Opções do IPtables

"-v" ou "--verbose" → Esta opção mostra o modo detalhado e é usada principalmente com a opção "-L" ou "--list".

Vamos a um exemplo da opção "-v":

# iptables -t filter -L -v

Chain INPUT (policy ACCEPT 53295 packets, 125M bytes)
 pkts bytes target     prot opt in     out     source       destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source       destination

Chain OUTPUT (policy ACCEPT 42001 packets, 6130K bytes)
 pkts bytes target     prot opt in     out     source       destination

Agora vamos ver um exemplo de listagem de regras sem o "-v", para notarmos a diferença:

# iptables -L

Chain INPUT (policy ACCEPT)
target     prot opt source       destination

Chain FORWARD (policy ACCEPT)
target     prot opt source       destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source       destination

"-x" ou "--xact" → Trabalha em conjunto com o "-v", porém nos mostra as informações de contadores em formato de bytes.

Vamos a um exemplo desta opção:

# iptables -t filter -L -v -x

Chain INPUT (policy ACCEPT 58750 packets, 134020765 bytes)
    pkts      bytes target     prot opt in     out     source     destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source     destination

Chain OUTPUT (policy ACCEPT 46828 packets, 6913584 bytes)
    pkts      bytes target     prot opt in     out     source     destination

"-n" ou "--numeric" → Esta opção nos mostra informações em formato numérico ao invés de resolver via DNS.

Vamos ver um exemplo do uso do "-n". Vamos criar uma regra e depois listar sem o "-n", e depois com o "-n":

# iptables -A FORWARD -p tcp -m multiport --dports 22,25,110,143,443,993,995 -s www.terra.com.br -j ACCEPT

Vamos listar a regra:

# iptables -L

Chain INPUT (policy ACCEPT)
target     prot opt source            destination

Chain FORWARD (policy ACCEPT)
target     prot opt source            destination
ACCEPT     tcp  --  www.terra.com.br  anywhere    multiport dports ssh,smtp,pop3,imap2,https,imaps,pop3s

Chain OUTPUT (policy ACCEPT)
target     prot opt source            destination

Como pode ser notado, sem passarmos a opção "-n", os valores são mapeados para nomes. Agora vamos utilizar a opção "-n" na listagem das regras:

# iptables -L -n

Chain INPUT (policy ACCEPT)
target     prot opt source          destination

Chain FORWARD (policy ACCEPT)
target     prot opt source          destination
ACCEPT     tcp  --  200.154.56.80   0.0.0.0/0    multiport dports 22,25,110,143,443,993,995

Chain OUTPUT (policy ACCEPT)
target     prot opt source          destination

Em um firewall com muitas regras, aconselho sempre usar a opção "-n", pois economizamos tempo nas listagens.

"--line-number" → Esta opção mostra o número das regras.

Vamos ver um exemplo de listagem de regras:

# iptables -L --line-number

Chain INPUT (policy ACCEPT)
num  target     prot opt source            destination

Chain FORWARD (policy ACCEPT)
num  target     prot opt source            destination
1    ACCEPT     tcp  --  www.terra.com.br  anywhere    multiport dports ssh,smtp,pop3,imap2,https,imaps,pop3s

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source            destination

Como pode ser notado, na chain FORWARD temos somente uma regra, e na primeira coluna da esquerda, temos o número 1, que é o número desta regra.

"-m" ou "--modprobe" → Esta opção carrega um módulo do IPtables.

Vamos ver um exemplo de uso dessa opção. Aqui vamos carregar o módulo de multiport do IPtables, que nos possibilita utilizar mais de uma porta na mesma regra:

# iptables -t filter -A INPUT -p tcp -m multiport --dport 80,23 -j ACCEPT

Parâmetros genéricos

"-p" ou "--protocol" → Este parâmetro informa o protocolo utilizado na regra.

Vamos a um exemplo de uso deste parâmetro:

# iptables -t filter -A INPUT -p tcp -j ACCEPT

No exemplo acima, informamos para o IPtables que o protocolo utilizado na regra vai ser o TCP.

"-s" ou "--src" ou "--source" → Este parâmetro indica a origem dos pacotes.

Vamos à um exemplo deste parâmetro:

# iptables -t filter -A INPUT -p tcp -s 10.0.0.0/24 -j ACCEPT

Acima, informamos ao IPtables que a regra se aplica na origem: 10.0.0.0/24

"-d" ou "--dst" ou "--destination" → Este parâmetro indica o destino do pacote.

Vamos a um exemplo do uso do parâmetro "-d":

# iptables -t filter -A INPUT -p tcp -d 10.0.0.0/24 -j ACCEPT

No exemplo acima, informamos ao IPtables que esta regra aplica-se ao destino: 10.0.0.0/24

"-i" ou "--in-interface" → Este parâmetro especifica a interface de entrada de um pacote.

Vamos a um exemplo do uso deste parâmetro:

# iptables -t filter -A INPUT -p tcp -i eth0 -j ACCEPT

No exemplo acima, informamos ao IPtables que esta regra aplica-se à interface de entrada: eth0

"-o" ou "--out-interface" → Este parâmetro especifica a interface de saída de um pacote.

Vamos a um exemplo do uso deste parâmetro:

# iptables -t filter -A INPUT -p tcp -o eth0 -j ACCEPT

No exemplo acima, informamos que esta regra aplica-se à interface de saída: eth0

"-j" ou "--jump" → Este parâmetro determina qual ação vai ser tomada por uma regra.

Vamos a um exemplo do uso deste parâmetro:

# iptables -t filter -A INPUT -p tcp --dport 22 -j DROP

No exemplo acima, informamos ao IPtables que a ação a ser tomada é dropar (bloquear) os pacotes para a porta 22.