目錄
- iptables命令及參數(shù)介紹
- 配置Filter表防火墻
- 配置NAT表防火墻
1. iptables命令及參數(shù)介紹
iptables常用命令：
- iptables -A 將一個(gè)規(guī)則添加到鏈末尾
- iptables -D 將指定的鏈中刪除規(guī)則
- iptables -F 將指定的鏈中刪除所有規(guī)則
- iptables -I 將在指定鏈的指定編號(hào)位置插入一個(gè)規(guī)則
- iptables -L 列出指定鏈中所有規(guī)則
- iptables -t nat -L 列出所有NAT鏈中所有規(guī)則
- iptables -N 建立用戶定義鏈
- iptables -X 刪除用戶定義鏈
- iptables -P 修改鏈的默認(rèn)設(shè)置，如將iptables -P INPUT DROP (將INPUT鏈設(shè)置為DROP)
常見(jiàn)設(shè)置參數(shù)介紹：
- --dport 指定目標(biāo)TCP/IP端口 如 –dport 80
- --sport 指定源TCP/IP端口 如 –sport 80
- -p tcp 指定協(xié)議為tcp
- -p icmp 指定協(xié)議為ICMP
- -p udp 指定協(xié)議為UDP
- -j DROP 拒絕
- -j ACCEPT 允許
- -j REJECT 拒絕并向發(fā)出消息的計(jì)算機(jī)發(fā)一個(gè)消息
- -j LOG 在/var/log/messages中登記分組匹配的記錄
- -m mac –mac 綁定MAC地址
- -m limit –limit 1/s 1/m 設(shè)置時(shí)間策列
- -s 10.10.0.0或10.10.0.0/16 指定源地址或地址段
- -d 10.10.0.0或10.10.0.0/16 指定目標(biāo)地址或地址段
- -s ! 10.10.0.0 指定源地址以外的
iptables配置文件
配置文件位置： /etc/sysconfig/iptables
iptables服務(wù)命令
-- 啟動(dòng)服務(wù)
# /etc/init.d/iptables start
# service iptables start
-- 停止服務(wù)
# /etc/init.d/iptables stop
# service iptables stop
-- 重啟服務(wù)
# /etc/init.d/iptables restart
# service iptables restart
-- 保存設(shè)置
# /etc/init.d/iptables save
# service iptables save
2. 配置Filter表防火墻
- 查看iptables的配置信息
# iptables -L -n
- 清除原有防火墻規(guī)則
- 清除預(yù)設(shè)表filter中的所有規(guī)則鏈的規(guī)則
# iptables -F
- 清除預(yù)設(shè)表filter中使用者自定鏈中的規(guī)則
# iptables -X
- 保存防火墻設(shè)置
# /etc/init.d/iptables save
或
# service iptables save
- 設(shè)定預(yù)設(shè)規(guī)則
-- 請(qǐng)求接入包丟棄
[root@home ~]# iptables -p INPUT DROP
-- 接受響應(yīng)數(shù)據(jù)包
[root@home ~]# iptables -p OUTPUT ACCEPT
-- 轉(zhuǎn)發(fā)數(shù)據(jù)包丟棄
[root@home ~]# iptables -p FORWARD DROP
- 添加防火墻規(guī)則
首先添加INPUT鏈,INPUT鏈的默認(rèn)規(guī)則是DROP,所以我們就寫需要ACCETP(通過(guò))的鏈。
- 開(kāi)啟SSH服務(wù)端口
[root@tp ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
[root@tp ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
注:如果在預(yù)設(shè)設(shè)置把OUTPUT設(shè)置成DROP策略的話，就需要設(shè)置OUTPUT規(guī)則，否則無(wú)法進(jìn)行SSH連接。
- 開(kāi)啟Web服務(wù)端口
[root@tp ~]# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
- 開(kāi)啟郵件服務(wù)的25、110端口
[root@tp ~]# iptables -A INPUT -p tcp --dport 110 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp --dport 25 -j ACCEPT
- 開(kāi)啟FTP服務(wù)的21端口
[root@tp ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp --dport 20 -j ACCEPT
- 開(kāi)啟DNS服務(wù)的53端口
[root@tp ~]# iptables -A INPUT -p tcp --dport 53 -j ACCEPT
- 設(shè)置icmp服務(wù)
[root@tp ~]# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT設(shè)置成DROP的話)
[root@tp ~]# iptables -A INPUT -p icmp -j ACCEPT (INPUT設(shè)置成DROP的話)
- 允許loopback
不然會(huì)導(dǎo)致DNS無(wú)法正常關(guān)閉等問(wèn)題
[root@tp ~]# IPTABLES -A INPUT -i lo -p all -j ACCEPT
(如果是INPUT DROP)
[root@tp ~]# IPTABLES -A OUTPUT -o lo -p all -j ACCEPT
(如果是OUTPUT DROP)
- 減少不安全的端口連接
[root@tp ~]# iptables -A OUTPUT -p tcp --sport 31337 -j DROP
[root@tp ~]# iptables -A OUTPUT -p tcp --dport 31337 -j DROP
說(shuō)明：有些特洛伊木馬會(huì)掃描端口31337到31340(即黑客語(yǔ)言中的 elite 端口)上的服務(wù)。既然合法服務(wù)都不使用這些非標(biāo)準(zhǔn)端口來(lái)通信,阻塞這些端口能夠有效地減少你的網(wǎng)絡(luò)上可能被感染的機(jī)器和它們的遠(yuǎn)程主服務(wù)器進(jìn)行獨(dú)立通信的機(jī)會(huì)。此外，其他端口也一樣,像:31335、27444、27665、20034 NetBus、9704、137-139（smb）,2049(NFS)端口也應(yīng)被禁止。
- 只允許某臺(tái)主機(jī)或某個(gè)網(wǎng)段進(jìn)行SSH連接
只允許192.168.0.3的機(jī)器進(jìn)行SSH連接
[root@tp ~]# iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT
如果允許或限制一段IP地址可用192.168.0.0/24表示192.168.0.1-255端的所有IP, 24表示子網(wǎng)掩碼數(shù)。
[root@tp ~]# iptables -A INPUT -s 192.168.0.0/24 -p tcp --dport 22 -j ACCEPT
注意：指定某個(gè)主機(jī)或者某個(gè)網(wǎng)段進(jìn)行SSH連接，需要在iptables配置文件中的
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
刪除，因?yàn)樗硎舅械刂范伎梢缘顷?
如果只允許除了192.168.0.3的主機(jī)外都能進(jìn)行SSH連接
[root@tp ~]# iptables -A INPUT -s ! 192.168.0.3 -p tcp --dport 22 -j ACCEPT
- 開(kāi)啟轉(zhuǎn)發(fā)功能
在做NAT網(wǎng)絡(luò)配置時(shí),FORWARD默認(rèn)規(guī)則是DROP時(shí),必須開(kāi)啟數(shù)據(jù)包轉(zhuǎn)發(fā)功能
[root@tp ~]# iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
[root@tp ~]# iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT
- 丟棄壞的TCP包
[root@tp ~]#iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP
- 處理IP碎片數(shù)量，防止DDOS攻擊，允許每秒100個(gè)
[root@tp ~]#iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT
- 設(shè)置ICMP包過(guò)濾, 允許每秒1個(gè)包, 限制觸發(fā)條件是10個(gè)包
[root@tp ~]#iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT
- DROP非法連接
[root@tp ~]# iptables -A INPUT -m state --state INVALID -j DROP
[root@tp ~]# iptables -A OUTPUT -m state --state INVALID -j DROP
[root@tp ~]# iptables -A FORWARD -m state --state INVALID -j DROP
- 允許所有已經(jīng)建立的和相關(guān)的連接
[root@tp ~]# iptables-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@tp ~]# iptables-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@tp ~]# /etc/rc.d/init.d/iptables save
3. 配置NAT表防火墻
- 查看本機(jī)關(guān)于NAT的設(shè)置情況
[root@tp rc.d]# iptables -t nat -L
- 清除NAT規(guī)則
[root@tp ~]# iptables -F -t nat
[root@tp ~]# iptables -X -t nat
[root@tp ~]# iptables -Z -t nat
- 添加規(guī)則
添加基本的NAT地址轉(zhuǎn)換，添加規(guī)則時(shí)，我們只添加DROP鏈，因?yàn)槟J(rèn)鏈全是ACCEPT。
- 防止外網(wǎng)用內(nèi)網(wǎng)IP欺騙
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP
- 禁止與211.101.46.253的所有連接
[root@tp ~]# iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP
- 禁用FTP(21)端口
[root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DROP
只禁用211.101.46.253地址的FTP連接,其他連接可以進(jìn)行。
[root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -d 211.101.46.253 -j DROP
