Wie kann ich bestimmte Regeln aus iptables entfernen?

Ich hoste spezielle HTTP- und HTTPS-Dienste an den Ports 8006 bzw. 8007. Ich benutze iptables, um den Server zu "aktivieren"; dh um die eingehenden HTTP- und HTTPS-Ports weiterzuleiten:

iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8006 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8007 -j ACCEPT
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8006 
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8007  
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 80 -j REDIRECT --to-ports 8006
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 443 -j REDIRECT --to-ports 8007 

Das funktioniert wie ein Zauber. Ich möchte jedoch ein anderes Skript erstellen, das meinen Server wieder deaktiviert. dh iptables in dem Zustand wiederherstellen, in dem es sich befand, bevor die obigen Zeilen ausgeführt wurden. Es fällt mir jedoch schwer, die Syntax zum Entfernen dieser Regeln herauszufinden. Das einzige, was zu funktionieren scheint, ist eine vollständige Spülung:

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

Dadurch werden aber auch andere unerwünschte iptables-Regeln gelöscht.

Führen Sie die gleichen Befehle aus, ersetzen Sie jedoch "-A" durch "-D". Zum Beispiel:

iptables -A ...

wird

iptables -D ...

Sie können auch die Nummer der Regel ( - Zeilennummern ) verwenden:

iptables -L INPUT --line-numbers

Beispielausgabe:

Chain INPUT (policy ACCEPT) 
    num  target prot opt source destination
    1    ACCEPT     udp  --  anywhere  anywhere             udp dpt:domain 
    2    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:domain 
    3    ACCEPT     udp  --  anywhere  anywhere             udp dpt:bootps 
    4    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:bootps

Wenn Sie also die zweite Regel löschen möchten:

iptables -D INPUT 2

Aktualisieren

Wenn Sie (d) eine bestimmte Tabelle (z. B. nat) verwenden, müssen Sie diese dem Löschbefehl hinzufügen (danke an @ThorSummoner für den Kommentar).

sudo iptables -t nat -D PREROUTING 1

Die beste Lösung, die für mich ohne Probleme funktioniert, sieht folgendermaßen aus:
1. Fügen Sie eine temporäre Regel mit einem Kommentar hinzu:

comment=$(cat /proc/sys/kernel/random/uuid | sed 's/\-//g')
iptables -A ..... -m comment --comment "${comment}" -j REQUIRED_ACTION

2. Wenn die Regel hinzugefügt wurde und Sie sie entfernen möchten (oder alles mit diesem Kommentar), gehen Sie wie folgt vor:

iptables-save | grep -v "${comment}" | iptables-restore

Sie löschen also zu 100% alle Regeln, die mit dem $ -Kommentar übereinstimmen, und lassen andere Zeilen unberührt. Diese Lösung funktioniert in den letzten 2 Monaten mit etwa 100 Regeländerungen pro Tag - keine Probleme. Hoffentlich hilft sie

Listen Sie zuerst alle iptables-Regeln mit diesem Befehl auf:

iptables -S

es listet auf wie:

-A XYZ -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

Kopieren Sie dann die gewünschte Zeile und ersetzen Sie sie -Adurch -D, um diese zu löschen:

iptables -D XYZ -p ...

Verwenden -DBefehl, das ist , wie manSeite erklärt es:

-D, --delete chain rule-specification
-D, --delete chain rulenum
    Delete  one  or more rules from the selected chain.  
    There are two versions of this command: 
    the rule can be specified as a number in the chain (starting at 1 for the first rule) or a rule to match.

Machen Sie sich klar, dass dieser Befehl wie alle anderen Befehle ( -A, -I) für bestimmte Tabellen funktioniert. Wenn Sie nicht an der Standardtabelle ( filterTabelle) arbeiten, -t TABLENAMEgeben Sie diese Zieltabelle an .

Löschen Sie eine übereinstimmende Regel

iptables -D INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Hinweis: Dadurch wird nur die erste übereinstimmende Regel gelöscht. Wenn viele Regeln übereinstimmen (dies kann in iptables vorkommen), führen Sie dies mehrmals aus.

Löschen Sie eine als Zahl angegebene Regel

iptables -D INPUT 2

Neben dem Zählen der Nummer können Sie die Zeilennummer mit --line-numberParametern auflisten, zum Beispiel:

iptables -t nat -nL --line-number

Angenommen, wenn Sie NAT-Regeln entfernen möchten,

Listen Sie die angehängten IPtables mit dem folgenden Befehl auf:

# sudo iptables -L -t nat -v

Chain PREROUTING (policy ACCEPT 18 packets, 1382 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    7   420 DNAT       tcp  --  any    any     anywhere             saltmaster           tcp dpt:http to:172.31.5.207:80
    0     0 DNAT       tcp  --  eth0   any     anywhere             anywhere             tcp dpt:http to:172.31.5.207:8080

Wenn Sie die nat-Regel aus den IPtables entfernen möchten, führen Sie einfach den Befehl aus.

# sudo iptables -F -t nat -v

Flushing chain `PREROUTING'
Flushing chain `INPUT'
Flushing chain `OUTPUT'
Flushing chain `POSTROUTING'

Dann können Sie überprüfen, ob

# sudo iptables -L -t nat -v