Iptables 扩展模块 Multiport/IPRange
原创
©著作权归作者所有:来自51CTO博客作者wx5bcd2f496a1cf的原创作品,请联系作者获取转载授权,否则将追究法律责任
之前是基本的匹配,现在可以看看扩展匹配。
multiport模块
- multiport 模块可以添加多个不连续的端口:-m multiport <--sports|--dports|--ports> 端口1,端口2,端口n
示例∶10.0.0.10 访问本机 20、21、80、443允许通过;
扩展匹配是实现更加高级的功能,扩展模块,这些模块在在IP tables中非常的多,之前--deport只能添加一个端口,或者说是一个连续的端口,mutiport可以添加不连续的端口。
示例: 允许10.0.0.10访问本机的20-22、21、80、443
[root@localhost ~]# iptables -t filter -I INPUT -s 10.0.0.10 -p tcp -m multiport --dport 20:22,80,443 -j ACCEPT
-p不属于扩展模块的动作,所以不能放里面。
[root@localhost ~]# iptables -L -n --line-numbers
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT tcp -- 10.0.0.10 0.0.0.0/0 multiport dports 20:22,80,443
iprange模块
· iprange 模块可以指定"一段连续的IP地址范围";用于匹配报文的源地址或者目标地址, iprange扩展
模块中有两个扩展匹配条件可以使用。
- --src-range from【-to】∶原地址范围
- --dst-range from【-to】∶目标地址范围
示例∶10.0.0.5 - 10.0.0.10地址段ping本机,则丢弃
[root@localhost ~]# iptables -t filter -I INPUT -p icmp -m iprange --src-range "10.0.0.5-10.0.0.10" -j drop