Comment puis-je supprimer des règles spécifiques d'iptables ?

Question

J'héberge des services spéciaux HTTP et HTTPS sur les ports 8006 et 8007 respectivement. J'utilise iptables pour "activer" le serveur, c'est-à-dire pour acheminer les ports HTTP et HTTPS entrants :

iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8006 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8007 -j ACCEPT
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8006 
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8007  
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 80 -j REDIRECT --to-ports 8006
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 443 -j REDIRECT --to-ports 8007 

Cela fonctionne comme un charme. Cependant, je voudrais créer un autre script qui désactive à nouveau mon serveur ; c'est-à-dire restaurer iptables à l'état dans lequel il était avant d'exécuter les lignes ci-dessus. Cependant, j'ai du mal à trouver la syntaxe pour supprimer ces règles. La seule chose qui semble fonctionner est une purge complète :

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

Mais cela supprimera également d'autres règles iptables, ce qui n'est pas souhaité.

Answer 1

Exécutez les mêmes commandes mais remplacez le "-A" par "-D". Par exemple :

iptables -A ...

devient

iptables -D ...

Answer 2

Vous pouvez également utiliser le numéro de la règle ( --nombre de lignes ) :

iptables -L INPUT --line-numbers

Exemple de sortie :

Chain INPUT (policy ACCEPT) 
    num  target prot opt source destination
    1    ACCEPT     udp  --  anywhere  anywhere             udp dpt:domain 
    2    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:domain 
    3    ACCEPT     udp  --  anywhere  anywhere             udp dpt:bootps 
    4    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:bootps

Donc si vous voulez supprimer la deuxième règle :

iptables -D INPUT 2

Mise à jour

Si vous utilisez une table spécifique (par exemple nat), vous devez l'ajouter à la commande de suppression (merci à @ThorSummoner pour le commentaire).

sudo iptables -t nat -D PREROUTING 1

Answer 3

La meilleure solution qui fonctionne pour moi sans aucun problème ressemble à ceci :
1. Ajouter une règle temporaire avec quelques commentaires :

comment=$(cat /proc/sys/kernel/random/uuid | sed 's/\-//g')
iptables -A ..... -m comment --comment "${comment}" -j REQUIRED_ACTION

2. Lorsque la règle s'est ajoutée et que vous souhaitez la supprimer (ou tout avec ce commentaire), faites-le :

iptables-save | grep -v "${comment}" | iptables-restore

Ainsi, vous supprimerez à 100% toutes les règles qui correspondent au commentaire $ et laisserez les autres lignes intactes. Cette solution fonctionne depuis 2 mois avec environ 100 changements de règles par jour - aucun problème.

Answer 4

Lister d'abord toutes les règles iptables avec cette commande :

iptables -S

il énumère comme :

-A XYZ -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

Ensuite, copiez la ligne souhaitée, et remplacez simplement -A avec -D pour supprimer ça :

iptables -D XYZ -p ...

Answer 5

Utilisez -D voici comment man explique :

-D, --delete chain rule-specification
-D, --delete chain rulenum
    Delete  one  or more rules from the selected chain.  
    There are two versions of this command: 
    the rule can be specified as a number in the chain (starting at 1 for the first rule) or a rule to match.

Réalisez-vous cette commande, comme toutes les autres commandes( -A , -I ) fonctionne sur certaines tables. Si vous ne travaillez pas sur la table par défaut ( filter ), utilisez -t TABLENAME pour spécifier cette table cible.

Supprimer une règle pour correspondre

iptables -D INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Remarque : cette opération ne supprime que la première règle trouvée. Si vous avez beaucoup de règles correspondantes (cela peut arriver dans iptables), exécutez cette opération plusieurs fois.

Supprimer une règle spécifiée comme un numéro

iptables -D INPUT 2

En plus de compter le nombre, vous pouvez lister le numéro de ligne avec --line-number par exemple :

iptables -t nat -nL --line-number