當(dāng)前位置：首頁 > 运维知识 > linux >内容正文

linux

Linux iptables 配置详解

發(fā)布時間：2023/11/29 linux 37 豆豆

生活随笔收集整理的這篇文章主要介紹了 Linux iptables 配置详解小編覺得挺不錯的,現(xiàn)在分享給大家,幫大家做個參考.

一、配置一個filter表的防火墻

1. 查看本機(jī)關(guān)于 iptables 的設(shè)置情況
# iptables -L -n

??? Chain INPUT (policy ACCEPT)
??? target prot opt source destination
??? Chain FORWARD (policy ACCEPT)
??? target prot opt source destination
??? Chain OUTPUT (policy ACCEPT)
??? target prot opt source destination
??? Chain RH-Firewall-1-INPUT (0 references)
??? target prot opt source destination
??? ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
??? ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 255
??? ACCEPT esp -- 0.0.0.0/0 0.0.0.0/0
??? ACCEPT ah -- 0.0.0.0/0 0.0.0.0/0
??? ACCEPT udp -- 0.0.0.0/0 224.0.0.251 udp dpt:5353
??? ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:631
??? ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
??? ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
??? ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80
??? ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25
??? REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

可以看出我在安裝linux時,選擇了有防火墻,并且開放了22,80,25端口.
如果你在安裝linux時沒有選擇啟動防火墻,是這樣的

# iptables -L -n

什么規(guī)則都沒有.

2.清除原有規(guī)則.
不管你在安裝linux時是否啟動了防火墻,如果你想配置屬于自己的防火墻,那就清除現(xiàn)在filter的所有規(guī)則.
# iptables -F 清除預(yù)設(shè)表filter中的所有規(guī)則鏈的規(guī)則
# iptables -X 清除預(yù)設(shè)表filter中使用者自定鏈中的規(guī)則
我們在來看一下
# iptables -L -n

什么都沒有了吧,和我們在安裝linux時沒有啟動防火墻是一樣的.(提前說一句,這些配置就像用命令配置IP一樣,重起就會失去作用),怎么保存.
# /etc/rc.d/init.d/iptables save
這樣就可以寫到 /etc/sysconfig/iptables 文件里了.寫入后記得把防火墻重起一下,才能起作用.
# service iptables restart
現(xiàn)在IPTABLES配置表里什么配置都沒有了,那我們開始我們的配置吧

3.設(shè)定預(yù)設(shè)規(guī)則
# iptables -p INPUT DROP
# iptables -p OUTPUT ACCEPT
# iptables -p FORWARD DROP
上面的意思是,當(dāng)超出了IPTABLES里filter表里的兩個鏈規(guī)則(INPUT,FORWARD)時,不在這兩個規(guī)則里的數(shù)據(jù)包怎么處理呢,那就是DROP(放棄).應(yīng)該說這樣配置是很安全的.我們要控制流入數(shù)據(jù)包

而對于OUTPUT鏈,也就是流出的包我們不用做太多限制,而是采取ACCEPT,也就是說,不在著個規(guī)則里的包怎么辦呢,那就是通過.

可以看出INPUT,FORWARD兩個鏈采用的是允許什么包通過,而OUTPUT鏈采用的是不允許什么包通過.

這樣設(shè)置還是挺合理的,當(dāng)然你也可以三個鏈都DROP,但這樣做我認(rèn)為是沒有必要的,而且要寫的規(guī)則就會增加.但如果你只想要有限的幾個規(guī)則是,如只做WEB服務(wù)器.還是推薦三個鏈都是DROP.
注:如果你是遠(yuǎn)程SSH登陸的話,當(dāng)你輸入第一個命令回車的時候就應(yīng)該掉了.因為你沒有設(shè)置任何規(guī)則.
怎么辦,去本機(jī)操作唄!

4.添加規(guī)則.
首先添加INPUT鏈,INPUT鏈的默認(rèn)規(guī)則是DROP,所以我們就寫需要ACCETP(通過)的鏈

為了能采用遠(yuǎn)程SSH登陸,我們要開啟22端口
# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
注:這個規(guī)則,如果你把OUTPUT 設(shè)置成DROP的就要寫上這一部,好多人都是望了寫這一部規(guī)則導(dǎo)致,始終無法SSH.在遠(yuǎn)程一下,是不是好了.

其他的端口也一樣,如果開啟了web服務(wù)器,OUTPUT設(shè)置成DROP的話,同樣也要添加一條鏈:
# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT
其他同理.

如果做了WEB服務(wù)器,開啟80端口
# iptables -A INPUT -p tcp --dport 80 -j ACCEPT

如果做了郵件服務(wù)器,開啟25,110端口
# iptables -A INPUT -p tcp --dport 110 -j ACCEPT
# iptables -A INPUT -p tcp --dport 25 -j ACCEPT

如果做了FTP服務(wù)器,開啟21端口
# iptables -A INPUT -p tcp --dport 21 -j ACCEPT
# iptables -A INPUT -p tcp --dport 20 -j ACCEPT

如果做了DNS服務(wù)器,開啟53端口
# iptables -A INPUT -p tcp --dport 53 -j ACCEPT

如果你還做了其他的服務(wù)器,需要開啟哪個端口,照寫就行了.
上面主要寫的都是INPUT鏈,凡是不在上面的規(guī)則里的,都DROP

允許icmp包通過,也就是允許 ping
# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT設(shè)置成DROP的話)
# iptables -A INPUT -p icmp -j ACCEPT (INPUT設(shè)置成DROP的話)

允許loopback!(不然會導(dǎo)致DNS無法正常關(guān)閉等問題)
# iptables -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP)
# iptables -A OUTPUT -o lo -p all -j ACCEPT(如果是OUTPUT DROP)

下面寫OUTPUT鏈,OUTPUT鏈默認(rèn)規(guī)則是ACCEPT,所以我們就寫需要DROP(放棄)的鏈.

減少不安全的端口連接
# iptables -A OUTPUT -p tcp --sport 31337 -j DROP
# iptables -A OUTPUT -p tcp --dport 31337 -j DROP
有些些特洛伊木馬會掃描端口31337到31340(即黑客語言中的 elite 端口)上的服務(wù)。既然合法服務(wù)都不使用這些非標(biāo)準(zhǔn)端口來通信,阻塞這些端口能夠有效地減少你的網(wǎng)絡(luò)上可能被感染的機(jī)器和它們的遠(yuǎn)程主服務(wù)器進(jìn)行獨立通信的機(jī)會
還有其他端口也一樣,像:31335、27444、27665、20034 NetBus、9704、137-139（smb）,2049(NFS)端口也應(yīng)被禁止,我在這寫的也不全,有興趣的朋友應(yīng)該去查一下相關(guān)資料.

當(dāng)然出入更安全的考慮你也可以包OUTPUT鏈設(shè)置成DROP,那你添加的規(guī)則就多一些,就像上邊添加
允許SSH登陸一樣.照著寫就行了.

下面寫一下更加細(xì)致的規(guī)則,就是限制到某臺機(jī)器

如:我們只允許192.168.0.3的機(jī)器進(jìn)行SSH連接
# iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT
如果要允許,或限制一段IP地址可用 192.168.0.0/24 表示192.168.0.1-255端的所有IP.
24表示子網(wǎng)掩碼數(shù).但要記得把 /etc/sysconfig/iptables 里的這一行刪了.
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 因為它表示所有地址都可以登陸.
或采用命令方式:
# iptables -D INPUT -p tcp --dport 22 -j ACCEPT
然后保存,我再說一邊,反是采用命令的方式,只在當(dāng)時生效,如果想要重起后也起作用,那就要保存.寫入到/etc/sysconfig/iptables文件里.
# /etc/rc.d/init.d/iptables save
這樣寫 !192.168.0.3 表示除了192.168.0.3的ip地址
其他的規(guī)則連接也一樣這么設(shè)置.

在下面就是FORWARD鏈,FORWARD鏈的默認(rèn)規(guī)則是DROP,所以我們就寫需要ACCETP(通過)的鏈,對正在轉(zhuǎn)發(fā)鏈的監(jiān)控.

開啟轉(zhuǎn)發(fā)功能,(在做NAT時,FORWARD默認(rèn)規(guī)則是DROP時,必須做)
# iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
# iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT

丟棄壞的TCP包
#iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP

處理IP碎片數(shù)量,防止攻擊,允許每秒100個
#iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT

設(shè)置ICMP包過濾,允許每秒1個包,限制觸發(fā)條件是10個包
#iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT

我在前面只所以允許ICMP包通過,就是因為我在這里有限制.
二、配置一個NAT表放火墻

1. 查看本機(jī)關(guān)于NAT的設(shè)置情況
# iptables -t nat -L

??? Chain PREROUTING (policy ACCEPT)
??? target prot opt source destination
??? Chain POSTROUTING (policy ACCEPT)
??? target prot opt source destination
??? SNAT all -- 192.168.0.0/24 anywhere to:211.101.46.235
??? Chain OUTPUT (policy ACCEPT)
??? target prot opt source destination

我的NAT已經(jīng)配置好了的(只是提供最簡單的代理上網(wǎng)功能,還沒有添加防火墻規(guī)則).關(guān)于怎么配置NAT,參考我的另一篇文章
當(dāng)然你如果還沒有配置NAT的話,你也不用清除規(guī)則,因為NAT在默認(rèn)情況下是什么都沒有的

如果你想清除,命令是
# iptables -F -t nat
# iptables -X -t nat
# iptables -Z -t nat

2. 添加規(guī)則
添加基本的NAT地址轉(zhuǎn)換,(關(guān)于如何配置NAT可以看我的另一篇文章)
添加規(guī)則,我們只添加DROP鏈.因為默認(rèn)鏈全是ACCEPT.

防止外網(wǎng)用內(nèi)網(wǎng)IP欺騙
# iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP
# iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP
# iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP

如果我們想,比如阻止MSN,QQ,BT等的話,需要找到它們所用的端口或者IP,(個人認(rèn)為沒有太大必要)
例：
禁止與211.101.46.253的所有連接
# iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP

禁用FTP(21)端口
# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DROP
這樣寫范圍太大了,我們可以更精確的定義.
# iptables -t nat -A PREROUTING -p tcp --dport 21 -d 211.101.46.253 -j DROP
這樣只禁用211.101.46.253地址的FTP連接,其他連接還可以.如web(80端口)連接.

按照我寫的,你只要找到QQ,MSN等其他軟件的IP地址,和端口,以及基于什么協(xié)議,只要照著寫就行了.

最后：
drop非法連接
# iptables -A INPUT -m state --state INVALID -j DROP
# iptables -A OUTPUT -m state --state INVALID -j DROP
# iptables-A FORWARD -m state --state INVALID -j DROP

允許所有已經(jīng)建立的和相關(guān)的連接
# iptables-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# /etc/rc.d/init.d/iptables save
這樣就可以寫到/etc/sysconfig/iptables文件里了.寫入后記得把防火墻重起一下,才能起作用
# service iptables restart
別忘了保存，不行就寫一部保存一次．你可以一邊保存，一邊做實驗，看看是否達(dá)到你的要求

本文轉(zhuǎn)自 lover00751CTO博客，原文鏈接：http://blog.51cto.com/wangwei007/1095790，如需轉(zhuǎn)載請自行聯(lián)系原作者

總結(jié)

以上是生活随笔為你收集整理的Linux iptables 配置详解的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。

上一篇：为什么会梦到和男友亲热
下一篇：（马世龙）Linux下CACTI完全搭建