Wyświetlanie wszystkich reguł iptables

Czy istnieje sposób na iptablesbardziej szczegółowe przeglądanie reguł?

Ostatnio dodałem maskaradę do szeregu adresów IP:

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
service iptables save
service iptables restart

Co zrobiło, co chcę, ale kiedy używam:

iptables -L

Otrzymuję takie same wyniki, jak zwykle:

Chain INPUT (policy ACCEPT)
target    prot opt source        destination

Chain FORWARD (policy ACCEPT)
target    prot opt source        destination

Chain OUTPUT (policy ACCEPT)
target    prot opt source        destination

Jak mogę zobaczyć reguły, w tym te, które dodałem? (system to CentOS 6)

Podczas używania -L, --listopcję do listy aktualnych reguł zapory, trzeba także określić odpowiednią tabelę Netfilter (jeden z filter, nat, mangle, rawlub security). Tak więc, jeśli dodaliśmy regułę dla nattabeli, należy wyraźnie określić tę tabelę przy użyciu -t, --tableopcję:

iptables --table nat --list

Lub za pomocą krótkiego formularza opcji:

iptables -t nat -L

Jeśli nie określisz konkretnej tabeli, filtertabela będzie używana jako domyślna.

Dla szybszych wyników, może być przydatna również obejmować -n, --numericmożliwość wydrukowania numerycznych adresów IP zamiast nazw hostów, unikając w ten sposób konieczności oczekiwania na wyszukiwania wstecznego DNS.

Można uzyskać jeszcze więcej informacji o tym -v, --verboseopcję.

iptableskontroluje pięć różnych tabel: filter, nat, mangle, rawi security. W danym wywołaniu iptableswyświetla lub modyfikuje tylko jedną z tych tabel, określoną przez argument opcji -t(domyślnie to filter). Aby zobaczyć pełny stan zapory, musisz wywoływać kolejno iptableskażdą tabelę.

Ponadto, aby uzyskać dokładną reprezentację reguł, musisz przekazać tę opcję -v. W przeciwnym razie niektóre ważne kryteria są pomijane w danych wyjściowych, takie jak interfejs w regułach filtrowania (np. Reguła mówiąca „akceptuj wszystko” i reguła mówiąca „akceptuj wszystko w interfejsie sprzężenia zwrotnego” można tylko odróżnić -v).

Tak więc, aby uzyskać pełną prezentację reguł filtru sieciowego, potrzebujesz

iptables -vL -t filter
iptables -vL -t nat
iptables -vL -t mangle
iptables -vL -t raw
iptables -vL -t security

Alternatywnie możesz wywołać iptables-saveprogram, który wyświetla wszystkie reguły we wszystkich tabelach w formacie, który można przeanalizować iptables-restore. Ten format jest także w miarę czytelny dla ludzi (jest prawie jak seria wywołań iptablespolecenia, aby zbudować tabelę).

iptables -Srobi dla mnie lewę. Wydaje się, że zawiera listę wszystkich aktywnych reguł, nawet gdy usługa jest wyłączona.

Ze strony podręcznika:

-S, --list-rules [łańcuch] Wydrukuj wszystkie reguły w wybranym łańcuchu. Jeśli nie zostanie wybrany żaden łańcuch, wszystkie łańcuchy zostaną wydrukowane jak iptables-save. Jak każda inna komenda iptables, ma ona zastosowanie do określonej tabeli (domyślnym filtrem).

To, co robię, to wykonać iptables-save > iptables_bckp, spowoduje to utworzenie kopii zapasowej wszystkich warstw, a następnie edycję pliku i przywrócenie iptablesiptables-restore < iptables_bckp

# iptables-save > iptables_bckp
# vim iptables_bckp
# iptables-restore < iptables_bckp

Możesz wykonać podwójną kopię zapasową, aby zmodyfikować jedną z nich bez utraty poprzednich iptables.

To osobista praktyka, nie mówię, że to najlepszy sposób, ale dla mnie działa świetnie.

Spróbuj

iptablesPolecenie wymaga również określenie tabeli poza tym to domyślne filtrowanie tabeli. Więc spróbuj:

iptables -t nat -L

Możesz użyć:

# lsmod | grep ip_tables
ip_tables              13193  4 iptable_raw,iptable_mangle,iptable_nat,iptable_filter

Aby znaleźć wszystkie tabele i wyświetlić określoną regułę w tabeli.

Jeśli to naprawdę pomoże, możesz napisać skrypt bash i umieścić go w folderze, do którego odwołuje się twoja ścieżka, lub odwoływać się do niego przez alias w pliku ~ / .bashrc.

AllRules.sh

#!/bin/bash

 echo "Filter table:"
 iptables -t filter -vL

 echo "Nat table:"
 iptables -t nat -vL

 echo "Mangle table:"
 iptables -t mangle -vL

 echo "Raw table:"
 iptables -t raw -vL

 echo "Security table:"
 iptables -t security -vL

 echo 
 echo "All rules in all tables printed"

Pamiętaj, aby dać swojemu nowemu skryptowi bash uprawnienia do wykonywania za pomocą chmod

Jeśli uprawnienie jest problemem, być może będziesz musiał dodać sudo przed wszystkimi iptablespoleceniami.

iptables -vnxL
iptables -vnxL -tnat

ewentualnie dodatkowo, chociaż są one bardzo rzadko używane:

iptables -vnxL -traw
iptables -vnxL -tmangle
iptables -vnxL -tsecuriy