iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作
三个表
filter 主要用于过滤包 内建三个链INPUT、OUTPUT以及FORWARD INPUT作用于进入本机的包；OUTPUT作用于本机送出的包；FORWARD作用于那些跟本机无关的包。
nat 主要用处是网络地址转换 PREROUTING 链的作用是在包刚刚到达防火墙时改变它的目的地址，如果需要的话。OUTPUT链改变本地产生的包的目的地址。POSTROUTING链在包就要离开防火墙之前改变其源地址
mangle 主要是用于给数据包打标记，然后根据标记去操作哪些包
-t<表>：指定要操纵的表；
-A：向规则链中添加条目；
-D：从规则链中删除条目；
-i：向规则链中插入条目；
-R：替换规则链中的条目；
-L：显示规则链中已有的条目；
-F：清除规则链中已有的条目；
-Z：清空规则链中的数据包计算器和字节计数器；
-N：创建新的用户自定义规则链；
-P：定义规则链中的默认目标；
-h：显示帮助信息；
-p：指定要匹配的数据包协议类型；
-s：指定要匹配的数据包源ip地址；
-j<目标>：指定要跳转的目标；
-i<网络接口>：指定数据包进入本机的网络接口；
-o<网络接口>：指定数据包要离开本机所使用的网络接口。
动作包括：
accept：接收数据包。
DROP：丢弃数据包。
REDIRECT：重定向、映射、透明代理。
SNAT：源地址转换。
DNAT：目标地址转换。
MASQUERADE：IP伪装（NAT），用于ADSL。
LOG：日志记录。
iptables -A/-I INPUT -s 1.1.1.1 -p tcp --sport 123 -d 192.168.52.131--dport 80 -j ACCEPT/DROP/REJECT
增加/插入 input表 来源ip1.1.1.1 tcp端口 端口号123 进入主机ip192 行为为接受所有
iptables -nvL --line-number 加编号
iptables -D INPUT 2 删除第二行规则
iptables -P INPUT DORP 关闭input链
iptables -I INPUT -p tcp --dport 22 -j ACCEPT 放行tcp22端口
service iptables save 保存规则
/etc/sysconfig/iptanles 文件地址