Jak mogę usunąć określone reguły z iptables?

Hostuję specjalne usługi HTTP i HTTPS odpowiednio na portach 8006 i 8007. Używam iptables do „aktywacji” serwera; tzn. aby skierować przychodzące porty HTTP i HTTPS:

iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8006 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8007 -j ACCEPT
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8006 
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8007  
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 80 -j REDIRECT --to-ports 8006
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 443 -j REDIRECT --to-ports 8007 

To działa jak urok. Chciałbym jednak utworzyć kolejny skrypt, który ponownie wyłącza mój serwer; tzn. przywróć iptables do stanu, w jakim był przed uruchomieniem linii powyżej. Mam jednak trudności z ustaleniem składni, aby usunąć te reguły. Wydaje się, że jedyne, co działa, to całkowity kolor:

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

Ale spowoduje to również usunięcie innych reguł iptables, co jest niepożądane.

Wykonaj te same polecenia, ale zamień „-A” na „-D”. Na przykład:

iptables -A ...

staje się

iptables -D ...

Możesz także użyć numeru reguły ( --line-numbers ):

iptables -L INPUT --line-numbers

Przykładowe dane wyjściowe:

Chain INPUT (policy ACCEPT) 
    num  target prot opt source destination
    1    ACCEPT     udp  --  anywhere  anywhere             udp dpt:domain 
    2    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:domain 
    3    ACCEPT     udp  --  anywhere  anywhere             udp dpt:bootps 
    4    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:bootps

Więc jeśli chcesz usunąć drugą regułę:

iptables -D INPUT 2

Aktualizacja

Jeśli używasz (d) konkretnej tabeli (np. Nat), musisz dodać ją do polecenia delete (dzięki za komentarz do @ThorSummoner w celu komentarza)

sudo iptables -t nat -D PREROUTING 1

Najlepsze rozwiązanie, które działa dla mnie bez żadnych problemów, wygląda następująco:
1. Dodaj tymczasową regułę z komentarzem:

comment=$(cat /proc/sys/kernel/random/uuid | sed 's/\-//g')
iptables -A ..... -m comment --comment "${comment}" -j REQUIRED_ACTION

2. Gdy reguła zostanie dodana i chcesz ją usunąć (lub wszystko z tym komentarzem), wykonaj:

iptables-save | grep -v "${comment}" | iptables-restore

Tak więc w 100% usuniesz wszystkie reguły, które pasują do komentarza $ i pozostawisz inne wiersze nietknięte. To rozwiązanie działa przez ostatnie 2 miesiące przy około 100 zmianach zasad dziennie - bez problemów. Mam nadzieję, że pomaga

Najpierw wypisz wszystkie reguły iptables za pomocą tego polecenia:

iptables -S

zawiera listę takich jak:

-A XYZ -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

Skopiuj żądaną linię i po prostu wymienić -Asię -Dusunąć, że:

iptables -D XYZ -p ...

Użyj -Dpolecenia, tak manwyjaśnia strona:

-D, --delete chain rule-specification
-D, --delete chain rulenum
    Delete  one  or more rules from the selected chain.  
    There are two versions of this command: 
    the rule can be specified as a number in the chain (starting at 1 for the first rule) or a rule to match.

Wykonaj to polecenie, tak jak wszystkie inne polecenia ( -A, -I) działają na określonej tabeli. Jeśli nie pracujesz nad domyślną tabelą ( filtertabelą), użyj, -t TABLENAMEaby określić tę tabelę docelową.

Usuń regułę, aby dopasować

iptables -D INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Uwaga: Usuwa to tylko pierwszą pasującą regułę. Jeśli masz wiele dopasowanych reguł (może się to zdarzyć w iptables), uruchom to kilka razy.

Usuń regułę określoną jako liczbę

iptables -D INPUT 2

Oprócz zliczania liczby można podać numer linii wraz z --line-numberparametrem, na przykład:

iptables -t nat -nL --line-number

Załóżmy, że jeśli chcesz usunąć reguły NAT,

Wyświetl listę dołączonych adresów IP za pomocą poniższego polecenia,

# sudo iptables -L -t nat -v

Chain PREROUTING (policy ACCEPT 18 packets, 1382 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    7   420 DNAT       tcp  --  any    any     anywhere             saltmaster           tcp dpt:http to:172.31.5.207:80
    0     0 DNAT       tcp  --  eth0   any     anywhere             anywhere             tcp dpt:http to:172.31.5.207:8080

Jeśli chcesz usunąć regułę nat z tabel IP, po prostu wykonaj polecenie,

# sudo iptables -F -t nat -v

Flushing chain `PREROUTING'
Flushing chain `INPUT'
Flushing chain `OUTPUT'
Flushing chain `POSTROUTING'

Następnie możesz to zweryfikować,

# sudo iptables -L -t nat -v