iptables配置实践

发表于 2015-07-24

文章目录

前言

在大企业中防火墙角色主要交给硬件来支持，效果自然没话说只是需要增加一点点成本，但对于大多数个人或者互联网公司来说选择系统自带的iptables或者第三方云防火墙似乎是更加合适的选择，通过一些合理的优化和灵活的配置，我们也可以很轻松实现硬件防火墙的部分功能，够用就好。

建立防火墙白名单机制很重要

更新历史

2015年07月24日 - 初稿

阅读原文 - http://wsgzao.github.io/post/iptables/

扩展阅读

防火墙与 NAT 服务器 - http://vbird.dic.ksu.edu.tw/linux_server/0250simple_firewall_3.php
Linux 防火墙和 iptables - http://liaoph.com/iptables/

基础知识

原理部分请参考扩展阅读

关闭iptables

12	/etc/init.d/iptables stopchkconfig iptables off

基础语法

1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253545556575859606162636465666768697071727374757677

#规则的观察与清除

     iptables [-t tables] [-L] [-nv]

选项与参数：-t ：后面接 table ，例如 nat 或 filter ，若省略此项目，则使用默认的 filter-L ：列出目前的 table 的规则-n ：不进行 IP 与 HOSTNAME 的反查，显示讯息的速度会快很多！-v ：列出更多的信息，包括通过该规则的封包总位数、相关的网络接口等

     iptables [-t tables] [-FXZ]

选项与参数：-F ：清除所有的已订定的规则；-X ：杀掉所有使用者 "自定义" 的 chain (应该说的是 tables ）啰；-Z ：将所有的 chain 的计数与流量统计都归零

#封包的基础比对：IP, 网域及接口装置

    iptables [-AI 链名] [-io 网络接口] [-p 协议] [-s 来源IP/网域] [-d 目标IP/网域] -j [ACCEPT|DROP|REJECT|LOG]

选项与参数：-AI 链名：针对某的链进行规则的 "插入" 或 "累加"    -A ：新增加一条规则，该规则增加在原本规则的最后面。例如原本已经有四条规则，         使用 -A 就可以加上第五条规则！    -I ：插入一条规则。如果没有指定此规则的顺序，默认是插入变成第一条规则。         例如原本有四条规则，使用 -I 则该规则变成第一条，而原本四条变成 2~5 号    链 ：有 INPUT, OUTPUT, FORWARD 等，此链名称又与 -io 有关，请看底下。

-io 网络接口：设定封包进出的接口规范    -i ：封包所进入的那个网络接口，例如 eth0, lo 等接口。需与 INPUT 链配合；    -o ：封包所传出的那个网络接口，需与 OUTPUT 链配合；

-p 协定：设定此规则适用于哪种封包格式   主要的封包格式有： tcp, udp, icmp 及 all 。

-s 来源 IP/网域：设定此规则之封包的来源项目，可指定单纯的 IP 或包括网域，例如：   IP  ：192.168.0.100   网域：192.168.0.0/24, 192.168.0.0/255.255.255.0 均可。   若规范为『不许』时，则加上 ! 即可，例如：   -s ! 192.168.100.0/24 表示不许 192.168.100.0/24 之封包来源；

-d 目标 IP/网域：同 -s ，只不过这里指的是目标的 IP 或网域。

-j ：后面接动作，主要的动作有接受(ACCEPT)、丢弃(DROP)、拒绝(REJECT)及记录(LOG)

#TCP, UDP 的规则比对：针对端口设定

    iptables [-AI 链] [-io 网络接口] [-p tcp,udp] [-s 来源IP/网域] [--sport 埠口范围] [-d 目标IP/网域] [--dport 端口范围] -j [ACCEPT|DROP|REJECT]

选项与参数：--sport 埠口范围：限制来源的端口号码，端口号码可以是连续的，例如 1024:65535--dport 埠口范围：限制目标的端口号码。

#iptables 外挂模块：mac 与 state

    iptables -A INPUT [-m state] [--state 状态]

选项与参数：-m ：一些 iptables 的外挂模块，主要常见的有：     state ：状态模块     mac   ：网络卡硬件地址 (hardware address)--state ：一些封包的状态，主要有：     INVALID    ：无效的封包，例如数据破损的封包状态     ESTABLISHED：已经联机成功的联机状态；     NEW        ：想要新建立联机的封包状态；     RELATED    ：这个最常用！表示这个封包是与我们主机发送出去的封包有关

#ICMP 封包规则的比对：针对是否响应 ping 来设计

    iptables -A INPUT [-p icmp] [--icmp-type 类型] -j ACCEPT

选项与参数：--icmp-type ：后面必须要接 ICMP 的封包类型，也可以使用代号，              例如 8  代表 echo request 的意思。

配置iptables白名单机制

配置iptables白名单是相对简单有效的管理手段

123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172

#清除所有规则(慎用)iptables -Fiptables -Xiptables -Z

#查看iptable和行号iptables -nL --line-number

#保存当前防火墙配置service iptables save

#手动编辑防火墙策略vi /etc/sysconfig/iptables

# Generated by iptables-save v1.4.7 on Fri Jul 24 09:42:09 2015*filter:INPUT ACCEPT [0:0]:FORWARD ACCEPT [0:0]:OUTPUT ACCEPT [0:0]#开放本地和Ping-A INPUT -i lo -j ACCEPT  -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p icmp -j ACCEPT#配置内网白名单-A INPUT -s 10.0.0.0/8 -j ACCEPT-A INPUT -s 172.16.0.0/12 -j ACCEPT-A INPUT -s 192.168.0.0/16 -j ACCEPT#配置外网白名单-A INPUT -s 180.168.36.198 -j ACCEPT -A INPUT -s 180.168.34.218 -j ACCEPT -A INPUT -s 222.73.202.251 -j ACCEPT #控制端口-A INPUT -p tcp --dport 80 -j ACCEPT -A INPUT -p tcp --dport 22 -j ACCEPT#拒绝其它-A INPUT -j DROP -A FORWARD -j DROP #开放出口-A OUTPUT -j ACCEPT COMMIT# Completed on Fri Jul 24 09:40:16 2015 

#重启生效service iptables restart

#复查结果

iptables -nL --line-number

Chain INPUT (policy ACCEPT)num  target     prot opt source               destination         1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           2    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 3    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           4    ACCEPT     all  --  10.0.0.0/8           0.0.0.0/0           5    ACCEPT     all  --  172.16.0.0/12        0.0.0.0/0           6    ACCEPT     all  --  192.168.0.0/16       0.0.0.0/0           7    ACCEPT     all  --  180.168.36.198       0.0.0.0/0           8    ACCEPT     all  --  180.168.34.218       0.0.0.0/0           9    ACCEPT     all  --  222.73.202.251       0.0.0.0/0           10   ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80 11   ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:22 12   DROP       all  --  0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT)num  target     prot opt source               destination         1    DROP       all  --  0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT)num  target     prot opt source               destination         1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0

设置crontab脚本

便于运维集中化管理扩展

1234567891011121314151617181920212223242526272829303132333435

vi /root/start_iptables.sh

#!/bin/bash#0 0 * * * /root/start_iptables.sh

#清除配置/sbin/iptables -P INPUT ACCEPT/sbin/iptables -F/sbin/iptables -X#开放本地和Ping/sbin/iptables -A INPUT -i lo -j ACCEPT  /sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT /sbin/iptables -A INPUT -p icmp -j ACCEPT#配置内网白名单/sbin/iptables -A INPUT -s 10.0.0.0/8 -j ACCEPT/sbin/iptables -A INPUT -s 172.16.0.0/12 -j ACCEPT/sbin/iptables -A INPUT -s 192.168.0.0/16 -j ACCEPT#配置外网白名单/sbin/iptables -A INPUT -s 180.168.36.198 -j ACCEPT /sbin/iptables -A INPUT -s 180.168.34.218 -j ACCEPT /sbin/iptables -A INPUT -s 222.73.202.251 -j ACCEPT #控制端口/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT /sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT#拒绝其它/sbin/iptables -A INPUT -j DROP /sbin/iptables -A FORWARD -j DROP #开放出口/sbin/iptables -A OUTPUT -j ACCEPT 

chmod 755 /root/start_iptables.shcrontab -e0 0 * * * /root/start_iptables.sh

时间： 2024-10-26 10:06:24

[转载] iptables配置实践的相关文章

CentOS下配置iptables防火墙 linux NAT(iptables)配置

CentOS下配置防火墙配置nat转发服务CentOS下配置iptables防火墙 linux NAT(iptables)配置 CentOS下配置iptables 1,vim /etc/sysconfig/network 这里可以更改主机名称. NETWORKING=yesNETWORKING_IPV6=noHOSTNAME=BGI-TJ.localdomain GATEWAY=192.168.11.1(超算网关) 2.vim /etc/sysconfig/network-scripts/

linux下IPTABLES配置详解

iptables 配置如果你的IPTABLES基础知识还不了解,建议先去看看. 开始配置我们来配置一个filter表的防火墙. (1)查看本机关于IPTABLES的设置情况 [[email protected] ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destination Chain FORWARD (policy ACCEPT)target

一个可以直接使用的可用iptables配置的stateless NAT实现

使用iptables配置stateless NAT?我没有搞错.可能你根本不知道这么多NAT的实现细节,或者说根本不在乎,那么本文就当是一个"如何编写iptables模块"的练习了.实际上,我已经实现了一个可以配置stateless NAT的内核模块了,但是它的接口是基于procfs的,并不是说这个接口不好用,而是我觉得如果能集成到iptables就更加perfect了,难道不应该这样吗?有谁能忍受通过iptables和echo的方式配置两种NAT呢?难道不应该在一个iptables

[转载]DirectoryEntry配置IIS7出现ADSI Error：未知错误(0x80005000)

一.错误情况环境:win7+iis7.0 DirectoryEntry配置IIS7出现如下错误或者是下面一段代码在IIS6.0下运转正常,但IIS7.0下运转会出错: System.DirectoryServices.DirectoryEntry iisServer;iisServer = new System.DirectoryServices.DirectoryEntry("IIS://localhost/W3SVC/1");System.DirectoryServices.

路由器配置实践教你如何在Linux中三台主机两个网段互相通信

大家好我是你们的齐天大圣又到了齐天大圣给大家讲解的时间了今天我带你们做一个大大项目你们信不信如果把你不小心打开这个文档希望你能看完这个博文花费了我两天的时间所以请尊重我的劳动假装看完好吗齐天大圣在此谢过各位看官首先欢迎大家观看操作步骤我们正式开始题目: 路由配置实践: 01. 需要按照拓扑结构配置好服务器的网络信息 02. 需要让linux服务器01可以访问linux服务器03,通过linux服务器02进行访问将linux服务器02变换成为一台路由器 03. 实现lin

LInux下iptables配置

linux下IPTABLES配置详解如果你的IPTABLES基础知识还不了解,建议先去看看. 开始配置我们来配置一个filter表的防火墙. (1)查看本机关于IPTABLES的设置情况 [[email protected] ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destination Chain FORWARD (policy ACCEPT)targ

常用iptables配置实例

常用iptables配置实例 iptables命令可用于配置Linux的包过滤规则,常用于实现防火墙.NAT.咋一看iptables的配置很复杂,掌握规律后,其实用iptables完成指定任务并不难,下面我们通过具体实例,学习iptables的详细用法. 1.删除已有规则在新设定iptables规则时,我们一般先确保旧规则被清除,用以下命令清除旧规则: iptables -F (or iptables --flush) 2.设置chain策略对于filter table,默认的chain策略

[转载] scribe配置

目录(?)[-] Scribe can be configured with Global Configuration Variables Store Configuration Store Configuration Variables File Store Configuration Network Store Configuration Buffer Store Configuration Bucket Store Configuration Null Store Configuratio

原创：路由配置实践两个局域网主机的互连 VM linux

又开始齐天大圣讲课的时间了我相信网络是每个运维人员和开发人员必不可少要接触的今天我们要讲的是在VM虚拟机中我们三台虚拟机划分两个局域网实现不同局域网的互联也就是下面图中的AC通过B主机的互相通信而不通过网络下面是要求和题目路由配置实践: 01. 需要按照拓扑结构配置好服务器的网络信息 02. 需要让linux服务器01可以访问linux服务器03,通过linux服务器02进行访问将linux服务器02变换成为一台路由器 03. 实现linux01和linux03可以互相访问