为Linux设置IPTables防火墙

我们 来讨论一下如何为你的CentOS 服务器来设置简单的防火墙。 这里我们以DigitalOcean的CentOS 6
VPS为基础来讨论的，同样也适用于 阿里云上其他类型的LINUX系统。 （阿里云有个云盾系统，因此在你自己的VPS上不设置防火墙也是可以的）

需要说明的是： 本文只涉及最基础最常用的防火墙设置，能屏蔽一些常用的攻击，但并不能彻底保证你的服务器的安全。

系统的随时更新 以及 关闭不必要的服务 仍然是保证系统安全非常重要的步骤。

如果你需要更全面的了解iptables，阅读本文后，请google或是阅读更加深入的资料!

首先简单介绍一下什么是IPTables:

iptables是Linux内核中内置的防火墙，可以允许管理员通过设置table, chain以及相关的规则来进行数据包过滤和NAT。
一般来讲，iptables防火墙已经内置于CentOS 6及其他Linux版本中，而且iptables服务默认都是启动的。
 iptables应用于IPv4, 如果要用IPv6，需要使用ip6tables.

iptables的命令格式：





1

 iptables [-t table] command [chain] [rules] [-j target] 

[-t table] ：用来指明使用的表， 有三种选项: filter, nat 和
mangle，如果未指定，则使用filter作为缺省表。
事实上，对于单个服务器的防火墙配置，一般来讲，我们只需要对filter表进行配件就OK了。filter表包括 INPUT,
OUTPUT,和FORWARD三个chain.

command 表明iptables命名要做什么，比如

-A （–append): 该命令会把一条规则附件到chain的末尾。

-D（–delete)用来删除某个规则。

-F （–flush) 如果指定了chain, 删除该chain中的所有规则，如果未指定chain,
则删除所有chain中的所有规则。

target: 是由规则指定的操作。 包括下面几种：

ACCEPT: 接收信息包(允许它前往目的地），并且将停止遍历chain.

DROP：  拒绝，

此外还有REJECT, RETURN, LOG, REDIRECT, MARK, MIRROR, MAQUERADE等。

具体的iptables的语法和概念就不再多说了，请参照iptables
man page 官方文档 .

简单来说，iptables防火墙是由一系列的规则(rule)组成，  一个数据请求进来，
会依次和这些规则进行比较，如果正好符合规则的定义，那这个数据请求要么会被接收ACCEPT，要么被拒绝DRIP。如果不符合任何规则的定义，最后缺省的规则会被应用。

开始操作之前：

注意：一定要把你在DigitalOcean/ Linode/
阿里云上的服务器做一下快照备份 ， 否则一旦你
iptables的配置出了问题，极有可能把你自己挡在门外，你自己都无法连接到服务器了！！
出现这种情况可是会欲哭无泪呀，除了重新做系统好像没有更好的办法了。（ DigitalOcean提供了一个web
console的界面，有时候会给你反悔和擦除iptables设置的机会，但阿里云没有）

 决定哪些端口需要开放

首先， SSH 的端口22自然是需要开放的，否则我们就无法登录服务器了。

一般来讲，CentOS的VPS经常作为用LAMP搭建的Web服务器，FTP服务器， Mail服务器等。

对于Web服务来说，需要开放80端口，如果是HTTPS/SSL协议的话，还需用开放443端口

对于Mail服务来说，由于涉及SMTP, POP3, IMAP协议，需要开放的端口如下：

SMTP : 25   Secure SMTP:465  POP3: 110   Secure POP3:
995   IMAP: 143   IMAP over SSL: 993

对于FTP服务来说，需要开放 20, 21两个端口

第一步： 屏蔽最常见的攻击

缺省情况下，CentOS的iptables的设置是允许任何数据通过的。

我们首先要清空iptables中的所有的规则：





1

iptables -F

然后我们加上阻止简单扫描和攻击的规则





1

2

3

4

5

iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP             #NONE 包(所有标识bit都没有设置)主要是扫描类的数据包

iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP     #防止sync-flood 攻击

iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP              #ALL包（所有的标注bit都被设置了）也是网络扫描的数据包

关于sync-flood, 请参照wikipedia 的解释。

第二步： 为相应的服务开放对应的端口

首先我们应该接受本机localhost的任何请求，否则，数据库连接等将无法工作





1

iptables -A INPUT -i lo -j ACCEPT

对于不同的服务需要开放不同的端口





1

2

3

4

5

6

7

8

9

iptables -A INPUT -p tcp --dport 22 -j ACCEPT      # SSH

iptables -A INPUT -p tcp --dport 80 -j ACCEPT      # HTTP

iptables -A INPUT -p tcp --dport 443 -j ACCEPT     #HTTPS

iptables -A INPUT -p tcp --dport 25 -j ACCEPT   #SMTP

iptables -A INPUT -p tcp --dport 465  -j ACCEPT #Secure SMTP

iptables -A INPUT -p tcp --dport 110 -j ACCEPT   #POP3

iptables -A INPUT -p tcp --dport 995 -j ACCEPT   #Secure POP3

iptables -A INPUT -p tcp --dport 143 -j ACCEPT   #IMAP

iptables -A INPUT -p tcp --dport 993 -j ACCEPT   #Secure IMAP

第三步： 加上通用的规则

首先要允许所有从服务器端发起的连接，由此返回的响应数据应该是允许的！比如VPS发起的yum update ,
必须要允许外部的update数据进来





1

iptables -I INPUT -m state  --state ESTABLISHED, RELATED -j ACCEPT

最后，设置缺省的策略：屏蔽任何进入的数据请求，允许所有从Server发出的请求





1

2

3

iptables -P OUTPUT ACCEPT

iptables -P INPUT DROP

至此，规则设置完毕

第四步： 保存设置

首先通过下面的命令查看一下我们的设置是否正确！





1

iptable -L -n

确认没有问题后，执行下面的命令





1

service iptables save

执行上述命令后，相应的规则会写入 /etc/sysconfig/iptables这个文件，你可以检查一下看看。

最后执行





1

service iptables restart

重新启动iptables防火墙，以使上述设置生效。

最佳的方法：

为了更方便的修改和维护自己的iptables的设置，我一般是把所有的iptables的设置先写到一个单独文件中，测试没有问题后。然后再保存到iptable的配置文件中。

下面是我自己的iptables文件    ~/script/firewall.sh





1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

</pre>

#!/bin/bash

# A simple iptables firewall configuration

PATH=/sbin:/bin:/usr/sbin:/usr/bin; export PATH

#flush/erase original rules

iptables -F #清除所有已制定的rule

iptables -X #清除用户自定义的chain/table

iptables -Z #将所有的chain的计数和流量统计归零

#Accept localhost connetting, no matter what it is

iptables -A INPUT -i lo -j ACCEPT

#Accept any response package which is initiated from inside

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#block most common network attacks(recon packets and syn-flood attack)

iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

#open ports for different services

iptables -A INPUT -p tcp --dport 22 -j ACCEPT #SSH

iptables -A INPUT -p tcp --dport 80 -j ACCEPT #HTTP

#iptables -A INPUT -p tcp --dport 443 -j ACCEPT #HTTPS

#iptables -A INPUT -p tcp --dport 25 -j ACCEPT #SMTP

#iptables -A INPUT -p tcp --dport 465 -j ACCEPT #Secure SMTP

#iptables -A INPUT -p tcp --dport 110 -j ACCEPT #POP3

#iptables -A INPUT -p tcp --dport 995 -j ACCEPT #Secure POP

#ICMP configuration

#To prevent ICMP DDOS,we do not allow ICMP type 8(echo-request) or limit this request with 1/second

#some ICMP requests are allowed.

icmp_type="0 3 4 11 12 14 16 18"

for ticmp in $icmp_type

do

    iptables -A INPUT -p icmp --icmp-type $ticmp -j ACCEPT

done

#iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 1/second -j ACCEPT

#default policies

iptables -P OUTPUT ACCEPT

iptables -P INPUT DROP

#save to /etc/sysconfig/iptables

/etc/init.d/iptables save

你可以根据你的需要进行相应的修改。

时间： 2024-10-27 04:25:18

为Linux设置IPTables防火墙的相关文章

linux设置iptables防火墙的详细步骤(centos防火墙设置方法)

我们 来讨论一下如何为你的CentOS 服务器来设置简单的防火墙. 这里我们以DigitalOcean的CentOS 6 VPS为基础来讨论的,同样也适用于 阿里云上其他类型的LINUX系统. (阿里云有个云盾系统,因此在你自己的VPS上不设置防火墙也是可以的) 需要说明的是: 本文只涉及最基础最常用的防火墙设置,能屏蔽一些常用的攻击,但并不能彻底保证你的服务器的安全. 系统的随时更新 以及 关闭不必要的服务 仍然是保证系统安全非常重要的步骤. 如果你需要更全面的了解iptables,阅读本文后

Linux之Iptables防火墙概述~

Linux的防火墙体系主要工作在网络层,针对TCP/IP数据包实现过滤和机制,属于典型的包过滤防火墙(或称之为网络层防火墙). Netfilter和Iptables区别: Netfilter:指的是Linux内核中实现包过滤防火墙的内部结构,不以程序或文件的形式存在,属于"内核态"(kernel space,又称为内核空间)的防火墙功能体系. Iptables:指的是Linux防护墙的命令工具,程序通常位于/sbin/iptables,属于"用户态"(User sp

Linux服务器 iptables 防火墙配置详解

导读: 很好的一篇关于Linux防火墙 iptables配置, linux防火墙配置很关键, 这牵扯到服务器安全, 安全不是绝对的,但是iptables配的好可以杜绝大多数灰色试探. 转载到老吧博客了, 更多iptables配置可以咨询作者. linux iptables 防火墙配置非常重要, 我们来配置一个filter表的防火墙. 查看本机关于IPTABLES的设置情况 [[email protected] ~]# iptables -L -n 如果你在安装linux时没有选择启动防火墙,什么

LINUX中IPTABLES防火墙使用

对于有公网IP的生产环境VPS,仅仅开放需要的端口,即采用ACL来控制IP和端口(Access Control List). 这里可以使用Linux防火墙netfilter的用户态工具 iptables有4种表:raw-->mangle(修改报文原数据)-->nat(定义地址转换)-->filter(定义允许或者不允许的规则) 每个表可以配置多个链: 对于filter来讲一般只能做在3个链上:INPUT ,FORWARD ,OUTPUT 对于nat来讲一般也只能做在3个链上:PREROU

【linux】iptables防火墙SNAT和DNAT的简单演示

首先说明SNAT和DNAT都大致相当于网络中的NAT和PAT协议,本实验是通过用一台linxu虚拟机来模拟内网网关,并且利用linux上的iptables防火墙策略,达到地址转换和端口映射的目的. SNAT 实验结构: 真机----------------(v1)网关服务器s1(v2)--------------(v2)外网服务器s2 开2台虚拟机linux,分别模拟s1和s2. 其中,s1上另增加一块网卡,使用vmnet1与真机相连. 使用vmnet2与外网服务器的s2的vmnet2相连. I

linux下iptables防火墙详解

Linux网络防火墙基础知识 工作在主机或网络的边缘,对于进出的数据报文按照事先定义好的规则中的匹配标准进行检查,并做出对应的处理办法的机制称作防火墙. IP报文首部:主要包含源IP,目标IP TCP报文首部:主要包含源端口,目标端口,标志位SYN,ACK,RST,FIN 匹配标准解释: IP: 源IP,目标IP TCP: 源端口,目标端口 TCP三次握手三个阶段表示: 第一阶段:  SYN=1,FIN=0,RST=0,ACK=0; 第二阶段: SYN=1,ACK=1,FIN=0,RST=0;

Linux中iptables防火墙指定端口范围

我需要700至800之间的端口都能tcp访问 代码如下 复制代码 -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 700 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 701 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp

CentOS linux关闭iptables防火墙(Linux中的防火墙叫iptables)

linux服务器下防火墙为iptables组件,在安装一些软件的时候,iptables防火墙会阻止我们一些必要的连接. 查看iptables状态:service iptables status iptables开机自动启动: 开启: chkconfig iptables on 关闭: chkconfig iptables off iptables关闭服务: 开启: service iptables start 关闭: service iptables stop 重启防火墙服务:service i

linux设置-centos7防火墙配置

一.配置防火墙,开启80端口.3306端口 CentOS 7.0默认使用的是firewall作为防火墙,这里改为iptables防火墙. 1.关闭firewall: systemctl stop firewalld.service #停止firewall systemctl disable firewalld.service #禁止firewall开机启动 2.安装iptables防火墙 yum install iptables-services #安装 vi /etc/sysconfig/ip