iptables 防火牆基礎知識

 

iptables 4個表和5個鏈

iptables 顯示相關的命令

iptables -L -n -x -v

查看iptables的status 爲Firevall is stopped 解決： Linux命令行輸入 step --Firevall configuration--enable

清除默認的規則

iptables -F 等價於iptables --flush//清除全部的規則

iptables -X 等價於iptables --delete-chain//刪除用戶自定義規則

iptables -Z 等價於iptables --zero//鏈的計數器清零

提示:默認狀況下，咱們的清除規則實際是對filter表的操做，若是是nat表，須要iptables -t nat -F

ACCEPT(接受) DROP(丟棄) REJECT(拒絕)

iptables是在系統內核中運行的。檢查基本相關的內核模塊

modprobe ip_tables

modprobe iptable_filter

modprobe iptable_nat

modprobe ip_conntrack

modprobe conntrack_ftp

modprobe ip_nat_ftp

modprobe ipt_state

lsmod | grep ip

1.關閉ssh 的22 端口關閉

開啓關閉22端口

Iptables -A INPUT –p tcp –dport 22 –j DROP

刪除22這條規則

iptables -D INPUT -p tcp --dport 22 -j DROP

刪除根據行號(iptables -D INPUT 1)

iptables -L -n --line-numbers(顯示行號)

禁止10.0.0.0/24網段連入

iptables -t filter -A INPUT -i eth0 -s 10.0.0.0/24 -j DROP

刪除禁止源地址10網段的命令

iptables -D INPUT -i eth0 -s 10.0.0.0/24 -y DROP

封一個ip

iptables -I INPUT -p tcp -s 10.0.0.101 -j DROP

禁止目的端口爲22端口的數據包經過防火牆

iptables -I INPUT -p tcp --dport 22 -j DROP

配置一個合法的地址能ping

iptables -t filter -I INPUT -p icmp --icmp-type 8 -i eth0 -s ! 10.0.0.101 -j DROP

禁止一個網段

iptables -t filter -I INPUT -I eth0 -s ! 10.0.0.0/24 -j DROP 等價於

iptables -t filter -I INPUT -I eth0 -s 10.0.0.0/24 -j ACCEPT

封掉3306

iptables -A INPUT -p tcp --dport 3306 -j DROP

經常使用服務的iptables 規則實踐

容許合法的ip經過iptables

iptables -A INPUT -s 10.0.0.1/24 -p all -j ACCEPT

容許nagios

iptables -A INPUT -s 10.0.0.1/24 -p tcp --dport 5666 -j ACCEPT

容許MySQL和oracle ip訪問

iptables -A INPUT -s 10.0.0.1/24 -p tcp --dport 3306 -j ACCEPT

iptables -A INPUT -s 10.0.0.1/24 -p tcp --dport 1521 -j ACCEPT

容許合法的ip鏈接ssh

iptables -A INPUT -p tcp -s 10.0.0.1/24 --dport 5801 -j ACCEPT

對http請求的開通(通常不作限制)

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

對http服務企業，通常的特殊端口，並限制合法ip鏈接或×××鏈接

iptables -A INPUT -s 10.0.0.1/24 -p tcp -n unltiport --dport 8080,8888, -j ACCEPT

snmp 的限制

iptables -A INPUT -s 10.0.0.1/24 -p UDP --dport 161 -j ACCEPT

rsync 服務的限制策

iptables -A INPUT -s 10.0.0.1/24 -p tcp -m tcp --dport 873 -j ACCEPT

nfs 服務的限制

 

iptables -A INPUT -s 10.0.0.1/24 -p TCP -n multiport --dport 111,892,2049 -j ACCEPT

ftp服務限制

#iptables -A INPUT -p tcp --dport 21 -j ACCEPT

iptables -A INPUT -n state --state ESTABLSHED,RELATED -j ACCEPT

iptables -A OUTPUT -n state --state ESTABLSHED,RELATED -j ACCEPT

icmp的限制

iptables -A INPUT -p icmp -n icmp --icmp-type any -j ACCEPT

iptables -A INPUT -p icmp -s 10.0.0.1/24 -n icmp --icmp-type any -j ACCEPT

iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

高級模式

NAT模式的ip一對一映射（外網對應內網）

Iptables –t nat –A PREROUTING –d 201.10.10.11 –p tcp –n tcp –dport 80 –j DNAT –to-destination 10.10.10.12:80

SNAT（源網絡轉換）

Iptables –t nat –A POSTROUTING –s 10.0.0.0/255.255.255.0 –o eth0 –j SANT –to-source 203.21.9.1

映射多個外網ip上網

Iptables –t nat –A POSTROUTING –s 10.0.0.0/255.255.255.0 –o eth0 –j SANT –to-source 203.21.9.1-203.21.9.20