Làm cách nào để xóa các quy tắc cụ thể khỏi iptables?

Tôi đang lưu trữ các dịch vụ HTTP và HTTPS đặc biệt trên các cổng 8006 và 8007 tương ứng. Tôi sử dụng iptables để "kích hoạt" máy chủ; tức là định tuyến các cổng HTTP và HTTPS đến:

iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8006 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8007 -j ACCEPT
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8006 
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8007  
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 80 -j REDIRECT --to-ports 8006
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 443 -j REDIRECT --to-ports 8007 

Công việc này như một cái duyên vậy. Tuy nhiên tôi muốn tạo một tập lệnh khác vô hiệu hóa máy chủ của tôi một lần nữa; tức là khôi phục iptables về trạng thái trước khi chạy các dòng trên. Tuy nhiên tôi đang gặp khó khăn trong việc tìm ra cú pháp để loại bỏ các quy tắc này. Điều duy nhất có vẻ hoạt động là một tuôn ra hoàn toàn:

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

Nhưng điều đó cũng sẽ xóa các quy tắc iptables khác không mong muốn.

Thực hiện các lệnh tương tự nhưng thay thế "-A" bằng "-D". Ví dụ:

iptables -A ...

trở thành

iptables -D ...

Bạn cũng có thể sử dụng số của quy tắc ( - số dòng ):

iptables -L INPUT --line-numbers

Ví dụ đầu ra:

Chain INPUT (policy ACCEPT) 
    num  target prot opt source destination
    1    ACCEPT     udp  --  anywhere  anywhere             udp dpt:domain 
    2    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:domain 
    3    ACCEPT     udp  --  anywhere  anywhere             udp dpt:bootps 
    4    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:bootps

Vì vậy, nếu bạn muốn xóa quy tắc thứ hai:

iptables -D INPUT 2

Cập nhật

Nếu bạn sử dụng (d) một bảng cụ thể (ví dụ: nat), bạn phải thêm nó vào lệnh xóa (thx thành @ThorSummoner cho nhận xét)

sudo iptables -t nat -D PREROUTING 1

Giải pháp tốt nhất phù hợp với tôi mà không gặp vấn đề gì theo cách này:
1. Thêm quy tắc tạm thời với một số nhận xét:

comment=$(cat /proc/sys/kernel/random/uuid | sed 's/\-//g')
iptables -A ..... -m comment --comment "${comment}" -j REQUIRED_ACTION

2. Khi quy tắc được thêm vào và bạn muốn xóa nó (hoặc mọi thứ có nhận xét này), hãy làm:

iptables-save | grep -v "${comment}" | iptables-restore

Vì vậy, bạn sẽ xóa 100% tất cả các quy tắc khớp với bình luận $ và không để lại các dòng khác. Giải pháp này hoạt động trong 2 tháng qua với khoảng 100 thay đổi quy tắc mỗi ngày - không có vấn đề gì. Hy vọng, nó giúp

Đầu tiên liệt kê tất cả các quy tắc iptables với lệnh này:

iptables -S

nó liệt kê như:

-A XYZ -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

Sau đó sao chép dòng mong muốn và chỉ cần thay thế -Abằng -Dđể xóa dòng đó:

iptables -D XYZ -p ...

Sử dụng -Dlệnh, đây là cách mantrang giải thích nó:

-D, --delete chain rule-specification
-D, --delete chain rulenum
    Delete  one  or more rules from the selected chain.  
    There are two versions of this command: 
    the rule can be specified as a number in the chain (starting at 1 for the first rule) or a rule to match.

Hãy nhận ra lệnh này, giống như tất cả các lệnh khác ( -A, -I) hoạt động trên bảng nhất định. Nếu bạn không làm việc trên bảng mặc định ( filterbảng), hãy sử dụng -t TABLENAMEđể chỉ định bảng mục tiêu đó.

Xóa quy tắc để khớp

iptables -D INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Lưu ý: Điều này chỉ xóa quy tắc đầu tiên phù hợp. Nếu bạn có nhiều quy tắc khớp (điều này có thể xảy ra trong iptables), hãy chạy nó nhiều lần.

Xóa quy tắc được chỉ định dưới dạng số

iptables -D INPUT 2

Khác với việc đếm số bạn có thể liệt kê số dòng với --line-numbertham số, ví dụ:

iptables -t nat -nL --line-number

Giả sử rằng, nếu bạn muốn xóa các quy tắc NAT,

Liệt kê các IPtables được nối bằng lệnh bên dưới,

# sudo iptables -L -t nat -v

Chain PREROUTING (policy ACCEPT 18 packets, 1382 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    7   420 DNAT       tcp  --  any    any     anywhere             saltmaster           tcp dpt:http to:172.31.5.207:80
    0     0 DNAT       tcp  --  eth0   any     anywhere             anywhere             tcp dpt:http to:172.31.5.207:8080

Nếu bạn muốn xóa quy tắc nat khỏi IPtables, chỉ cần thực hiện lệnh,

# sudo iptables -F -t nat -v

Flushing chain `PREROUTING'
Flushing chain `INPUT'
Flushing chain `OUTPUT'
Flushing chain `POSTROUTING'

Sau đó, bạn có thể xác minh rằng,

# sudo iptables -L -t nat -v