我常用到的iptables脚本

#!/bin/bash
export PATH=/sbin:/usr/sbin:/bin:/usr/bin

iptables -F
iptables -X
iptables -Z

#远程SSH登陆,我们要开启22端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

#WEB服务器,开启80端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

#邮件服务器,开启25,110端口.
iptables -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -A INPUT -p tcp --dport 25 -j ACCEPT

#FTP服务器,开启20,21端口

iptables -A INPUT -p tcp -m multiport --dport 21,60000:60050 -j ACCEPT
#如果做了DNS服务器,开启53端口

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p udp --sport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
#对PING做设置
#iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP
#所以对别人的请求丢弃应该就可以达到别人无法PING的
#iptables -A OUTPUT -p icmp --icmp-type 0 -s 1.1.1.1 -j DROP
#其实可以不要 包都丢弃了 还怎么会发出响应的包呢

iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 0 -s 0/0 -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type 0 -s 1.1.1.1 -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type 8 -s 1.1.1.1 -j ACCEPT

#开放本机对外部80端口
iptables -A INPUT -p tcp ! --syn -s any/0 --sport 80 --dport 1024:65535 -j ACCEPT
iptables -P INPUT DROP

/etc/init.d/iptables save
service iptables restart


端口中转

HK 1.1.1.1:6666 中转 US 2.2.2.2:3389 示例

iptables -t nat -A PREROUTING -p tcp --dport 6666 -j DNAT --to-destination 2.2.2.2:3389
iptables -t nat -A POSTROUTING -p tcp -d 2.2.2.2 --dport 3389 -j SNAT --to-source 1.1.1.1