第五章：iptables应用案例分析（客户端上设置iptables）

一、客户端/络端上的iptables的设置

1、查看终端的iptables服务状态

1）查看iptables服务状态
service iptables status
注意：由于iptables是通过模块的方式载入内核的，如果相应的模块没有启动，那么iptables服务肯定没有启动（具体查看/etc/init.d/iptables文件）
lsmod | grep 'tables'

 

2）设置启动linux系统时，让iptables服务自动启动
chkconfig  iptables off
chkconfig  --level 3 iptables on
reboot

2、设置终端的iptables服务（DNS、lo 、ssh、icmp、httpd）

1）查看
#查看filter表的设置情况
iptables   -t   filter  -L
#清空filter表上的所有规则
iptables   -t   filter  -F
#让filter表的数据包计数器和流量计数器归零
iptables   -t   filter  -Z

2）设置

#允许其它主机连接本终端的SSH服务（本终端为：SSH服务器）
iptables   -t   filter  -A  INPUT  -p  tcp   --dport  22  -j  ACCEPT
iptables   -t   filter  -A  OUTPUT  -p  tcp  --sport  22  -j  ACCEPT

#允许本终端连接远程主机的SSH服务（本终端为：SSH客户端）
iptables   -t   filter  -A  INPUT  -p  tcp  --sport   22   -j   ACCEPT
iptables   -t   filter  -A  OUTPUT  -p  tcp  --dport   22   -j   ACCEPT

#设置终端本地回环通行（因为本地回环地址：127.0.0.1，它提供了很多的服务，可通过netstat -autnlp查看）
iptables   -t   filter  -A  INPUT  -i  lo    -j   ACCEPT
iptables   -t   filter  -A  OUTPUT  -o  lo    -j   ACCEPT

#允许本终端发送和接收ICMP数据包（ping指令）
iptables   -t   filter  -A  INPUT  -p  icmp  -j   ACCEPT
iptables   -t   filter  -A  OUTPUT  -p  icmp  -j   ACCEPT

#允许本终端发送和接收DNS数据包（本终端为：DNS客户端）
iptables   -t   filter  -A  OUTPUT  -p  udp  --dport  53   -j   ACCEPT
iptables   -t   filter  -A  INPUT  -p  udp  --sport  53   -j   ACCEPT

#允许本终端发送和接收httpd数据包（本终端为：web客户端）
iptables    -t   filter   -A   INPUT   -p   tcp   --sport   80   -j   ACCEPT
iptables    -t   filter   -A   OUTPUT  -p   tcp  --dport  80  -j   ACCEPT

#改变默认的策略规则（注意：一定要先设置上面的那些服务（特别是：SSH服务），再修改默认规则）
iptables   -t   filter  -P  INPUT  DROP
iptables   -t   filter  -P  OUTPUT DROP
iptables   -t   filter  -P  FORWARD DROP

3）保存

#设置相关的规则后，查看一下filter表的设置盛况
iptables   -t   filter   -L   -n  --line-numbers

#保存设置
第一种方法： service  iptables  save（注意：它把当前的设置保存到/etc/sysconfig/iptables配置文件里）
第二种方法： iptables-save  > /etc/sysconfig/iptables（呵呵！其实可以直接修改/etc/sysconfig/iptables文件来达到修改规则）
注意：iptables-save可以保存当前的设置到一个文件中，以方便再次使用，例如： iptables-save > iptables-config

#如果设置丢失时，可以使用iptables-restore还原配置（前提：以前必须有备份配置）
iptables-restore < iptables-config

建议：在做防火墙规则时，首先在本地的实验的机子做好测试，然后使用iptables-save把策略保存成一个文件，最后再拷贝并运用到真实的服务器上