CentOS常用文件操作命令

admin 评论

创建目录

mkdir 文件名

mkdir /var/www/test

 

cp复制命令

cp命令复制文件从一个位置到另一位置。如果目的地文件存在，将覆复写该文件； 如果目的地目录存在，文件将复制到该目录下 (目录不会被复写)。

语法:
语法是
cp [命令开关]… SOURCE DEST
cp [OPTIONS]… SOURCE… DIRECTORY
cp [OPTIONS]… –target-directory=DIRECTORY SOURCE…

命令开关:

-a 等同于 -dpR.
–backup[=CONTROL] 对每个存在的目标文件制作备份。
-b 如同 –backup，但是不接受参数。
-f 如果存在的目标文件不能被写操作打开，删除它并且再试一次。
-p 等同于 –preserve=mode,ownership,timestamps （保留模式，所有者和时间戳信息）。
–preserve[=ATTR_LIST] 保留指定的属性 (默认属性:模式，所有者，时间戳)和安全配置, 如果可能的话添加附加属性：连接，所有。
–no-preserve=ATTR_LIST 不保留指定的属性。
–parents 在目录下添加源路径。

示例:

  2. C复制两个文件: 
    cp file1 file2

    上述cp命令复制文件file1.php 的内容到文件file2.php中。

  3. 备份拷贝的文件: 
    cp -b file1.php file2.php

    创建文件file1.php的带着符号 ‘~’的备份文件file2.php~。

  4. 复制文件夹和子文件夹: 
    cp -R scripts scripts1

    上面的 cp 命令从 scripts 复制文件夹和子文件夹到 scripts1。

mv移动命令

mv 命令是move的缩写。 用它从一个目录到一个目录移动/重命名文件。 mv命令不同于cp命令，mv命令是完全的从源移动文件并且把文件移动到指定的目录，这里cp命令只是复制文件的内容从一个文件到另一个文件。

语法:
语法是
mv [-f] [-i] 原名称 新名称

命令开关:

-f 在覆盖前不提示(equivalent to相当于 –reply=yes). mv -f 将在没有提示的情况下移动文件（多个文件），即使它将复写存在的目标文件。
-i 在复写另一文件前做出提示

示例:

  2. To Rename / Move a file: 
    mv file1.txt file2.txt

    这个命令重命名file1.txt文件的名字为file2.txt。

  3. To move a directory移动一个目录 
    mv hscripts  tmp

    在上述命令中，如果tmp目录已经存在，mv命令将移动hscripts文件夹/目录下的所有文件，目录和子目录到tmp目录。 如果没有tmp目录，它将重命名 hscripts目录为tmp目录。

  4. 移动多个文件/更多问价到另一目录 
    mv file1.txt tmp/file2.txt newdir

    这个命令移动当前目录的file1.txt文件和tmp文件夹/目录的file2.txt文件到newdir目录。

rm删除命令

rm Linux 命令用来移除/删除目录下的文件。

语法:
语法是
rm [命令开关..] [文件 | 目录]

命令开关:

-f 不提示用户，删除目录下的所有文件。
-i 交互模式。使用这个选项，rm命令在删除任何文件前提示用户确认。
-r (或) -R 递归的删除参数表中的目录及其子目录。 目录将被清空并且删除。 当删除目录包含的具有写保护的文件时用户通常是被提示的。

示例:

  2. 移除/删除文件： 
    rm file1.txt

    这里rm命令将移除/删除文件file1.txt。

  3. 删除目录树: 
    rm -ir tmp

    这里rm命令递归的删除tmp目录下所有子目录下内容，对于每个文件的删除都会提示你，然后删除tmp目录本身。

  4. 一次删除多个文件。 
    rm file1.txt file2.txt

    rm命令同时删除文件file1.txt 和file2.txt。

Linux中zip压缩和unzip解压缩命令详解

admin 评论

以下命令均在/home目录下操作
cd /home #进入/home目录
1、把/home目录下面的mydata目录压缩为mydata.zip
zip -r mydata.zip mydata #压缩mydata目录
2、把/home目录下面的mydata.zip解压到mydatabak目录里面
unzip mydata.zip -d mydatabak
3、把/home目录下面的abc文件夹和123.txt压缩成为abc123.zip

zip -r abc123.zip abc 123.txt
4、把/home目录下面的wwwroot.zip直接解压到/home目录里面

unzip wwwroot.zip
5、把/home目录下面的abc12.zip、abc23.zip、abc34.zip同时解压到/home目录里面

unzip abc\*.zip
6、查看把/home目录下面的wwwroot.zip里面的内容

unzip -v wwwroot.zip
7、验证/home目录下面的wwwroot.zip是否完整

unzip -t wwwroot.zip
8、把/home目录下面wwwroot.zip里面的所有文件解压到第一级目录

unzip -j wwwroot.zip
系统运维 温馨提醒：qihang01原创内容版权所有,转载请注明出处及原文链接
=====================================================
主要参数
-c：将解压缩的结果
-l：显示压缩文件内所包含的文件
-p：与-c参数类似，会将解压缩的结果显示到屏幕上，但不会执行任何的转换
-t：检查压缩文件是否正确
-u：与-f参数类似，但是除了更新现有的文件外，也会将压缩文件中的其它文件解压缩到目录中
-v：执行是时显示详细的信息
-z：仅显示压缩文件的备注文字
-a：对文本文件进行必要的字符转换
-b：不要对文本文件进行字符转换
-C：压缩文件中的文件名称区分大小写
-j：不处理压缩文件中原有的目录路径
-L：将压缩文件中的全部文件名改为小写
-M：将输出结果送到more程序处理
-n：解压缩时不要覆盖原有的文件
-o：不必先询问用户，unzip执行后覆盖原有文件
-P<密码>：使用zip的密码选项
-q：执行时不显示任何信息
-s：将文件名中的空白字符转换为底线字符
-V：保留VMS的文件版本信息
-X：解压缩时同时回存文件原来的UID/GID

Microsoft Office 2007没有保存为PDF的选项

admin 评论

加载项下载地址：http://www.microsoft.com/zh-cn/download/details.aspx?id=9943

此下载使您得以在八种 2007 Microsoft Office 程序中导出文件并将其保存为 PDF 格式。在其中某些程序中，还可以利用它将文件以 PDF 格式的电子邮件附件形式发送。

支持的操作系统

Windows Server 2003, Windows Vista, Windows XP Service Pack 2

  • 此下载适用于下列 Office 程序：
    • Microsoft Office Access 2007
    • Microsoft Office Excel 2007
    • Microsoft Office InfoPath 2007
    • Microsoft Office OneNote 2007
    • Microsoft Office PowerPoint 2007
    • Microsoft Office Publisher 2007
    • Microsoft Office Visio 2007
    • Microsoft Office Word 2007

CentOS下FTP客户端工具的安装及使用

admin 评论

1、安装方法

yum install ftp

2、使用方法
安装完成后，在终端中输入ftp，然后回车就可以使用了。下面就是连接方法。

ftp> open example.com
Connected to example.com (xxx.xxx.xxx.xxx).
220 (vsFTPd 2.2.2)
Name (example.com:xxxx):[此时输入FTP用户名]
331 Please specify the password.
Password:[此时输入FTP密码]
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> [此处可输入help查看ftp的所有命令]

wine 安装ie6报“Your wine does not have wineprefixcreate installed”错误解决

admin 评论

由于wine 1.3使用了winepath代替wineprefixcreate，所以安装ies4linux的时候，会提示wine版本太 旧，wineprefixcreate有误。可以通过修改ies4linux 2.99.0.1/lib的functions.sh、install.sh来简单解决ie6的安装问题。

在install.sh 426行左右

subsection $MSG_CREATING_PREFIX
set_wine_prefix "$BASEDIR/ie1/"
wineprefixcreate &> /dev/null
clean_tmp

改为：
subsection $MSG_CREATING_PREFIX
set_wine_prefix "$BASEDIR/ie1/"
winepath &> /dev/null
clean_tmp

在functions.sh 242行左右
function create_wine_prefix {
if which wineprefixcreate &> /dev/null; then
( wineprefixcreate 2>&1 ) | debugPipe
else
error $MSG_ERROR_NO_WINEPREFIXCREATE
fi
}

改为：
function create_wine_prefix {
if which winepath &> /dev/null; then
( winepath 2>&1 ) | debugPipe
else
error $MSG_ERROR_NO_WINEPREFIXCREATE
fi
}

保存后重新运行./ies4linux安装即可。
可能会卡住，你到~/bin/里看有没有ie6。
有就运行 ~/bin/ie6。

centos 6.2安装wine1.4少Xlib/Xfree86解决办法

admin 评论

centos 6.2安装wine1.4少Xlib/Xfree86解决办法   执行下面的命令，安装需要的包：

yum install alsa-lib-devel cups-devel dbus-devel esound-devel fontconfig-devel    freetype-devel giflib-devel hal-devel isdn4k-utils-devel lcms-devel libICE-devel    libjpeg-devel libpng-devel libSM-devel libusb-devel libX11-devel libXau-devel    libXcomposite-devel libXcursor-devel libXext-devel libXi-devel libXinerama-devel    libxml2-devel libXrandr-devel libXrender-devel libxslt-devel libXt-devel libXv-devel    libXxf86vm-devel mesa-libGL-devel ncurses-devel openldap-devel openssl-devel pkgconfig    sane-backends-devel xorg-x11-proto-devel gnutls openal-soft-devel gsm-devel libv4l-   devel openal-soft-devel gcc flex bison git cabextract wget

xx is not in the sudoers file 问题解决

admin 评论

我用的是redhat5.4，在一般用户下执行sudo命令提示llhtiger is not in the sudoers file. This incident will be reported.解决方法：

一、$whereis sudoers －－－－－－－找出文件所在的位置，默认都是/etc/sudoers         
二、 #chmod u+w /etc/sudoers    以超级用户登录su -root ，修改文件权限即添加文件拥有这的写权限 限，ls -al /etc/sudoers 可以查看原文件的权限。    
三、vim /etc/sudoers 编辑文件，在root ALL=(ALL)ALL行下添加XXX ALL=(ALL)ALL，XXX为你的用户名。添加方法：找到root行，按下”i“键进入编辑模式添加即可！编辑好后esc键进入一般模式， “：wq”保存退出！
最后， #chmod u－w /etc/sudoers 回到文件的原权限！

下面这个稍微详细一点：

在 ubuntu中由于禁用了root用户，默认情况下会把安装系统时建立的用户添加到sudoers中。但在redhat和centos中并没有把任何 root用户之外的用户默认的添加到sudoers之中。这样我们在执行sudo 命令时就会出现xxx is not in the sudoers file. This incident will be reported.这样的错误输出。现在为了安全起见比较提倡使用普通用户做日常操作，而在需要超级用户的时候使用sudo 来做，这样，我们就有必要把一些用户添加到sudoers之中。
其实把用户添加到sudoers之中很简单。
首先利用whereis 命令查找sudoers配置文件的目录（默认会在/etc/sudoers)
[root@localhost xiaofei]# whereis sudoers
sudoers: /etc/sudoers /etc/sudoers.bak /usr/share/man/man5/sudoers.5.gz
然后需要切换到root用户，更改/etc/sudoers的权限
[root@localhost xiaofei]# chmod u+w /etc/sudoers
然后就可以利用vi编辑器来把用户添加到sudoers之中
[root@localhost xiaofei]# vi /etc/sudoers
然后找到root    ALL=(ALL)       ALL所在的位置，把所要添加的用户添加到文件之中，

顺便提一下vi编辑器的用法。刚进入vi编辑器的时候牌命令行模式，这时可以通过方向键来移动光标，找到要编辑的位置之后按下“i”，然后就进入了插入模 式，这时候你可以输入或删除字符。编辑完成之后按“esc”键退出插入模式，进入命令行模式，这时候按“：”可以进入末行模式，输入“wq”保存并退出。

下面是添加完的结果。
## Allow root to run any commands anywhere
root    ALL=(ALL)       ALL
xiaofei ALL=(ALL)       ALL              （这一行是添加的内容，xiaofei是我的用户名）
然后需要把sudoers 的写权限去掉（否则系统不允许执行suoders文件）：
[root@localhost xiaofei]# chmod u-w /etc/sudoers
至此，在退出root用户之后就可以利用sudo命令来执行超级用户的权限了。

CentOS 6.0 VNC远程桌面配置

admin 评论

引言：

必须明白：

vncserver在调用的时候，会根据你的配置来启用server端的监听端口，

端口默认是从5900开始，再加上你的桌面号。

比如你的桌面号为1，则vnc的连接端口号为5900+1=5901

比如你的桌面号为10000，则vnc的连接端口号为5900+10000=15900

======================================================================

下面配置VNC服务器，使用户（root）能够通过vnc客户端远程连接到linux系统的图形界面(前提是你的服务器要安装桌面)

1、检查linux系统是否安装VNC

在终端窗口输入命令：

rpm -q vnc-server

返回信息如下

package vnc-server is not installed

说明vnc服务器没有安装

2、运行以下命令进行安装：

yum install vnc vnc-server

3、启动VNC服务

vncserver
You will require a password to access your desktops.
Password:
Verify:

会提示输入密码，这个密码是远程登录时所需要输入的密码，输入密码，回车

4、切换到root账号:su root然后输入root账号的密码

vi /etc/sysconfig/vncservers  #vnc配置文件

VNCSERVERS=”10000:root” # 把前面的#取消了 10000:root （桌面号:用户） # VNCSERVERARGS[10000]=”-geometry 800×600″

最后保存退出

5&6、配置防火墙，允许10000+5900=15900端口通过防火墙（否则远程连不上VNC服务器），并保存配置；重启防火墙，使刚才的端口配置生效

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 15900 -j ACCEPT
service iptables save
service iptables restart

7、重启vnc服务器

 /etc/init.d/vncserver restart
或者
service vncserver restart

8、 设置vnc服务器开机自动启动

第一种方法：使用“ntsysv”命令启动图形化服务配置程序，在vncserver服务前加上星号，点击确定，配置完成。

第二种方法：使用“chkconfig”在命令行模式下进行操作，命令使用如下

chkconfig vncserver on
chkconfig --list vncserver
vncserver       0:off   1:off   2:on    3:on    4:on    5:on    6:off

9、更改vnc连接密码

vncpasswd

到此，VNC服务端设置完成，用VNC客户端可以连接了

vnc服务器：你的ip:15900

注意：如果在连接上之后，出现灰屏，可以按照下面的方法设置

进入用户的home目录, cd /home/user

如果是用root账号登录的，那么当前目录就是用户根目录

cd ~/.vnc
vi xstartup  #编辑
#twm &    #注释掉这一行
gnome-session &   #添加这一行

保存退出即可正常连接！

做到这里，总算是大功告成了，接下来你可以用http://IP:port的方式来WEB登录比如说

http://IP:5801,也可以在vncviewer里用IP:1这种来登录。

原文：http://blog.haohtml.com/archives/12281

linux下IPTABLES配置详解

admin 评论

原文地址：http://www.cnblogs.com/JemBai/archive/2009/03/19/1416364.html

如果你的IPTABLES基础知识还不了解,建议先去看看.
开始配置
我们来配置一个filter表的防火墙.
(1)查看本机关于IPTABLES的设置情况
[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target       prot opt source                 destination
Chain FORWARD (policy ACCEPT)
target       prot opt source                 destination
Chain OUTPUT (policy ACCEPT)
target       prot opt source                 destination
Chain RH-Firewall-1-INPUT (0 references)
target       prot opt source                 destination
ACCEPT       all    —    0.0.0.0/0              0.0.0.0/0
ACCEPT       icmp —    0.0.0.0/0              0.0.0.0/0             icmp type 255
ACCEPT       esp    —    0.0.0.0/0              0.0.0.0/0
ACCEPT       ah     —    0.0.0.0/0              0.0.0.0/0
ACCEPT       udp    —    0.0.0.0/0              224.0.0.251           udp dpt:5353
ACCEPT       udp    —    0.0.0.0/0              0.0.0.0/0             udp dpt:631
ACCEPT       all    —    0.0.0.0/0              0.0.0.0/0             state RELATED,ESTABLISHED
ACCEPT       tcp    —    0.0.0.0/0              0.0.0.0/0             state NEW tcp dpt:22
ACCEPT       tcp    —    0.0.0.0/0              0.0.0.0/0             state NEW tcp dpt:80
ACCEPT       tcp    —    0.0.0.0/0              0.0.0.0/0             state NEW tcp dpt:25
REJECT       all    —    0.0.0.0/0              0.0.0.0/0             reject-with icmp-host-prohibited
可以看出我在安装linux时,选择了有防火墙,并且开放了22,80,25端口.
如果你在安装linux时没有选择启动防火墙,是这样的
[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target       prot opt source                 destination
Chain FORWARD (policy ACCEPT)
target       prot opt source                 destination
Chain OUTPUT (policy ACCEPT)
target       prot opt source                 destination
什么规则都没有.
(2)清除原有规则.
不管你在安装linux时是否启动了防火墙,如果你想配置属于自己的防火墙,那就清除现在filter的所有规则.
[root@tp ~]# iptables -F        清除预设表filter中的所有规则链的规则
[root@tp ~]# iptables -X        清除预设表filter中使用者自定链中的规则
我们在来看一下
[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target       prot opt source                 destination
Chain FORWARD (policy ACCEPT)
target       prot opt source                 destination
Chain OUTPUT (policy ACCEPT)
target       prot opt source                 destination
什么都没有了吧,和我们在安装linux时没有启动防火墙是一样的.(提前说一句,这些配置就像用命令配置IP一样,重起就会失去作用),怎么保存.
[root@tp ~]# /etc/rc.d/init.d/iptables save
这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用.
[root@tp ~]# service iptables restart
现在IPTABLES配置表里什么配置都没有了,那我们开始我们的配置吧
(3)设定预设规则
[root@tp ~]# iptables -p INPUT DROP
[root@tp ~]# iptables -p OUTPUT ACCEPT
[root@tp ~]# iptables -p FORWARD DROP
上面的意思是,当超出了IPTABLES里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.我们要控制流入数据包
而对于OUTPUT链,也就是流出的包我们不用做太多限制,而是采取ACCEPT,也就是说,不在着个规则里的包怎么办呢,那就是通过.
可以看出INPUT,FORWARD两个链采用的是允许什么包通过,而OUTPUT链采用的是不允许什么包通过.
这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,而且要写的规则就会增加.但如果你只想要有限的几个规则是,如只做WEB服务器.还是推荐三个链都是DROP.
注:如果你是远程SSH登陆的话,当你输入第一个命令回车的时候就应该掉了.因为你没有设置任何规则.
怎么办,去本机操作呗!
(4)添加规则.
首先添加INPUT链,INPUT链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链
为了能采用远程SSH登陆,我们要开启22端口.
[root@tp ~]# iptables -A INPUT -p tcp –dport 22 -j ACCEPT
[root@tp ~]# iptables -A OUTPUT -p tcp –sport 22 -j ACCEPT (注:这个规则,如果你把OUTPUT 设置成DROP的就要写上这一部,好多人都是望了写这一部规则导致,始终无法SSH.在远程一下,是不是好了.
其他的端口也一样,如果开启了web服务器,OUTPUT设置成DROP的话,同样也要添加一条链:
[root@tp ~]# iptables -A OUTPUT -p tcp –sport 80 -j ACCEPT ,其他同理.)
如果做了WEB服务器,开启80端口.
[root@tp ~]# iptables -A INPUT -p tcp –dport 80 -j ACCEPT
如果做了邮件服务器,开启25,110端口.
[root@tp ~]# iptables -A INPUT -p tcp –dport 110 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp –dport 25 -j ACCEPT
如果做了FTP服务器,开启21端口
[root@tp ~]# iptables -A INPUT -p tcp –dport 21 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp –dport 20 -j ACCEPT
如果做了DNS服务器,开启53端口
[root@tp ~]# iptables -A INPUT -p tcp –dport 53 -j ACCEPT
如果你还做了其他的服务器,需要开启哪个端口,照写就行了.
上面主要写的都是INPUT链,凡是不在上面的规则里的,都DROP
允许icmp包通过,也就是允许ping,
[root@tp ~]# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT设置成DROP的话)
[root@tp ~]# iptables -A INPUT -p icmp -j ACCEPT    (INPUT设置成DROP的话)
允许loopback!(不然会导致DNS无法正常关闭等问题)
IPTABLES -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP)
IPTABLES -A OUTPUT -o lo -p all -j ACCEPT(如果是OUTPUT DROP)
下面写OUTPUT链,OUTPUT链默认规则是ACCEPT,所以我们就写需要DROP(放弃)的链.
减少不安全的端口连接
[root@tp ~]# iptables -A OUTPUT -p tcp –sport 31337 -j DROP
[root@tp ~]# iptables -A OUTPUT -p tcp –dport 31337 -j DROP
有些些特洛伊木马会扫描端口31337到31340(即黑客语言中的 elite 端口)上的服务。既然合法服务都不使用这些非标准端口来通信,阻塞这些端口能够有效地减少你的网络上可能被感染的机器和它们的远程主服务器进行独立通信的机会
还有其他端口也一样,像:31335、27444、27665、20034 NetBus、9704、137-139（smb）,2049(NFS)端口也应被禁止,我在这写的也不全,有兴趣的朋友应该去查一下相关资料.
当然出入更安全的考虑你也可以包OUTPUT链设置成DROP,那你添加的规则就多一些,就像上边添加
允许SSH登陆一样.照着写就行了.
下面写一下更加细致的规则,就是限制到某台机器
如:我们只允许192.168.0.3的机器进行SSH连接
[root@tp ~]# iptables -A INPUT -s 192.168.0.3 -p tcp –dport 22 -j ACCEPT
如果要允许,或限制一段IP地址可用 192.168.0.0/24 表示192.168.0.1-255端的所有IP.
24表示子网掩码数.但要记得把 /etc/sysconfig/iptables 里的这一行删了.
-A INPUT -p tcp -m tcp –dport 22 -j ACCEPT 因为它表示所有地址都可以登陆.
或采用命令方式:
[root@tp ~]# iptables -D INPUT -p tcp –dport 22 -j ACCEPT
然后保存,我再说一边,反是采用命令的方式,只在当时生效,如果想要重起后也起作用,那就要保存.写入到/etc/sysconfig/iptables文件里.
[root@tp ~]# /etc/rc.d/init.d/iptables save
这样写 !192.168.0.3 表示除了192.168.0.3的ip地址
其他的规则连接也一样这么设置.
在下面就是FORWARD链,FORWARD链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链,对正在转发链的监控.
开启转发功能,(在做NAT时,FORWARD默认规则是DROP时,必须做)
[root@tp ~]# iptables -A FORWARD -i eth0 -o eth1 -m state –state RELATED,ESTABLISHED -j ACCEPT
[root@tp ~]# iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT
丢弃坏的TCP包
[root@tp ~]#iptables -A FORWARD -p TCP ! –syn -m state –state NEW -j DROP
处理IP碎片数量,防止攻击,允许每秒100个
[root@tp ~]#iptables -A FORWARD -f -m limit –limit 100/s –limit-burst 100 -j ACCEPT
设置ICMP包过滤,允许每秒1个包,限制触发条件是10个包.
[root@tp ~]#iptables -A FORWARD -p icmp -m limit –limit 1/s –limit-burst 10 -j ACCEPT
我在前面只所以允许ICMP包通过,就是因为我在这里有限制.
二,配置一个NAT表放火墙
1,查看本机关于NAT的设置情况
[root@tp rc.d]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target       prot opt source                 destination
Chain POSTROUTING (policy ACCEPT)
target       prot opt source                 destination
SNAT         all    —    192.168.0.0/24         anywhere              to:211.101.46.235
Chain OUTPUT (policy ACCEPT)
target       prot opt source                 destination
我的NAT已经配置好了的(只是提供最简单的代理上网功能,还没有添加防火墙规则).关于怎么配置NAT,参考我的另一篇文章
当然你如果还没有配置NAT的话,你也不用清除规则,因为NAT在默认情况下是什么都没有的
如果你想清除,命令是
[root@tp ~]# iptables -F -t nat
[root@tp ~]# iptables -X -t nat
[root@tp ~]# iptables –Z -t nat
2,添加规则
添加基本的NAT地址转换,(关于如何配置NAT可以看我的另一篇文章),
添加规则,我们只添加DROP链.因为默认链全是ACCEPT.
防止外网用内网IP欺骗
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP
如果我们想,比如阻止MSN,QQ,BT等的话,需要找到它们所用的端口或者IP,(个人认为没有太大必要)
例：
禁止与211.101.46.253的所有连接

[root@tp ~]# iptables -t nat -A PREROUTING    -d 211.101.46.253 -j DROP

禁用FTP(21)端口
[root@tp ~]# iptables -t nat -A PREROUTING -p tcp –dport 21 -j DROP
这样写范围太大了,我们可以更精确的定义.
[root@tp ~]# iptables -t nat -A PREROUTING    -p tcp –dport 21 -d 211.101.46.253 -j DROP
这样只禁用211.101.46.253地址的FTP连接,其他连接还可以.如web(80端口)连接.
按照我写的,你只要找到QQ,MSN等其他软件的IP地址,和端口,以及基于什么协议,只要照着写就行了.
最后：
drop非法连接
[root@tp ~]# iptables -A INPUT     -m state –state INVALID -j DROP
[root@tp ~]# iptables -A OUTPUT    -m state –state INVALID -j DROP
[root@tp ~]# iptables-A FORWARD -m state –state INVALID -j DROP
允许所有已经建立的和相关的连接
[root@tp ~]# iptables-A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT
[root@tp ~]# iptables-A OUTPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

[root@tp ~]# /etc/rc.d/init.d/iptables save

这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用．

[root@tp ~]# service iptables restart
别忘了保存，不行就写一部保存一次．你可以一边保存，一边做实验，看看是否达到你的要求，

上面的所有规则我都试过，没有问题．
写这篇文章，用了我将近１个月的时间．查找资料，自己做实验，希望对大家有所帮助．如有不全及不完善的地方还请提出.
因为本篇文章以配置为主.关于IPTABLES的基础知识及指令命令说明等我会尽快传上,当然你可以去网上搜索一下,还是很多的.