清空iptables后怎样恢复默认的规则（不是策略），请祥阅.....

houxianyong

我虚拟安装了两个suselinux 10，其中一个只有文本方式，想设置samba服务器，启动服务，设置了smb.conf文件，但是用smbclient测试不到本机。网上查说是防火墙规则没有打开端口，怎么试138，139都不行，干脆用iptables -F清空了。然后在另一个linux系统用图形界面设置samba，输出iptables-save到文件，其中有好多和138，139端口无关的规则，叫我没办法在文本linux里面加入规则了，而且iptables-restore命令不支持从文件恢复。高手能不能教教我这个菜鸟

下面是成功设置samba的linux虚拟机的iptables-save输出，里面好多是与138，139端口无关的规则，而且138，139都是在input_ext链规则的，与网上在INPUT链规则不同：
# Generated by iptables-save v1.3.3 on Wed Mar  1 21:53:50 2006
*mangle
:PREROUTING ACCEPT [4771:693743]
:INPUT ACCEPT [4762:693311]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [3855:566414]
:POSTROUTING ACCEPT [6279:980212]
COMMIT
# Completed on Wed Mar  1 21:53:50 2006
# Generated by iptables-save v1.3.3 on Wed Mar  1 21:53:50 2006
*nat
:PREROUTING ACCEPT [483:76376]
:POSTROUTING ACCEPT [617:116796]
:OUTPUT ACCEPT [617:116796]
COMMIT
# Completed on Wed Mar  1 21:53:50 2006
# Generated by iptables-save v1.3.3 on Wed Mar  1 21:53:50 2006
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:forward_ext - [0:0]
:input_ext - [0:0]
:reject_func - [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -j input_ext
-A INPUT -j input_ext
-A INPUT -m limit --limit 3/min -j LOG --log-prefix "SFW2-IN-ILL-TARGET " --log-tcp-options --log-ip-options
-A INPUT -j DROP
-A FORWARD -m limit --limit 3/min -j LOG --log-prefix "SFW2-FWD-ILL-ROUTING " --log-tcp-options --log-ip-options
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -m limit --limit 3/min -j LOG --log-prefix "SFW2-OUT-ERROR " --log-tcp-options --log-ip-options
-A input_ext -p udp -m pkttype --pkt-type broadcast -m udp --dport 67 -j ACCEPT
-A input_ext -p udp -m pkttype --pkt-type broadcast -m udp --dport 137 -j ACCEPT
-A input_ext -p udp -m pkttype --pkt-type broadcast -m udp --dport 138 -j ACCEPT
-A input_ext -m pkttype --pkt-type broadcast -j DROP
-A input_ext -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A input_ext -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A input_ext -p icmp -m state --state RELATED,ESTABLISHED -m icmp --icmp-type 0 -j ACCEPT
-A input_ext -p icmp -m state --state RELATED,ESTABLISHED -m icmp --icmp-type 3 -j ACCEPT
-A input_ext -p icmp -m state --state RELATED,ESTABLISHED -m icmp --icmp-type 11 -j ACCEPT
-A input_ext -p icmp -m state --state RELATED,ESTABLISHED -m icmp --icmp-type 12 -j ACCEPT
-A input_ext -p icmp -m state --state RELATED,ESTABLISHED -m icmp --icmp-type 14 -j ACCEPT
-A input_ext -p icmp -m state --state RELATED,ESTABLISHED -m icmp --icmp-type 18 -j ACCEPT
-A input_ext -p icmp -m state --state RELATED,ESTABLISHED -m icmp --icmp-type 3/2 -j ACCEPT
-A input_ext -p icmp -m state --state RELATED,ESTABLISHED -m icmp --icmp-type 5 -j ACCEPT
-A input_ext -p tcp -m limit --limit 3/min -m tcp --dport 135 --tcp-flags FIN,SYN,RST,ACK SYN -j LOG --log-prefix "SFW2-INext-ACC-TCP " --log-tcp-options --log-ip-options
-A input_ext -p tcp -m tcp --dport 135 -j ACCEPT
-A input_ext -p tcp -m limit --limit 3/min -m tcp --dport 445 --tcp-flags FIN,SYN,RST,ACK SYN -j LOG --log-prefix "SFW2-INext-ACC-TCP " --log-tcp-options --log-ip-options
-A input_ext -p tcp -m tcp --dport 445 -j ACCEPT
-A input_ext -p tcp -m limit --limit 3/min -m tcp --dport 139 --tcp-flags FIN,SYN,RST,ACK SYN -j LOG --log-prefix "SFW2-INext-ACC-TCP " --log-tcp-options --log-ip-options
-A input_ext -p tcp -m tcp --dport 139 -j ACCEPT
-A input_ext -p udp -m udp --dport 67 -j ACCEPT
-A input_ext -p udp -m udp --dport 138 -j ACCEPT
-A input_ext -p udp -m udp --dport 137 -j ACCEPT
-A input_ext -p tcp -m tcp --dport 113 -m state --state NEW -j reject_func
-A input_ext -p tcp -m limit --limit 3/min -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j LOG --log-prefix "SFW2-INext-DROP-DEFLT " --log-tcp-options --log-ip-options
-A input_ext -p icmp -m limit --limit 3/min -j LOG --log-prefix "SFW2-INext-DROP-DEFLT " --log-tcp-options --log-ip-options
-A input_ext -p udp -m limit --limit 3/min -j LOG --log-prefix "SFW2-INext-DROP-DEFLT " --log-tcp-options --log-ip-options
-A input_ext -m limit --limit 3/min -m state --state INVALID -j LOG --log-prefix "SFW2-INext-DROP-DEFLT-INV " --log-tcp-options --log-ip-options
-A input_ext -j DROP
-A reject_func -p tcp -j REJECT --reject-with tcp-reset
-A reject_func -p udp -j REJECT --reject-with icmp-port-unreachable
-A reject_func -j REJECT --reject-with icmp-proto-unreachable
COMMIT
# Completed on Wed Mar  1 21:53:50 2006

[ 本帖最后由 platinum 于 2006-3-2 10:06 编辑 ]

platinum

你在 iptables 的参数上两个知识欠缺
1、要学会用 -vnL 参数
2、要学会用 -F 参数

houxianyong

谢谢法王，我是刚学linux，目标是为了oracle。我正在看oscar编写iptable指南中文译本。但是网络这一块还是比较底子薄

platinum

清空前可以先“# iptables-save > 文件名”来保存
想恢复的时候“# iptables-restore < 文件名”来恢复即可
你问的是这个意思吗？

houxianyong

是啊是啊，但是我看指南的时候说iptables-restore不支持从文件恢复，是吗

platinum

原帖由 houxianyong 于 2006-3-3 08:38 发表
是啊是啊，但是我看指南的时候说iptables-restore不支持从文件恢复，是吗

哦？哪里写的？我也去看看
用我上面的方法可以的，你可以做个试验：

1、service iptables stop，停掉所有 iptables 规则
2、iptables -vnL，验证一下是否清除
3、iptables -A INPUT -j ACCEPT，写一条规则
4、iptables -vnL，验证一下是否已添加
5、iptables-save > /root/iptables，保存规则
6、service iptables stop，停掉所有 iptables 规则
7、iptables -vnL，验证一下是否已清楚
8、iptables-restore < /root/iptables，载入规则
9、iptables -vnL，验证一下是否已恢复

houxianyong

是oskar andreasson写的，sllscn翻译的iptables指南，版本1.1.19，针对的iptables可能是1.2的。现在1.3版本的可以从文件恢复规则吗？

platinum

原帖由 houxianyong 于 2006-3-3 09:02 发表
是oskar andreasson写的，sllscn翻译的iptables指南，版本1.1.19，针对的iptables可能是1.2的。现在1.3版本的可以从文件恢复规则吗？

实践出真知，我上面给你测试方法了

houxianyong

不好意思法王，我用的suse linux 10 好像不支持service命令

platinum

我以为你也像我一样用的是 RH 系列的发行版，不好意思 ^_^
你可以用 iptables -F 来替代 service iptables stop