Iptables 四表五链

4表

raw>mangle>nat>filter
filter表:        负责过滤功能，防火墙；内核模块：iptables_filter
nat表:       network address translation，网络地址转换功能；内核模块：iptable_nat
mangle表:    拆解报文，做出修改，并重新封装 的功能；iptable_mangle
raw表:       关闭nat表上启用的连接追踪机制；iptable_raw

5链

PREROUTING  的规则可以存在于：raw表，mangle表，nat表。
INPUT           的规则可以存在于：mangle表，filter表，（centos7中还有nat表，centos6中没有）。
FORWARD     的规则可以存在于：mangle表，filter表。
OUTPUT          的规则可以存在于：raw表mangle表，nat表，filter表。
POSTROUTING 的规则可以存在于：mangle表，nat表。

raw     表中的规则可以被哪些链使用：PREROUTING，OUTPUT
mangle  表中的规则可以被哪些链使用：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
nat         表中的规则可以被哪些链使用：PREROUTING，OUTPUT，POSTROUTING（centos7中还有INPUT，centos6中没有）
filter      表中的规则可以被哪些链使用：INPUT，FORWARD，OUTPUT

开放22端口,进和出

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

指定ip访问 -s是指定源地址 -d是指定目标地址

iptables -A INPUT -s xxx.xxx.xxx.xxx -p tcp --dport 22 -j ACCEPT 

封单个IP的命令是：

iptables -I INPUT -s 211.1.0.0 -j DROP

封IP段的命令是：

iptables -I INPUT -s 211.1.0.0/16 -j DROP
iptables -I INPUT -s 211.2.0.0/16 -j DROP
iptables -I INPUT -s 211.3.0.0/16 -j DROP

封整个段的命令是：

iptables -I INPUT -s 211.0.0.0/8 -j DROP

封几个段的命令是：

iptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP