Iptables è il comando utilizzato per settare, modificare e cancellare rule riguardanti il packet filtering del kernel linux.
Di seguito verranno riportati le principali opzioni e le sintassi più utilizzate:
Aggiunge una regola alla fine della catena scelta oppure la modifica o cancella:
iptables -[ADC] chain rule-specification [options]
Sostituisce regola o la inserisce all'inizio della catena
iptables -[RI] chain rulenum rule-specification [options]
Visualizza, svuota o azzera i contatori della catena selezionata:
iptables -[LFZ] [chain] [options]
Crea o aggiunge una nuova catena
iptables -[NX] chain
Setta la policy di default della catena
iptables -P chain target [options]
COMANDI
-A, --append
Aggiunge una regola in fondo alla catena
-D, --delete
Cancella una regola
-R, --replace
Esegue il replace di una regola
-I, --insert
Inserisce la regola all'inizio della catena o alla posizione indicata.
-L, --list
Visulizza l'elenco delle regole inserite
-F, --flush
Svuota le catene predefinite
-Z, --zero
Azzera i contatori di ogni catena
-N, --new-chain
Crea una nuova catena custom
-X, --delete-chain
Cancella una catena (creata dall'utente)
-P, --policy
Setta la policy di default per una catena
PARAMETRI
-p ,--protocol [protocol]
Specifica su quale protocollo deve matchare la regola
-s, --source address[/mask], -src
Specifica l'IP sorgente.
-d, --destination address[/mask], -dst
Specifica l'IP destinazione
-j, --jump
Specifica il target a con cui gestire il pacchetto matchato: può essere una catena custom o un target esistente (drop,accept etc..)
-i, --interface
Specifica da quale interfaccia è in entrata un pacchetto. Opzione valida solo per INPUT, FORWARD e PREROUTING.
-o, --out-interface
Specifica l'interfaccia d'uscita di un pacchetti. Opzione valida per FORWARD, OUTPUT e POSTROUTING.
TARGET
DROP
I pacchetti che "matchano" la regola vengono droppati.
ACCEPT
I paccheti che "matchano" la regola vengono fatti passare.
RETURN
Il pacchetto smette di attraversare la catena e passa a quella successiva o segue il comportamente di default
QUEUE
Se il kernel lo supporta il pacchetto passa a livello user-space dove può essere manipolato da programmi vari.
REJECT
Il pacchetto viene rifiutato con un messaggio di notifica al mittente (es: icmp destination unreachable)
LOG
Il pacchetto viene loggato via syslog.
MARK
Il pacchetto viene marcato per essere gestito da programmi in user space.
MASQUERADE
L'IP del pacchetto viene mascherato.
MIRROR
Viene rimandato al mittente un pacchetto speculare a quello ricevuto
REDIRECT
Il pacchetto viene redirezionato ad una porta locale
ALTRE OPZIONI
-v --verbose
Abilita il verbose mode
-n
Abilita la visualizzazione numerica, senza DNS reverse lookup
--linenumbers
Quando viene eseguito il list delle regole viene aggiunto un numero ad ogni regola che corrisponde la posizione della regola nella sua catena.
!
Inverte il significato dell'opzione che lo segue
Overview, gestione, utilizzo di iptables su Linux per packet filtering