Як я можу видалити конкретні правила з iptables?

Я розміщую спеціальні послуги HTTP та HTTPS на портах 8006 та 8007 відповідно. Я використовую iptables для "активації" сервера; тобто для маршрутизації вхідних портів HTTP та HTTPS:

iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8006 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8007 -j ACCEPT
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8006 
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8007  
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 80 -j REDIRECT --to-ports 8006
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 443 -j REDIRECT --to-ports 8007 

Це працює як шарм. Однак я хотів би створити ще один сценарій, який знову відключить мій сервер; тобто відновити iptables до стану, в якому він був, перш ніж запускати рядки вище. Однак мені важко з'ясувати синтаксис, щоб видалити ці правила. Єдине, що, здається, спрацьовує:

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

Але це також видалить інші правила iptables, що небажано.

Виконайте ті самі команди, але замініть "-A" на "-D". Наприклад:

iptables -A ...

стає

iptables -D ...

Ви також можете використовувати номер правила ( --line-numbers ):

iptables -L INPUT --line-numbers

Приклад виводу:

Chain INPUT (policy ACCEPT) 
    num  target prot opt source destination
    1    ACCEPT     udp  --  anywhere  anywhere             udp dpt:domain 
    2    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:domain 
    3    ACCEPT     udp  --  anywhere  anywhere             udp dpt:bootps 
    4    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:bootps

Тож якщо ви хочете видалити друге правило:

iptables -D INPUT 2

Оновлення

Якщо ви використовуєте (d) певну таблицю (наприклад, nat), ви повинні додати її до команди delete (thx до @ThorSummoner для коментаря)

sudo iptables -t nat -D PREROUTING 1

Найкраще рішення, яке працює для мене без проблем, виглядає таким чином:
1. Додати тимчасове правило з коментарем:

comment=$(cat /proc/sys/kernel/random/uuid | sed 's/\-//g')
iptables -A ..... -m comment --comment "${comment}" -j REQUIRED_ACTION

2. Коли правило додано і ви хочете його видалити (або все з цим коментарем), виконайте:

iptables-save | grep -v "${comment}" | iptables-restore

Таким чином, ви на 100% видалите всі правила, що відповідають $ коментарю, а інші рядки залишиться недоторканими. Це рішення працює протягом останніх 2 місяців із приблизно 100 змінами правил на день - жодних питань. Сподіваюся, це допомагає

Спочатку перерахуйте всі правила iptables за допомогою цієї команди:

iptables -S

він перелічує, як:

-A XYZ -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

Потім скопіюйте потрібний рядок, а просто замінити -Aз -Dвидалити , що:

iptables -D XYZ -p ...

Використовуйте -Dкоманду, так це manпояснює сторінку:

-D, --delete chain rule-specification
-D, --delete chain rulenum
    Delete  one  or more rules from the selected chain.  
    There are two versions of this command: 
    the rule can be specified as a number in the chain (starting at 1 for the first rule) or a rule to match.

Зрозумійте цю команду, як і всі інші команди ( -A, -I), що працюють в певній таблиці. Якщо ви не працюєте над таблицею ( filterтаблицею) за замовчуванням , використовуйте, -t TABLENAMEщоб вказати цю цільову таблицю.

Видаліть правило, яке відповідає

iptables -D INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Примітка. Це видаляє лише відповідне перше правило. Якщо у вас збігається багато правил (це може статися в iptables), запустіть це кілька разів.

Видаліть правило, вказане як число

iptables -D INPUT 2

Крім підрахунку числа, ви можете перерахувати номер рядка з --line-numberпараметром, наприклад:

iptables -t nat -nL --line-number

Припустимо, що якщо ви хочете видалити правила NAT,

Перерахуйте додані IPtables за допомогою команди нижче,

# sudo iptables -L -t nat -v

Chain PREROUTING (policy ACCEPT 18 packets, 1382 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    7   420 DNAT       tcp  --  any    any     anywhere             saltmaster           tcp dpt:http to:172.31.5.207:80
    0     0 DNAT       tcp  --  eth0   any     anywhere             anywhere             tcp dpt:http to:172.31.5.207:8080

Якщо ви хочете видалити правило nat з IPtables, просто виконайте команду,

# sudo iptables -F -t nat -v

Flushing chain `PREROUTING'
Flushing chain `INPUT'
Flushing chain `OUTPUT'
Flushing chain `POSTROUTING'

Потім ви можете перевірити це,

# sudo iptables -L -t nat -v