linux iptables的问题 ，要指定只允许一段IP TCP访问，是先拒绝所有，再允许这一段IP吗，那规则该怎么写

Question

求解~~~~~

Answer 1

这个比较复杂，挺基础的，建议买本书或找个网站补一下
首先要了解iptables工作原理（规则是按上到下的顺序匹配的）和添加规则的方式，-A 参数为append（个人理解，错误望指证）追加，而 -I 参数为 insert（也是个人理解，学习方式不同）插入。我举个例子你可能就会懂了，假设现在的防火墙中有这一条规则（我不太记的具体显示了，示例一下吧）
-A INPUT -p tcp --dport 80 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

这时如果使用 -A INPUT加入一个 DROP或REJECT规则，则此规则会加在INPUT里的末尾，照匹配顺序的话，第一条80的INPUT是不会受影响的，如果使用 -I 插入的话则出现在80规则之后，规则号为1，80的规则号为2，这时DROP优先生效，不会再向下匹配。所以一般来说，DROP都加在最后。
你可以参考我下面的操作在虚拟机上试一下就明白了：
1.先插入几个规则
iptables -A INPUT -p tcp --dport 81 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --dport 82 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --dport 83 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
2.使用 iptables -vnL --line（显示规则号）
3.分别使用 iptables -A 和 iptables -I 命令往里面添加规则，添加规则时可以指定规则号，写法如下
iptables -A INPUT 2(这个表示在第2个规则后插入，同理 -I 为在规则前插入) -p tcp --dport 22 -j ACCPET
最后再用 iptables -vnL --line观察一下就很容易明白了
我没什么文化，不知道这样解释你清不清楚，如果不清楚的话请追问。

Answer 2

第一条规则：设置默认策略为丢包，如果是禁止防火墙本身的服务访问，将FORWARD改为 INPUT。
iptables -P FORWARD DROP

第二条规则：设置你想允许的tcp服务通过，第一条是让web服务通过，第二条是让web服务的方向 报文通过，第三条是让ssh服务通过，第四条是让反向的ssh服务通过。
iptables -A FORWARD -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -p tcp --sport 80 -j ACCEPT

iptables -A FORWARD -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -p tcp --sport 22 -j ACCEPT

Answer 3

应该是先接受，然后拒绝另外的所有吧，举个例子：
-A INPUT -m state --state NEW -s 192.168.1.0/24 -j ACCEPT
-A INPUT -j REJECT
ps：你再查查，这一块我不是很熟悉

Answer 4

先默认DROP掉 然后再开逐条符合你条件的ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

iptables -A INPUT -p tcp -s 192.168.0.1/24 -j ACCEPT
Iptables -A OUTPUT -p tcp -d 192.168.0.1/24 -j ACCEPT