- iptables命令及參數(shù)介紹
iptables常用命令：
iptables -A 將一個規(guī)則添加到鏈末尾
iptables -D 將指定的鏈中刪除規(guī)則
iptables -F 將指定的鏈中刪除所有規(guī)則
iptables -I 將在指定鏈的指定編號位置插入一個規(guī)則
iptables -L 列出指定鏈中所有規(guī)則
iptables -t nat -L 列出所有NAT鏈中所有規(guī)則
iptables -N 建立用戶定義鏈
iptables -X 刪除用戶定義鏈
iptables -P 修改鏈的默認(rèn)設(shè)置，如將iptables -P INPUT DROP (將INPUT鏈設(shè)置為DROP)
常見設(shè)置參數(shù)介紹：
--dport 指定目標(biāo)TCP/IP端口 如 –dport 80
--sport 指定源TCP/IP端口 如 –sport 80
-p tcp 指定協(xié)議為tcp
-p icmp 指定協(xié)議為ICMP
-p udp 指定協(xié)議為UDP
-j DROP 拒絕
-j ACCEPT 允許
-j REJECT 拒絕并向發(fā)出消息的計(jì)算機(jī)發(fā)一個消息
-j LOG 在/var/log/messages中登記分組匹配的記錄
-m mac –mac 綁定MAC地址
-m limit –limit 1/s 1/m 設(shè)置時間策列
-s 10.10.0.0或10.10.0.0/16 指定源地址或地址段
-d 10.10.0.0或10.10.0.0/16 指定目標(biāo)地址或地址段
-s ! 10.10.0.0 指定源地址以外的
iptables配置文件
配置文件位置： /etc/sysconfig/iptables
iptables服務(wù)命令
-- 啟動服務(wù)
/etc/init.d/iptables start
service iptables start
-- 停止服務(wù)
/etc/init.d/iptables stop
service iptables stop
-- 重啟服務(wù)
/etc/init.d/iptables restart
service iptables restart
-- 保存設(shè)置
/etc/init.d/iptables save
service iptables save
- 配置Filter表防火墻
查看iptables的配置信息
iptables -L -n
清除原有防火墻規(guī)則
清除預(yù)設(shè)表filter中的所有規(guī)則鏈的規(guī)則
iptables -F
清除預(yù)設(shè)表filter中使用者自定鏈中的規(guī)則
iptables -X
保存防火墻設(shè)置
/etc/init.d/iptables save
或
service iptables save
設(shè)定預(yù)設(shè)規(guī)則
-- 請求接入包丟棄
[root@home ~]# iptables -p INPUT DROP
-- 接受響應(yīng)數(shù)據(jù)包
[root@home ~]# iptables -p OUTPUT ACCEPT
-- 轉(zhuǎn)發(fā)數(shù)據(jù)包丟棄
[root@home ~]# iptables -p FORWARD DROP
添加防火墻規(guī)則
首先添加INPUT鏈,INPUT鏈的默認(rèn)規(guī)則是DROP,所以我們就寫需要ACCETP(通過)的鏈。
開啟SSH服務(wù)端口
[root@tp ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
[root@tp ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
注:如果在預(yù)設(shè)設(shè)置把OUTPUT設(shè)置成DROP策略的話，就需要設(shè)置OUTPUT規(guī)則，否則無法進(jìn)行SSH連接。
開啟Web服務(wù)端口
[root@tp ~]# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
開啟郵件服務(wù)的25、110端口
[root@tp ~]# iptables -A INPUT -p tcp --dport 110 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp --dport 25 -j ACCEPT
開啟FTP服務(wù)的21端口
[root@tp ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT
[root@tp ~]# iptables -A INPUT -p tcp --dport 20 -j ACCEPT
開啟DNS服務(wù)的53端口
[root@tp ~]# iptables -A INPUT -p tcp --dport 53 -j ACCEPT
設(shè)置icmp服務(wù)
[root@tp ~]# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT設(shè)置成DROP的話)
[root@tp ~]# iptables -A INPUT -p icmp -j ACCEPT (INPUT設(shè)置成DROP的話)
允許loopback
不然會導(dǎo)致DNS無法正常關(guān)閉等問題
[root@tp ~]# IPTABLES -A INPUT -i lo -p all -j ACCEPT
(如果是INPUT DROP)
[root@tp ~]# IPTABLES -A OUTPUT -o lo -p all -j ACCEPT
(如果是OUTPUT DROP)
減少不安全的端口連接
[root@tp ~]# iptables -A OUTPUT -p tcp --sport 31337 -j DROP
[root@tp ~]# iptables -A OUTPUT -p tcp --dport 31337 -j DROP
說明：有些特洛伊木馬會掃描端口31337到31340(即黑客語言中的 elite 端口)上的服務(wù)。既然合法服務(wù)都不使用這些非標(biāo)準(zhǔn)端口來通信,阻塞這些端口能夠有效地減少你的網(wǎng)絡(luò)上可能被感染的機(jī)器和它們的遠(yuǎn)程主服務(wù)器進(jìn)行獨(dú)立通信的機(jī)會。此外，其他端口也一樣,像:31335、27444、27665、20034 NetBus、9704、137-139（smb）,2049(NFS)端口也應(yīng)被禁止。
只允許某臺主機(jī)或某個網(wǎng)段進(jìn)行SSH連接
只允許192.168.0.3的機(jī)器進(jìn)行SSH連接
[root@tp ~]# iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT
如果允許或限制一段IP地址可用192.168.0.0/24表示192.168.0.1-255端的所有IP, 24表示子網(wǎng)掩碼數(shù)。
[root@tp ~]# iptables -A INPUT -s 192.168.0.0/24 -p tcp --dport 22 -j ACCEPT
注意：指定某個主機(jī)或者某個網(wǎng)段進(jìn)行SSH連接，需要在iptables配置文件中的-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
刪除，因?yàn)樗硎舅械刂范伎梢缘顷?
如果只允許除了192.168.0.3的主機(jī)外都能進(jìn)行SSH連接
[root@tp ~]# iptables -A INPUT -s ! 192.168.0.3 -p tcp --dport 22 -j ACCEPT
開啟轉(zhuǎn)發(fā)功能
在做NAT網(wǎng)絡(luò)配置時,FORWARD默認(rèn)規(guī)則是DROP時,必須開啟數(shù)據(jù)包轉(zhuǎn)發(fā)功能
[root@tp ~]# iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
[root@tp ~]# iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT
丟棄壞的TCP包
[root@tp ~]#iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP
處理IP碎片數(shù)量，防止DDOS攻擊，允許每秒100個
[root@tp ~]#iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT
設(shè)置ICMP包過濾, 允許每秒1個包, 限制觸發(fā)條件是10個包
[root@tp ~]#iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT
DROP非法連接
[root@tp ~]# iptables -A INPUT -m state --state INVALID -j DROP
[root@tp ~]# iptables -A OUTPUT -m state --state INVALID -j DROP
[root@tp ~]# iptables -A FORWARD -m state --state INVALID -j DROP
允許所有已經(jīng)建立的和相關(guān)的連接
[root@tp ~]# iptables-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@tp ~]# iptables-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@tp ~]# /etc/rc.d/init.d/iptables save
- 配置NAT表防火墻
查看本機(jī)關(guān)于NAT的設(shè)置情況
[root@tp rc.d]# iptables -t nat -L
清除NAT規(guī)則
[root@tp ~]# iptables -F -t nat
[root@tp ~]# iptables -X -t nat
[root@tp ~]# iptables -Z -t nat
添加規(guī)則
添加基本的NAT地址轉(zhuǎn)換，添加規(guī)則時，我們只添加DROP鏈，因?yàn)槟J(rèn)鏈全是ACCEPT。
防止外網(wǎng)用內(nèi)網(wǎng)IP欺騙
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP
[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP
禁止與211.101.46.253的所有連接
[root@tp ~]# iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP
禁用FTP(21)端口
[root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DROP
只禁用211.101.46.253地址的FTP連接,其他連接可以進(jìn)行。
[root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -d 211.101.46.253 -j DROP
