iptables 详解（10） iptables的扩展动作总结

ACCEPT、DROP 都属于基础动作

一、REJECT 属于扩展动作：

REJECT的动作常用选项为--reject-with + 拒绝原因可加的原因有

默认值是 icmp-port-unreachable

icmp-net-unreachable

icmp-host-unreachable

icmp-port-unreachable

icmp-proto-unreachable

icmp-net-prohibited

icmp-host-prohibited

icmp-port-prohibited

icmp-proto-prohibited

root@ubuntu:~# iptables -I INPUT -j REJECT --reject-with icmp-host-unreachable
root@ubuntu:~#

当前显示的ping不通的理由就是无法访问目标主机.

iptables 详解（10） iptables的扩展动作总结

可以看到被拒绝掉的数据包在前面显示

iptables 详解（10） iptables的扩展动作总结

iptables 表动链序号

二、动作LOG

只负责记录匹配到报文的相关信息，不负责对报文进行处理，如下所示

root@ubuntu:~# iptables -t filter -I INPUT -p tcp --dport 22 -j LOG
root@ubuntu:~# 
root@ubuntu:~# iptables -nvL
Chain INPUT (policy ACCEPT 124 packets, 10539 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   40  2608 LOG        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22 LOG flags 0 level 4

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 29 packets, 2256 bytes)
 pkts bytes target     prot opt in     out     source               destination

将相关log发到指定的位置

iptables 详解（10） iptables的扩展动作总结

--log-level （不同的级别有emerg、alert、crit、error、warning、notice、info，debug）

--log-prefix（可以给记录到的县官信息添加标签之类的信息以方便记录到报文信息中方便过滤）

root@ubuntu:/var/log# iptables -I INPUT -p tcp --dport 22 -m state --state NEW -j LOG --log-prefix "want-in-form-port-22"
root@ubuntu:/var/log# 
root@ubuntu:/var/log# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target prot opt source destination 
LOG tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 state NEW LOG flags 0 level 4 prefix "want-in-form-port-22"

　可以从标签中找到对应的内容　