Como posso remover regras específicas do iptables?

Estou hospedando serviços HTTP e HTTPS especiais nas portas 8006 e 8007, respectivamente. Eu uso o iptables para "ativar" o servidor; ou seja, para rotear as portas HTTP e HTTPS de entrada:

iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8006 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8007 -j ACCEPT
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8006 
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8007  
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 80 -j REDIRECT --to-ports 8006
iptables -A OUTPUT -t nat -d 127.0.0.1 -p tcp --dport 443 -j REDIRECT --to-ports 8007 

Isso funciona como um encanto. No entanto, gostaria de criar outro script que desabilite meu servidor novamente; ou seja, restaure o iptables para o estado em que estava antes de executar as linhas acima. No entanto, estou tendo dificuldade em descobrir a sintaxe para remover essas regras. A única coisa que parece funcionar é uma descarga completa:

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

Mas isso também excluirá outras regras do iptables que são indesejadas.

Execute os mesmos comandos, mas substitua o "-A" por "-D". Por exemplo:

iptables -A ...

torna-se

iptables -D ...

Você também pode usar o número da regra ( --line-numbers ):

iptables -L INPUT --line-numbers

Exemplo de saída:

Chain INPUT (policy ACCEPT) 
    num  target prot opt source destination
    1    ACCEPT     udp  --  anywhere  anywhere             udp dpt:domain 
    2    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:domain 
    3    ACCEPT     udp  --  anywhere  anywhere             udp dpt:bootps 
    4    ACCEPT     tcp  --  anywhere  anywhere             tcp dpt:bootps

Portanto, se você deseja excluir a segunda regra:

iptables -D INPUT 2

Atualizar

Se você usar (d) uma tabela específica (por exemplo, nat), precisará adicioná-la ao comando delete (thx para @ThorSummoner para o comentário)

sudo iptables -t nat -D PREROUTING 1

A melhor solução que funciona para mim sem problemas é a seguinte:
1. Adicione uma regra temporária com algum comentário:

comment=$(cat /proc/sys/kernel/random/uuid | sed 's/\-//g')
iptables -A ..... -m comment --comment "${comment}" -j REQUIRED_ACTION

2. Quando a regra foi adicionada e você deseja removê-la (ou tudo com este comentário), faça:

iptables-save | grep -v "${comment}" | iptables-restore

Portanto, você excluirá 100% de todas as regras que correspondem ao comentário $ e deixará outras linhas intocadas. Esta solução funciona nos últimos 2 meses com cerca de 100 alterações de regras por dia - sem problemas.

Primeiro, liste todas as regras do iptables com este comando:

iptables -S

lista como:

-A XYZ -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

Em seguida, copie a linha desejada e substitua -Apor -Dpara excluir:

iptables -D XYZ -p ...

Use o -Dcomando, é assim que a manpágina explica:

-D, --delete chain rule-specification
-D, --delete chain rulenum
    Delete  one  or more rules from the selected chain.  
    There are two versions of this command: 
    the rule can be specified as a number in the chain (starting at 1 for the first rule) or a rule to match.

Realize esse comando, como todos os outros comandos ( -A, -I) funcionam em determinada tabela. Se você não estiver trabalhando na tabela padrão ( filtertabela), use -t TABLENAMEpara especificar essa tabela de destino.

Excluir uma regra para corresponder

iptables -D INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Nota: Isso exclui apenas a primeira regra correspondente. Se você tiver muitas regras correspondentes (isso pode acontecer no iptables), execute isso várias vezes.

Excluir uma regra especificada como um número

iptables -D INPUT 2

Além de contar o número, você pode listar o número da linha com o --line-numberparâmetro, por exemplo:

iptables -t nat -nL --line-number

Suponha que, se você deseja remover as regras NAT,

Liste as tabelas IP anexadas usando o comando abaixo,

# sudo iptables -L -t nat -v

Chain PREROUTING (policy ACCEPT 18 packets, 1382 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    7   420 DNAT       tcp  --  any    any     anywhere             saltmaster           tcp dpt:http to:172.31.5.207:80
    0     0 DNAT       tcp  --  eth0   any     anywhere             anywhere             tcp dpt:http to:172.31.5.207:8080

Se você deseja remover a regra nat das tabelas IP, basta executar o comando

# sudo iptables -F -t nat -v

Flushing chain `PREROUTING'
Flushing chain `INPUT'
Flushing chain `OUTPUT'
Flushing chain `POSTROUTING'

Então, você pode verificar se,

# sudo iptables -L -t nat -v