基本操作
规则按顺序匹配，命中即执行目标动作；修改前先想清楚默认策略。
| 命令 / 参数 | 说明 |
|---|
| 列出规则（不解析域名、显示计数） |
| 查看 nat 表规则 |
| -A 在末尾追加规则 |
| -I 在指定位置插入（默认最前） |
| -D 删除指定序号或匹配的规则 |
| -R 替换指定规则 |
| 清空规则 / 删除自定义链 |
| 设置链的默认策略 |
| 新建自定义链 / 重命名 |
匹配条件
| 命令 / 参数 | 说明 |
|---|
| 按协议匹配 |
| 按来源地址/网段匹配 |
| 按目的地址匹配 |
| 来源端口（可给范围） |
| 目的端口 |
| 入站 / 出站网卡 |
| 连接状态匹配 |
| 新版连接跟踪写法 |
| 多端口匹配 |
| 按源 MAC 匹配 |
| 限速匹配，如每秒 10 个包 |
| 按地址范围匹配 |
动作与跳转
| 命令 / 参数 | 说明 |
|---|
| 放行 |
| 丢弃，不回包 |
| 拒绝并回包（可 --reject-with） |
| 记录日志到内核日志 |
| 返回父链继续匹配 |
| 跳转到自定义链 |
| 目的地址转换（端口转发） |
| 源地址转换 |
| 动态源转换，适合拨号出口 |
常用规则示例
示例按「先放行已建立连接、再放行必要端口、最后默认拒绝」组织。
| 命令 / 参数 | 说明 |
|---|
| 放行已建立连接的回包 |
| 放行本地回环 |
| 放行 SSH |
| 放行 HTTP |
| 放行 HTTPS |
| 允许 ping |
| 其余入站一律丢弃 |
| NAT 出口伪装 |
| 端口转发 8080→80 |
持久化与排错
| 命令 / 参数 | 说明 |
|---|
| 导出当前规则 |
| 导入规则 |
| Debian 系持久化保存 |
| RHEL 系持久化保存 |
| 清零计数器（排错时重置统计） |
| 以可复制的命令格式列出规则 |
| 查看 nftables 规则（新一代替代） |
使用说明
配置防火墙时 iptables 的四表五链和匹配条件容易记错，写错一条规则可能就把自己关在门外。本速查按表链基础、常用参数、常见规则与保存恢复分组，便于对照。
- 搜索场景或参数（如 放行端口、封禁IP、NAT、限速）。
- 按分组查看基础、命令参数、规则示例与持久化。
- 点击复制即可取走命令，改前建议先备份现有规则。
常见问题
- 规则为什么重启后没了？
- iptables 规则默认不持久化，需用 iptables-save 保存、iptables-restore 恢复，或配置到系统服务中。
- 封禁某个 IP 怎么写？
- iptables -A INPUT -s 1.2.3.4 -j DROP 可丢弃来自该 IP 的所有入站流量。
延伸阅读