，都被允许。因此这条规则把所转载请注明出处：www.tangshuang.net原创内容，盗版必究。有经过验证过的数据都允许了。

转载请注明出处：www.tangshuang.net【访问 www.tangshuang.net 获取更多精彩内容】【原创不易，请尊重版权】

接下来是允许mysql这个特例：【关注微信公众号：wwwtangshuangnet】

本文版权归作者所有，未经授权不得转载。本文版权归作者所有，未经授权不得转载。本文版权归作者所有，未经授权不得转载。转载请注明出处：www.tangshuang.net

-A INPUT -s 127.0.0.1/32 -p tcp -m tcp --dport 3306 -j ACCEPT

为什么说是特例呢？因为在上面一条规则的基著作权归作者所有，禁止商业用途转载。【原创不易，请尊重版权】础上，当php和mysql第一次连接的时本文版权归作者所有，未经授权不得转载。本文作者：唐霜，转载请注明出处。候，并不满足，所以如果直接把大门一关，m【本文受版权保护】【本文首发于唐霜的博客】ysql连不上了。所以，增加这条规则之后【访问 www.tangshuang.net 获取更多精彩内容】本文作者：唐霜，转载请注明出处。，php和mysql第一次可以顺利连接上著作权归作者所有，禁止商业用途转载。【本文受版权保护】了。

【原创不易，请尊重版权】【未经授权禁止转载】转载请注明出处：www.tangshuang.net本文版权归作者所有，未经授权不得转载。

最后，把大门关上安心睡觉：本文版权归作者所有，未经授权不得转载。

【访问 www.tangshuang.net 获取更多精彩内容】原创内容，盗版必究。【作者：唐霜】本文作者：唐霜，转载请注明出处。

-A INPUT -j DROP

上面这三条规则大致说明了“通”这个策略的【本文首发于唐霜的博客】【原创不易，请尊重版权】基本思路。

/etc/systconfig/ipta转载请注明出处：www.tangshuang.net【未经授权禁止转载】bles文件详解

本文作者：唐霜，转载请注明出处。本文版权归作者所有，未经授权不得转载。【作者：唐霜】本文版权归作者所有，未经授权不得转载。【本文受版权保护】

大部分资料中都直接让读者去操作iptab著作权归作者所有，禁止商业用途转载。【本文受版权保护】les命令，比如直接在Linux命令行输【本文首发于唐霜的博客】著作权归作者所有，禁止商业用途转载。入iptables -A INPUT -著作权归作者所有，禁止商业用途转载。【访问 www.tangshuang.net 获取更多精彩内容】j DROP，然后使用service i著作权归作者所有，禁止商业用途转载。转载请注明出处：www.tangshuang.netptables save把新加入的规则保原创内容，盗版必究。未经授权，禁止复制转载。存，最后再service iptable【本文受版权保护】【原创不易，请尊重版权】s restart使规则生效。

本文作者：唐霜，转载请注明出处。著作权归作者所有，禁止商业用途转载。【访问 www.tangshuang.net 获取更多精彩内容】

但是这种操作让我们无法清晰的了解规则中都【访问 www.tangshuang.net 获取更多精彩内容】未经授权，禁止复制转载。有哪些规则，它们的顺序是什么。而实际上s著作权归作者所有，禁止商业用途转载。【本文首发于唐霜的博客】ave那个命令的结果是把刚才新增的规则写【本文首发于唐霜的博客】著作权归作者所有，禁止商业用途转载。入/etc/sysconfig/ipta【关注微信公众号：wwwtangshuangnet】【本文首发于唐霜的博客】bles这个文件。这个文件实际上是ipt【版权所有】唐霜 www.tangshuang.net【未经授权禁止转载】ables启动的时候默认去读取的文件，r未经授权，禁止复制转载。未经授权，禁止复制转载。estart操作也是为了去读它。所以我们【关注微信公众号：wwwtangshuangnet】【转载请注明来源】为什么不直接编辑这个文件呢？

【本文受版权保护】【未经授权禁止转载】【访问 www.tangshuang.net 获取更多精彩内容】

本文作者：唐霜，转载请注明出处。著作权归作者所有，禁止商业用途转载。【原创内容，转载请注明出处】原创内容，盗版必究。本文版权归作者所有，未经授权不得转载。

# Generated by iptables-save v1.4.7 on Mon Dec 21 18:37:09 2015
*nat:PREROUTING ACCEPT [16:1193]
:POSTROUTING ACCEPT [1:60]
:OUTPUT ACCEPT [1:60]
-A POSTROUTING -s 192.168.0.0/25 -o eth0 -j MASQUERADECOMMIT
# Completed on Mon Dec 21 18:37:09 2015

# Generated by iptables-save v1.4.7 on Sun Dec 20 02:16:49 2015
*filter:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1:140]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -s 127.0.0.1/32 -p tcp -m tcp --dport 3306 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 3306 -j DROPCOMMIT
# Completed on Sun Dec 20 02:16:49 2015

本文版权归作者所有，未经授权不得转载。转载请注明出处：www.tangshuang.net本文作者：唐霜，转载请注明出处。【原创内容，转载请注明出处】

通过这个文件，可以非常清楚的看到nat、著作权归作者所有，禁止商业用途转载。【作者：唐霜】filter两个表中的链。:PREROUTING ACCEPT [未经授权，禁止复制转载。【原创不易，请尊重版权】16:1193]，这样的行其实我们不用去理会，中括号中的【作者：唐霜】【原创内容，转载请注明出处】数值对于我们无需数据监控而言，也没有什么【关注微信公众号：wwwtangshuangnet】【访问 www.tangshuang.net 获取更多精彩内容】意义，它们是数据块的数量和每块的大小，不著作权归作者所有，禁止商业用途转载。原创内容，盗版必究。表示任何匹配规则。

在最后一条:和COMMIT之间的就是我们【本文受版权保护】【原创内容，转载请注明出处】要去发挥的规则列表。我们直接看下面fil著作权归作者所有，禁止商业用途转载。转载请注明出处：www.tangshuang.netter表中的规则。

【本文首发于唐霜的博客】转载请注明出处：www.tangshuang.net原创内容，盗版必究。本文版权归作者所有，未经授权不得转载。

-A INPUT -i lo -j ACCEPT

lo是一种内部接口，比如我们用local【原创不易，请尊重版权】【作者：唐霜】host访问本机，其实localhost本文作者：唐霜，转载请注明出处。未经授权，禁止复制转载。是虚拟出来的，只有本机可以访问，实现这个本文作者：唐霜，转载请注明出处。转载请注明出处：www.tangshuang.net机制，就是通过lo接口来实现的，因此所有【关注微信公众号：wwwtangshuangnet】【访问 www.tangshuang.net 获取更多精彩内容】这种通过lo接口实现的机制，都用ACCE本文版权归作者所有，未经授权不得转载。【原创不易，请尊重版权】PT动作。

【未经授权禁止转载】【未经授权禁止转载】【关注微信公众号：wwwtangshuangnet】【本文首发于唐霜的博客】

这个文件中没有使用到“通”的策略，而是仅【作者：唐霜】未经授权，禁止复制转载。仅堵住了3306端口，也就是说这台服务器【未经授权禁止转载】【版权所有】唐霜 www.tangshuang.net不对外提供mysql服务，这样的话，只有【本文首发于唐霜的博客】本文作者：唐霜，转载请注明出处。本机或者127.0.0.1/32网段的机本文作者：唐霜，转载请注明出处。【转载请注明来源】器可以使用mysql服务器。而实际上12【未经授权禁止转载】【版权所有，侵权必究】7网段还是本机，只不过我们可以通过类似1【关注微信公众号：wwwtangshuangnet】著作权归作者所有，禁止商业用途转载。27.0.0.1来连接mysql，而不单著作权归作者所有，禁止商业用途转载。转载请注明出处：www.tangshuang.net单是localhost。

好了，本文并没有对规则中的各个参数进行讲【转载请注明来源】【本文首发于唐霜的博客】解，比如-A -i -p等参数，都没有提【访问 www.tangshuang.net 获取更多精彩内容】【本文首发于唐霜的博客】到，这些参数都可以在其他文章中了解。本文转载请注明出处：www.tangshuang.net原创内容，盗版必究。主要理清了一些iptables规则配置的转载请注明出处：www.tangshuang.net本文版权归作者所有，未经授权不得转载。思路，希望对你有用。

【作者：唐霜】转载请注明出处：www.tangshuang.net【未经授权禁止转载】本文作者：唐霜，转载请注明出处。

本文作者：唐霜，转载请注明出处。【原创内容，转载请注明出处】本文版权归作者所有，未经授权不得转载。【原创不易，请尊重版权】【未经授权禁止转载】【本文受版权保护】本文版权归作者所有，未经授权不得转载。【原创内容，转载请注明出处】【原创内容，转载请注明出处】原创内容，盗版必究。【版权所有】唐霜 www.tangshuang.net【作者：唐霜】转载请注明出处：www.tangshuang.net本文版权归作者所有，未经授权不得转载。【原创内容，转载请注明出处】【版权所有，侵权必究】本文版权归作者所有，未经授权不得转载。【转载请注明来源】【原创内容，转载请注明出处】【原创内容，转载请注明出处】【版权所有】唐霜 www.tangshuang.net著作权归作者所有，禁止商业用途转载。转载请注明出处：www.tangshuang.net著作权归作者所有，禁止商业用途转载。【关注微信公众号：wwwtangshuangnet】著作权归作者所有，禁止商业用途转载。著作权归作者所有，禁止商业用途转载。本文作者：唐霜，转载请注明出处。著作权归作者所有，禁止商业用途转载。【关注微信公众号：wwwtangshuangnet】原创内容，盗版必究。【访问 www.tangshuang.net 获取更多精彩内容】【原创内容，转载请注明出处】本文版权归作者所有，未经授权不得转载。著作权归作者所有，禁止商业用途转载。原创内容，盗版必究。原创内容，盗版必究。【本文受版权保护】未经授权，禁止复制转载。【本文首发于唐霜的博客】【原创不易，请尊重版权】著作权归作者所有，禁止商业用途转载。【原创不易，请尊重版权】【作者：唐霜】本文版权归作者所有，未经授权不得转载。【本文受版权保护】【转载请注明来源】【转载请注明来源】【作者：唐霜】本文作者：唐霜，转载请注明出处。原创内容，盗版必究。【原创内容，转载请注明出处】本文版权归作者所有，未经授权不得转载。原创内容，盗版必究。【本文受版权保护】【关注微信公众号：wwwtangshuangnet】【原创不易，请尊重版权】原创内容，盗版必究。原创内容，盗版必究。【版权所有，侵权必究】【版权所有】唐霜 www.tangshuang.net本文版权归作者所有，未经授权不得转载。本文版权归作者所有，未经授权不得转载。本文作者：唐霜，转载请注明出处。

2015-12-21 17960

唐霜

iptables入门：规则及路由基础