对于iptables v1.8.1及之前的不支持–dport命令的版本，如何用iptables命令禁止111端口的访问

对于iptables v1.8.1及之前不支持直接使用`--dport`选项来指定目的端口的情况，你可以通过以下步骤来禁止对111端口的访问：

1. 首先，你需要使用`-p`选项来指定协议类型。在这种情况下，如果你想要阻止TCP连接，你应该使用`tcp`；如果是UDP，那么就用`udp`。

2. 使用`-s`选项来指定源地址范围。例如，如果你想阻止所有来源的IP访问，可以写成`0.0.0.0/0`。如果你想针对特定的网络或IP，替换为相应的IP地址或网络掩码。

3. 使用`-j`选项加上`DROP`规则来拒绝连接。完整的命令格式如下：

iptables -A INPUT -p <protocol> -s <source_address> -d 111 -j DROP

将 `<protocol>` 替换为 `tcp` 或 `udp`，`<source_address>` 替换为你希望限制的源地址。

4. 执行完上述命令后，新的规则将会添加到输入链（INPUT），只有当数据包满足这个规则时才会被丢弃。如果需要永久生效，记得运行`iptables-save`保存策略，并使用`ip6tables-save`（IPv6环境）或`service iptables save`（Linux系统服务管理）持久化配置，然后重启iptables服务使其加载新的规则。

相关问题

对于iptables v1.8.1及之前的不支持–dport命令的版本，如何判断防火墙有没有禁止111端口的访问？用什么命令可以测试？

在iptables v1.8.1及更早版本中，不直接支持`--dport`选项来指定目的端口号。如果你需要检查是否阻止了111端口的访问，你可以使用以下步骤：

1. 首先，查看当前iptables规则链（通常是`INPUT`或`FORWARD`）中的条目，可以运行这个命令：

   sudo iptables -L -n --line-numbers

这将列出所有的iptables规则及其对应的编号。

2. 查找与端口111相关的规则。由于早期版本不支持`--dport`, 你需要查找包含`TCP dpt:111`部分的规则。这可能是基于端口和服务名的组合，比如`tcp dnat`、`conntrack`等。如果没有明确的`dpt:111`规则，可能表示未做限制。

3. 如果找到了这样的规则，并且它的计数器（比如`count`或`limit`）显示为0，那么很可能意味着111端口的访问被阻止了。如果计数器大于0，说明允许该端口通过。

请注意，实际操作可能因系统配置和其他因素而有所不同。为了确认确切情况，建议查阅当时系统的iptables文档或者咨询网络管理员。

对于iptables v1.8.1及之前的不支持--dport命令的版本，如何用iptables命令查看Linux虚拟机111端口的规则

在iptables v1.8.1及更早版本中，确实不直接支持`--dport`选项来查找特定端口的规则。不过，你可以通过查看不同表格（tables）下的规则链（chains）来间接找到与111端口相关的条目。以下是步骤：

1. **`filter` 表格**：这个表格主要用于网络过滤，查看进出系统的流量。你可以查找`INPUT`、`OUTPUT` 或者 `FORWARD` 链，它们可能包含了与111端口相关的规则。例如：

   iptables -t filter -L INPUT | grep 111

或者

   iptables -t filter -L OUTPUT | grep 111

如果有`FORWARD`链，也可以加上 `-j FORWARD` 条件来查看：

   iptables -t filter -L FORWARD -j MARK --set-mark 0x1/0x4000

2. **`mangle` 表格**：用于改变数据包的大小、时间戳等，`PREROUTING` 和 `OUTPUT` 链可能会对111端口进行处理。搜索`PREROUTING` 或 `OUTPUT` 的规则：

   iptables -L PREROUTING | grep 111

3. **`nat` 表格**：用于网络地址转换，查找`PREROUTING` 和 `POSTROUTING` 链：

   iptables -t nat -L PREROUTING | grep 111

请注意，这些命令可能会返回大量的信息，你需要逐行分析以确定是否包含111端口。同时，由于不是直接针对端口，可能需要结合端口号和协议（如`tcp`或`udp`）来筛选结果。