ipset、iptables快速使用

1. 直接來看一條命令

sudo ipset add myset_name 127.0.0.1
#	本條命令的意思是：在名為 myset_name 的一個集合中 添加（add）一條地址為127.0.0.1的ip

sudo ipset add myset_name 127.0.0.1-127.0.1.200
#	可以在一個ipset中批量加入ip地址，固定寫法：中間以“-”連接，地址需要寫全，不全會報錯，加不進去

2. 如何創建一個ipset？

sudo ipset create myset hash:ip 
#	hash:ip表示創建一個使用 IP 地址作為元素的哈希集合。它指定了 ipset 的類型和數據結構，以便有效地存儲和檢索 IP 地址。冒號前面的部分（hash）表示 ipset 的類型，冒號後面的部分（ip）表示使用的數據類型。
#
#	類型可以是以下之一：
#    hash:ip：使用 IP 地址作為元素的哈希集合。
#    hash:net：使用 IP 網路（CIDR）作為元素的哈希集合。
#    hash:ip,port：使用 IP 地址和埠號組合作為元素的哈希集合。
#    hash:net,port：使用 IP 網路（CIDR）和埠號組合作為元素的哈希集合。
#    其他類型，如 list:set、bitmap:ip、bitmap:port 等。
#
#	 也可以使用-N參數來代替create：sudo ipset -N myset_name hash:ip

sudo ipset create myset_name hash:ip maxelem 1000000
#	ipset預設可以存儲65536個元素，使用maxelem指定數量

3. 如何查看當前已有哪些ipset？

sudo ipset list
#	查看當前伺服器已創建的ipset

sudo ipset list myset_name
#	查看myset_name表中已經添加的ip地址

4. 此時已經創建了一張ipset表，如何結合iptables使用呢？ipset有什麼作用？

sudo iptables -I INPUT -m set ! --match-set myset_name src -p tcp -j DROP
#	本條命令的意思是：使用iptables的規則
#		-I INPUT：這表示在 INPUT 鏈的開頭插入規則 （詳見下條 5.四表五鏈）
#		-m set 表明要使用ipset擴展模塊進行匹配
#		！表示取反
#		-p tcp 表明匹配 TCP 協議的數據包 （其他取值：tcp、udp、icmp、icmpv6、esp......）
#		--match-set myset_name src 表明查找數據包的來源是否屬於名為`myset_name`的ipset
#		-J 表明如果匹配成功，則丟棄（DROP）掉 （其他取值：ACCEPT、DROP、REJECT、LOG......）
# 整條命令的意思是：使用 iptables 設置規則，將匹配到 myset_name 中的源IP地址的TCP流量DROP
#
#	大致語法：
#		iptables [-t table] COMMAND [chain] CRETIRIA -j ACTION
#		詳見這裡： https://man7.org/linux/man-pages/man8/iptables.8.html

5. 四表五鏈

sudo iptables -nvL 
#	查看當前設置了哪些規則
#
# 五鏈：防火牆的規則需要寫入具體的數據鏈中
#	INPUT（入站數據過濾）
#	OUTPUT（出站數據過濾）
#	FORWARD（轉發數據過濾）
#	PREROUTING（路由前過濾）
#	POSTROUTING（路由後過濾）
#
# 四表：有印象即可
#	filter：負責過濾數據包，包括的規則鏈有：input，output和forward
#	nat：用於網路地址轉換（IP、埠），包括的規則鏈有：prerouting，postrouting 和 output
#	mangle：主要應用在修改數據包、流量整形、給數據包打標識，預設的規則鏈有：INPUT，OUTPUT、 forward，POSTROUTING，PREROUTING
#	raw：控制 nat 表中連接追蹤機制的啟用狀況，可以控制的鏈路有 PREROUTING、OUTPUT

6. 添加錯了，如何修改/刪除一條iptables規則？

iptables -L INPUT --line-numbers
#	表明列出名為 INPUT 的 iptables 鏈的規則，並顯示規則的行號

iptables -R INPUT 2 <new_rule>
#	使用-R參數，修改 INPUT 鏈中行號為 2 的規則，在 <new_rule> 的位置，替換為要設置的新規則

iptables -D INPUT 3
#	使用-D參數，刪除 INPUT 鏈中行號為 3 的規則

7.持久化保存防火牆規則

​ 所有對iptables規則的設置、刪除、修改、都是即時生效的，無需手動重啟或生效服務。但如果不保存，當電腦重啟後所有的規則都會丟失，所以對防火牆規則進行及時保存的操作是非常必要的。

#	在 Ubuntu 系統中，可以使用以下方法保存和備份防火牆規則：

sudo iptables-save > firewall-rules.txt
#	使用 iptables-save 命令將當前的防火牆規則保存到文件中。可以將輸出重定向到一個名為 firewall-rules.txt的文件中

sudo iptables-restore < 文件名稱
#	iptables-restore 命令可以批量導入Linux防火牆規則，同時也需要結合重定向輸入來指定備份文件的位置
#	導入的文件必須是使用 iptables-save工具導出來的才可以！！！

參考文獻：

《一篇搞懂》系列之一 —— iptables
Linux iptables命令詳解
Linux下iptables防火牆配置詳解
Centos7 ipset命令介紹及使用