Linux作业10

系统的INPUT和OUTPUT默认策略为DROP,请完成以下关于iptables的题目;

1、限制本地主机的web服务器在周一不允许访问;新请求的速率不能超过100个每秒;web服务器包含了admin字符串的页面不允许访问;web服务器仅允许响应报文离开本机;

[[email protected] ~]# iptables -F    #清空filter表上的所有规则链
[[email protected] ~]# iptables -X    #删除用户自定链
[[email protected] ~]# iptables -t filter -A INPUT -d 192.168.1.71 -p tcp -m multiport --dports 22,80 -m state --state NEW -j ACCEPT    #放行SSH和HTTP的SYN报文
[[email protected] ~]# iptables -t filter -I INPUT -d 192.168.1.71 -m state --state ESTABLISHED -j ACCEPT    #放行所有目标为192.168.1.71的已建立链接的请求报文
[[email protected] ~]# iptables -t filter -A OUTPUT -s 192.168.1.71 -m state --state ESTABLISHED -j ACCEPT    #只放行已建立链接的出部请求
[[email protected] ~]# iptables -P INPUT DROP    #INPUT链的默认规置为则为DROP
[[email protected] ~]# iptables -P OUTPUT DROP    #OUTPUT链的默认规置为则为DROP
[[email protected] ~]# iptables -t filter -I INPUT -d 192.168.1.71 -p tcp --dport 80 -m time --weekdays Mon -j REJECT    #周一禁止访问httpd服务
[[email protected] ~]# iptables -t filter -I INPUT -d 192.168.1.71 -m limit --limit-burst 200 --limit 100/second -j ACCEPT    #设置可以接受的请求报文的速率为平均100个/秒,峰值为200个。
[[email protected] ~]# iptables -R OUTPUT 1 -s 192.168.1.71 -p tcp --sport 80 -m string --algo bm --string "admin" -j REJECT    #拦截http响应报文中包含“admin”字符串的报文

2、在工作时间,即周一到周五的8:30-18:00,开放本机的ftp服务给172.16.0.0网络中的主机访问;数据下载请求的次数每分钟不得超过5个;

(1). 检查并装载nf_conntrack_ftp模块:

[[email protected] ~]# ll /lib/modules/3.10.0-327.el7.x86_64/kernel/net/netfilter/nf_conntrack_ftp.ko 
-rw-r--r--. 1 root root 26181 11月 20 2015 /lib/modules/3.10.0-327.el7.x86_64/kernel/net/netfilter/nf_conntrack_ftp.ko
[[email protected] ~]# modprobe nf_conntrack_ftp
[[email protected] ~]# lsmod | grep ftp
nf_conntrack_ftp       18638  0 
nf_conntrack          105745  3 xt_conntrack,nf_conntrack_ftp,nf_conntrack_ipv4

(2). 在1题的基础上进行修改iptables:

[[email protected] ~]# iptables -L -n -v --line-number
Chain INPUT (policy DROP 18 packets, 2321 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1     1030 74542 ACCEPT     all  --  *      *       0.0.0.0/0            192.168.1.71         limit: avg 100/sec burst 200
2        0     0 REJECT     tcp  --  *      *       0.0.0.0/0            192.168.1.71         tcp dpt:80 TIME on Mon UTC reject-with icmp-port-unreachable
3     2616  210K ACCEPT     all  --  *      *       0.0.0.0/0            192.168.1.71         state ESTABLISHED
4        7   420 ACCEPT     tcp  --  *      *       0.0.0.0/0            192.168.1.71         multiport dports 22,80 state NEW
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy DROP 28 packets, 8506 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1       22  7434 REJECT     tcp  --  *      *       192.168.1.71         0.0.0.0/0            tcp spt:80 STRING match  "admin" ALGO name bm TO 65535 reject-with icmp-port-unreachable
2     2290  413K ACCEPT     all  --  *      *       192.168.1.71         0.0.0.0/0            state ESTABLISHED
[[email protected] ~]# iptables -D INPUT 1    #删除INPUT链中的1-2行规则
[[email protected] ~]# iptables -D INPUT 1
[[email protected] ~]# iptables -R INPUT 1 -d 192.168.1.71 -s 192.168.1.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
[[email protected] ~]# iptables -I INPUT -d 192.168.1.71 -s 192.168.1.0/24 -p tcp --dport 21 -m state --state NEW -m time --weekdays 1,2,3,4,5 --timestart 8:30 --timestop 18:00 -j ACCEPT
[[email protected] ~]# iptables -L -n --line-number
Chain INPUT (policy DROP)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  192.168.1.0/24       192.168.1.71         tcp dpt:21 state NEW TIME from 08:30:00 to 18:00:00 on Mon,Tue,Wed,Thu,Fri UTC
2    ACCEPT     tcp  --  192.168.1.0/24       192.168.1.71         state RELATED,ESTABLISHED
3    ACCEPT     tcp  --  0.0.0.0/0            192.168.1.71         multiport dports 22,80 state NEW
Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         
Chain OUTPUT (policy DROP)
num  target     prot opt source               destination         
1    REJECT     tcp  --  192.168.1.71         0.0.0.0/0            tcp spt:80 STRING match  "admin" ALGO name bm TO 65535 reject-with icmp-port-unreachable
2    ACCEPT     all  --  192.168.1.71         0.0.0.0/0            state ESTABLISHED   #确保ESTABLISHED链接可以出栈

3、开放本机的ssh服务给172.16.x.1-172.16.x.100中的主机,x为你的座位号,新请求建立的速率一分钟不得超过2个;仅允许响应报文通过其服务端口离开本机;

本题中172.16.x替换为192.168.x

(1). 初始化iptables:

[[email protected] ~]# iptables -P INPUT ACCEPT
[[email protected] ~]# iptables -P OUTPUT ACCEPT
[[email protected] ~]# iptables -F
[[email protected] ~]# iptables -X

(2). 设置链规则:

[[email protected] ~]# iptables -A INPUT -d 192.168.1.71 -m iprange --src-range 192.168.1.1-192.168.1.100 -p tcp --dport 22 -m limit --limit 2/minute -m state --state NEW -j ACCEPT
[[email protected] ~]# iptables -I INPUT -d 192.168.1.71 -p tcp --dport 22 -m state --state ESTABLISHED -j ACCEPT
[[email protected] ~]# iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT
[[email protected] ~]# iptables -P INPUT DROP
[[email protected] ~]# iptables -P OUTPUT DROP
[[email protected] ~]# iptables -L -n -v --line-number
Chain INPUT (policy DROP 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1      279 19728 ACCEPT     tcp  --  *      *       0.0.0.0/0            192.168.1.71         tcp dpt:22 state ESTABLISHED
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            192.168.1.71         source IP range 192.168.1.1-192.168.1.100 tcp dpt:22 limit: avg 2/min burst 5 state NEW
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy DROP 1 packets, 76 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1       87  8008 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state ESTABLISHED

4、拒绝TCP标志位全部为1及全部为0的报文访问本机;

[[email protected] ~]# iptables -A  INPUT -d 192.168.1.71 -p tcp --tcp-flags ALL ALL -j DROP
[[email protected] ~]# iptables -A  INPUT -d 192.168.1.71 -p tcp --tcp-flags ALL NONE -j DROP

5、允许本机ping别的主机;但不开放别的主机ping本机;

# iptables -I OUTPUT -s 192.168.1.71 -p icmp --icmp-type 8 -j ACCEPT
# iptables -I INPUT -d 192.168.1.71 -p icmp --icmp-type 0 -j ACCEPT
# iptables -P INPUT DROP
# iptables -P OUTPUT DROP

6、判断下述规则的意义:

# iptables -N clean_in    //创建名为“clean_in”的自定义链

# iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP    //禁止与所有主机进行ICMP通信

# iptables -A clean_in -d 172.16.255.255 -p icmp -j DROP    //禁止与172.16网段的主机进行ICMP通信

# iptables -A clean_in -p tcp ! --syn -m state --state NEW -j DROP    //禁止TCP标志位中除SYN外的所有新链接

# iptables -A clean_in -p tcp --tcp-flags ALL ALL -j DROP    //禁止TCP标志位所有为1的报文

# iptables -A clean_in -p tcp --tcp-flags ALL NONE -j DROP    //禁止TCP标志位中所有为0的报文

# iptables -A clean_in -d 172.16.100.7 -j RETURN    //返回目标主机为172.16.100.7的报文到主链

# iptables -A INPUT -d 172.16.100.7 -j clean_in    //配置目标主机为172.16.100.7的报文交与clean_in链进行检查

# iptables -A INPUT -i lo -j ACCEPT    //接受来自回环接口的流量

# iptables -A OUTPUT -o lo -j ACCEPT    //允许去住回环接口的流量

# iptables -A INPUT -i eth0 -m multiport -p tcp --dports 53,113,135,137,139,445 -j DROP    //拒绝eth0接口上的TCP 53,113,135,137,139,445流量(DNS及Samba相关)

# iptables -A INPUT -i eth0 -m multiport -p udp --dports 53,113,135,137,139,445 -j DROP    //拒绝eth0接口上的UDP 53,113,135,137,139,445流量(DNS及Samba相关)

# iptables -A INPUT -i eth0 -p udp --dport 1026 -j DROP    //拒绝eth0接口上的cap协议

# iptables -A INPUT -i eth0 -m multiport -p tcp --dports 1433,4899 -j DROP    //拒绝eth0接口上的MSSQL和远程控制报文

# iptables -A INPUT -p icmp -m limit --limit 10/second -j ACCEPT    //限制ping流量为10/分钟

7、通过tcp_wrapper控制vsftpd仅允许172.16.0.0/255.255.0.0网络中的主机访问,但172.16.100.3除外;对所被被拒绝的访问尝试都记录在/var/log/tcp_wrapper.log日志文件中;

8、删除/boot/grub/grub.conf文件中所有行的行首的空白字符;

9、删除/etc/fstab文件中所有以#开头,后跟至少一个空白字符的行的行首的#和空白字符;

10、把/etc/fstab文件的奇数行另存为/tmp/fstab.3;

11、echo一个文件路径给sed命令,取出其基名;进一步地,取出其路径名;

12、统计当前系统上所有tcp连接的各种状态的个数;

13、统计指定的web访问日志中各ip的资源访问次数:

14、授权centos用户可以运行fdisk命令完成磁盘管理,以及使用mkfs或mke2fs实现文件系统管理;

15、授权gentoo用户可以运行逻辑卷管理的相关命令;

16、基于pam_time.so模块,限制用户通过sshd服务远程登录只能在工作时间进行;

17、基于pam_listfile.so模块,定义仅某些用户,或某些组内的用户可登录系统;

时间: 2024-11-07 23:26:07

Linux作业10的相关文章

马哥linux作业第五周'

1.显示当前系统上root.fedora或user1用户的默认shell: egrep "^(root|fedora|user1)\>" /etc/passwd |cut -d: -f1,7 root|fedora|user1表示三者符合其一的选择条件 ()使其归组 ^表示以后面归组的条件开头 \>表示以空字符截断此前的条件字符,即后跟其它字符的单词将不匹配 2.找出/etc/rc.d/init.d/functions文件中某单词后面跟一组小括号的行,形如:hello():

马哥linux作业第四周'

1.复制/etc/skel目录为/home/tuser1,要求/home/tuser1及其内部文件的属组和其它用户均没有任何访问权限. cp -r /etc/skel/ /home/tuser1 chmod -R go-rwx /home/tuser1 2.编辑/etc/group文件,添加组hadoop. vim /etc/group 先查看有无hadoop组:输入"/hadoop" 如没有则在最后一行加入:输入":"进入编辑模式,移至最后一行,回车后输入 &qu

马哥linux作业第三周'

1.列出当前系统上所有已经登录的用户的用户名,注意:同一个用户登录多次,则只显示一次即可. who | cut -d' ' -f1 | sort -u 2.取出最后登录到当前系统的用户的相关信息. last | head -1 3.取出当前系统上被用户当作其默认shell的最多的那个shell. cat /etc/passwd | cut -d ':' -f7 |sort | uniq -c | sort |head -1 4.将/etc/passw d 中的第三个字段数值最大的后10个用户的信

八周三次课(1月31日) 10.32/10.33 rsync通过服务同步 10.34 linux系统日志 10.35 screen工具

八周三次课(1月31日)10.32 rsync通过服务同步10.33 rsync通过服务同步10.34 linux系统日志10.35 screen工具===============================================================================================================================================================================

Red Hat Enterprise Linux 5.10在vmware10下的安装

Red Hat Enterprise Linux 5.10在vmware10下的安装 1.启动"新建虚拟机"向导程序.如下图,选择"自定义",点击"下一步" 2.选择虚拟机硬件兼容性,你可以根据自己需求选择,这里选择默认,如下图.单击"下一步" 3.指定虚拟机系统的安装方式.选择"稍后安装操作系统",如果选择"安装盘镜像文件(iso)",虚拟机启动后会自动执行快速安装,不方便用户控制安装

Linux 4.10中两个新特性与我的一段故事

今早5点半起来没有开始写文章,而是去西湾红树林连跑带走折腾了将近20公里,回来后就8点多了...洗了个澡之后坐稳当,开始写一段关于我的故事.        在2014年到2015年期间,我在负责研发一款无线安全网关,其实就是一个VPN,接入设备包括手机,xPad,盒子...这些设备的OS除了iOS之外,基本上都是基于Linux的Android.这个网关一般用于各种需要高性能加密通信的场合,在数据传输之前需要比较强的认证,服务端支持4G的加密带宽,支持复杂的接入控制和访问控制,支持复杂的Qos,另

10.32/10.33 rsync通过服务同步10.34 linux系统日志10.35 screen工具

- 10.32/10.33 rsync通过服务同步 - 10.34 linux系统日志 - 10.35 screen工具 - 扩展 1. Linux日志文件总管logrotate http://linux.cn/article-4126-1.html 2. xargs用法详解 http://blog.csdn.net/zhangfn2011/article/details/6776925 # 10.32 rsync通过服务来同步 上 - rsync通过服务的方式同步 - 要编辑配置文件/etc/

Linux 4.10.8 根文件系统制作(一)---环境搭建

一.工具 制作工具为busybox 下载地址:https://busybox.net/ 解压: 二.制作文件系统 进入目录,执行make menuconfig: 2.1 busybox setting 2.1.1 设定交叉编译器 改为 保存退出,然后执行 make 编译. 编译完成后创建文件系统存放目录: 2.2.2 安装glibc 安装完成后,fs_mini下会生成以下目录: 进入交差编译工具链的目录,找出lib库: 拷贝sysroot下的lib目录和usr/lib目录下的 .so 文件到fs

Linux系统管理10——进程和计划任务管理

Linux系统管理10——进程和计划任务管理 一.程序和进程的关系 1.程序 ·保存在硬盘.光盘等介质中的可执行代码和数据 ·静态保存的代码 2.进程 ·在CPU及内存中运行的程序代码 ·动态执行的代码 ·父.子进程:每一个进程可以创建一个或多个进程 二.静态查看进程统计信息 ps命令 1.ps aux 命令 (1)作用:以简单列表的形式显示出进程信息 (2)选项释义: a:显示当前终端下的所有进程信息,包括其他用户的进程 u:使用以用户为主的格式输出进程信息 x:显示当前用户在所有终端下的进程