iptables -A INPUT -s 192.168.1.101 -j DROP

#未指定具体表，默认是filter表，本例中是对filter表中的INPUT链做操作

#-A是添加链，-s指定源地址，-j是对匹配的数据包执行的操作

#即在filter表INPUT链中，匹配来自192.168.1.101访问本机的所有流量，操作是统统丢弃

#-t指明使用的表的类型，此处使用的是nat表

#-v详细信息，-n以数字显示ip地址和端口而不是域名和服务名称，-L列出表上所有链的信息

iptables -A INPUT ! -s 192.168.1.101 -p icmp --icmp-type 8 -j REJECT

#叹号！表示非，即源地址为非192.168.1.101的所有地址

#-p协议，此处是icmp协议

#--icmp-type 8是ping的请求包，一次完整的ping操作由本端的request请求和对端replay回应组成，数字8表示request报文，数字0表示回应replay报文

#-j执行的动作是拒绝，REJECT与DROP都是拒绝的意思，但前者会明确回应不可到达，后者则一直不返回任何消息

#此命令含义是源地址非192.168.1.101的ping请求报文全部拒绝，也就是说只允许192.168.1.101能ping

iptables -A INPUT -m iprange --src-range 192.168.1.101-192.168.1.102 -p tcp -m multiport --dports 80,22 -j REJECT

#-m显式扩展，iptables必须使用指定模块即iprange和multiport，实现特定功能，从字面意思就能理解模块的意思

#--src-range源地址范围

#--dports多个目标端口，以逗号隔开，如果是连续的端口可以以冒号‘ : ’表示

iptables -A INPUT -m time --timestart 00:00 --timestop 12:00 -p tcp --dport 80 -j REJECT

#在每天凌晨到中午十二点访问http的服务全部拒绝，此命令中用到了time的扩展模块

iptables -A OUTPUT -m time --timestart 00:00 --timestop 12:00 -m string --algo bm --string 'google' -j REJECT

#在每天凌晨到中午十二点访问包含‘google’字符串的流量全部拒绝

#此命令用到了time和strin的扩展模块，--algo bm是字符串匹配算法

iptables -A INPUT -m connlimit --connlimit-above 1 -p tcp --dport 22 -j REJECT

#每ip的ssh连接超过1个就会拒绝，即每ip只允许一个ssh连接

#ssh使用tcp的22端口

#用到了扩展模块connlimit，--connlimit-above连接超过多少，--connlimit-upto连接达到多少

iptables -I INPUT -m limit --limit 6/minute --limit-burst 10 -p icmp --icmp-type 8 -j ACCEPT

#扩展模块limit，--limit-burst 10表示前10个icmp的请求包不做限制

#--limit 6/minute 超过10个icmp请求包后，就限制每分钟允许6个icmp请求包通过

#此命令实现了对流量的限制

#扩展模块state，ESTABLISHED已经建立的连接，RELATED关联的连接
iptables -A INPUT -s 192.168.1.101 -p tcp --dport 21 -m state --state NEW -j ACCEPT

#NEW新建立的连接

#上述两条命令意思就是与tcp21端口建立的连接及其关联的连接(数据连接)，和已经建立的连接都执行ACCEPT允许操作

#state模块能够识别ftp的后续数据连接并放行，还是比较智能的
iptables -A INPUT -j REJECT

#本例中ftp服务器与防火墙是同一台设备

#默认策略是拒绝所有ip和协议连接到本机

#本例就是只允许ftp连接(控制连接和数据连接)，其他任何协议、ip、端口全部拒绝

#注意要达到state记录状态的效果还得安装一个模块，命令为'modprobe nf_conntrack_ftp'

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 ! -d 192.168.1.0/24 -j SNAT --to-source 172.32.253.237

#不能再使用默认表，此处使用的是nat表，-j的动作是进行SNAT的转换

#源地址是192.168.1.0/24网段的，访问外网资源时都会转换为172.32.253.237，对于目的而言，其认为数据包是由172.32.253.237发来的，

#而不是192.168.1.0/24中的某一主机发来的

#目标主机回包时的目的地址就是172.32.253.237，由于防火墙本身会有一份表，专门记录私网地址、端口转换为公网地址、端口的对应关系

#所以防火墙会根据这张表找到私网主机，完成整个通信

iptables -t nat -A PREROUTING -s 172.18.0.0/16  -d 172.32.253.237 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.101:8080

#将172.32.253.237:80转换为192.168.1.101:8080

#完成公网到私网的转换

iptables -t nat -A PREROUTING -d 192.168.1.101 -p tcp --dport 80 -j REDIRECT --to-ports 8080

#通过改变目标IP和端口，将接收的包转发至不同地址、端口