鸟哥的服务器10 防火墙

最新推荐文章于 2023-04-11 22:44:28 发布
最新推荐文章于 2023-04-11 22:44:28 发布
阅读量408 收藏 1
点赞数
分类专栏： linux服务器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kevinhanser/article/details/88932208
版权

  1. TCP Wrappers

    TCP Wrappers 是通过两个文件来管理的一个类似防火墙的机制

    /etc/hosts.allow
    /etc/hosts.deny
    并非所有的软件都可以通过这两个文件来管理，只有下面这两个软件才可以通过这两个文件来管理防火墙规则：
    有 super daemon（xinetd） 所管理的服务
    支持 libwrap.so 模块的服务

    # 查出系统有没有安装xinetd ，若没有请安装，安装完毕后，查询 xinitd 管理的服务有哪些。
[root@CentOS ~]# yum install xinetd
[root@CentOS ~]# chkconfig xinetd on
[root@CentOS ~]# chkconfig --list
	chargen-stream:	off
	daytime-dgram: 	off
	daytime-stream:	off
	discard-dgram: 	off
	discard-stream:	off
	echo-dgram:    	off
	echo-stream:   	off
	rsync:         	off
	tcpmux-server: 	off
	time-dgram:    	off
#上述都可以由 TCP Wrappers 来简易设置防火墙规则

# 请问，rsyslogd、sshd、xinetd、httpd（若服务不存在，请自行安装），这四个程序有没有支持 TCP Wrapers 的阻挡功能
[root@CentOS ~]# ldd $(which rsyslogd sshd inetd httpd) #输出结果比较复杂，需要自己来看


[root@CentOS ~]# for name in rsyslogd sshd xinetd httpd; do echo $name; ldd $(which $name) | grep libwrap; done
rsyslogd
sshd
	libwrap.so.0 => /lib64/libwrap.so.0 (0x00007f6204e8b000)
xinetd
	libwrap.so.0 => /lib64/libwrap.so.0 (0x00007fc8102cf000)
httpd
#如果出现 libwrap 文件名的话，代表找到了该函数库，并支持 TCP Wrappers。所以，sshd、xinetd 支持，但是rsyslogd、httpd在这两个程序不支持。也就是说，httpd与rsyslogd 不能够使用 /etc/hosts/{allow|dent} 来进行防火墙机制的控制

  2. /etc/hosts.{allow|dent} 的设置方式

    #语法
<service(program_name)> : <IP, domain, hostname>
<服务 （也就是程序名称）> ： （IP 或 域 或主机名>
# 上面的><符号不存在与配置文件中

    防火墙规则的顺序：
    1 . 先以 /etc/hosts.allow 进行优化比对，该规则符合就给予以放行
    2 . 再以 /etc/hosts.deny 比对，规则符合就予以抵挡
    3 . 若不在这两个文件内，亦即规则都不符合，最终则予以放行

    # 先放开本机的 127.0.0.1 可以进行任何本机的服务，然后，让局域网（192.168.1.0/24） 可以使用rsysc，同事10.0.0.100 页能够使用rsysc，但其他来源不允许使用rsysc。
[root@CentOS ~]# cat /etc/xinetd.d/rsync 
# default: off
# description: The rsync server is a good addition to an ftp server, as it \
#	allows crc checksumming etc.
service rsync
{
	disable	= yes
	flags		= IPv6
	socket_type     = stream
	wait            = no
	user            = root
	server          = /usr/bin/rsync  #rsysc 的服务启动的文件名。文件名为rsysc
	server_args     = --daemon
	log_on_failure  += USERID
}

# 因为 rsysc 的服务启动的文件名为rsysc。所以应该这样设置：
[root@CentOS ~]# vim /etc/hosts.allow
ALL: 127.0.0.1
rsysc: 192.168.1.0/255.255.255.0 10.0.0.100  #不支持192.168.1.0/24这种写法

[root@CentOS ~]# vim /etc/hosts.deny 
rsysc: ALL

  3. iptables：linux 的数据包过滤软件

    根据数据包的分析资料“对比”预先定义的规则内容，若数据包数据与规则内容相同则进行动作，否则就继续下一条规则的比对
    如果规则都不符合，则执行默认策略
    默认情况下。linux的iptables至少就有3个表格，包括管理本机进出的Filter、管理后端主机（防火墙内部的其他计算机）的NAT、管理特殊标志使用的,angle（较少使用）。

    • Filter（过滤器）：主要跟进入Linux本机的数据包有关，是默认的 table
      INPUT：主要与想要进入linux本机的数据包有关
      OUTPUT：主要与linux本机发炒股的数据包有关
      FORWARF：与linux本机没有关系，与NAT的 table 的相关性较高
    • NAT（地址转换）：主要用来进行来源于目的地的IP或port的转换，与linux本机无关，主要与linux主机后的局域网内计算机相关
      PREROUTING：在进行路由判断之前所要进行的规则（DNAT/REDIRECT）
      POSTROUTING：在进行路由判断之前所要进行的规则（SNAT/MASQUERADE）
      OUTPUT：与发送出去的数据包有关
    • Mangle（破坏者）：主要是与特殊的数据包烦人路由标志有关。

  4. 规则的查看与清除

    1 . 查看规则

    [root@CentOS ~]# iptables [-t tables] [-L] [-nv]
-L：列出目前的规则
-n：不进行 IP 与 HOSTNAME 的反查，显示信息的速度会快很多
-v：列出更多信息


    # 列出 filter table 的规则
[root@CentOS ~]# iptables -L -n
Chain INPUT (policy ACCEPT)  #INPUT链
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain FORWARD (policy ACCEPT) #FORWARD链
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited 

Chain OUTPUT (policy ACCEPT)  #OUTPUT链
target     prot opt source               destination 

# 列出 nat table 的规则
[root@CentOS ~]# iptables -t nat -L -n
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

    target：代表进行的操作
    prot：代表使用的数据包协议
    opt：额外的说明
    source：代表此规则是针对哪个来源IP进行限制
    destination：代表此规则是针对哪个目标IP进行限制

    # 查看完整的防火墙规则
[root@CentOS ~]# iptables-save [-t table]
[root@CentOS ~]# iptables-save
# Generated by iptables-save v1.4.7 on Wed Apr  5 08:30:35 2017
*nat
:PREROUTING ACCEPT [17:1637]
:POSTROUTING ACCEPT [1:60]
:OUTPUT ACCEPT [1:60]
COMMIT
# Completed on Wed Apr  5 08:30:35 2017
# Generated by iptables-save v1.4.7 on Wed Apr  5 08:30:35 2017
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1909:187403]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p icmp -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT 
-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 
COMMIT
# Completed on Wed Apr  5 08:30:35 2017

    2 . 清除规则

    [root@CentOS ~]# iptables [-t tables] [-FXZ]	
-F：清除所有的已制订的规则
-X：除掉所有用户自动以的链
-Z：将所有的链的计数与流量统计都归零


    # 清除本机防火墙的所有规则
[root@CentOS ~]# iptables -F
[root@CentOS ~]# iptables -X
[root@CentOS ~]# iptables -Z	
# 会清除所有规则，但不会改变默认策略

  5. 定义默认策略
    当数据包不在规则之内时，则该数据包的通过与否，是以默认策略为准

    [root@CentOS ~]# iptables [-t nat] [INPUT,OUTPUT,FORWARD] [ACCEPT,DROP]
-P：定义默认策略
ACCEPT：数据包可接受
DROP：该数据包直接丢弃

# 将本机的 INPUT 设置为 DROP， 其他设置为 ACCEPT
[root@CentOS Desktop]# iptables -P INPUT DROP
[root@CentOS Desktop]# iptables -P OUTPUT ACCEPT
[root@CentOS Desktop]# iptables -P FORWARD ACCEPT
[root@CentOS Desktop]# iptables-save
# Generated by iptables-save v1.4.7 on Wed Apr  5 08:54:50 2017
*nat
:PREROUTING ACCEPT [70:6483]
:POSTROUTING ACCEPT [4:682]
:OUTPUT ACCEPT [4:682]
COMMIT
# Completed on Wed Apr  5 08:54:50 2017
# Generated by iptables-save v1.4.7 on Wed Apr  5 08:54:50 2017
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT
# Completed on Wed Apr  5 08:54:50 2017

  6. 数据包的基础对比：IP、网络及接口设备

    [root@CentOS ~]# iptables [AI 链名] [-io 网络接口] [-p 协议] [-s 来源 IP/网络] [-d 目标IP/网络] -j [ACCEPT|DROP|REJECT|LOG]
-AI：准对某条链进行规则的插入或累加
-io：网络接口，进或出
-P 协议：设置此规则适用于哪种数据包格式
-s 来源：来源IP/网络 
-d：目标 IP/网络
-j：后面接操作


    # 设置 lo 成为受信任的设备，亦即进出 lo 的数据包都予以接受
[root@CentOS ~]# iptables -A INPUT -i lo -j ACCEPT

# 只要是来自内网的192.168.100.0/24 的数据包统统接受
[root@CentOS ~]# iptables -A INPUT -i eth1 -s 192.168.100.0/24 -j ACCEPT

# 只要是来自192.168.100.10 就接受，但来自192.168.100.230这个来源的就丢弃
[root@CentOS ~]# iptables -A INPUT -i eth1 -s 192.168.100.10 -j ACCEPT
[root@CentOS ~]# iptables -A INPUT -i eth1 -s 192.168.100.130 -j DROP

# 查看详细规则
[root@CentOS ~]# iptables-save
# Generated by iptables-save v1.4.7 on Wed Apr  5 09:20:57 2017
*nat
:PREROUTING ACCEPT [132:12351]
:POSTROUTING ACCEPT [25:2813]
:OUTPUT ACCEPT [25:2813]
COMMIT
# Completed on Wed Apr  5 09:20:57 2017
# Generated by iptables-save v1.4.7 on Wed Apr  5 09:20:57 2017
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT 
-A INPUT -s 192.168.100.0/24 -i eth1 -j ACCEPT 
-A INPUT -s 192.168.100.10/32 -i eth1 -j ACCEPT 
-A INPUT -s 192.168.100.203/32 -i eth1 -j DROP 
COMMIT
# Completed on Wed Apr  5 09:20:57 2017


    # 记录想要记录的某个规则的记录（写入内核日志文件）
[root@CentOS ~]# iptables -A INPUT -s 192.168.2.200 -j LOG
[root@CentOS ~]# iptables -L -n

  7. TCP、UDP 的规则比对：针对端口设置

    [root@CentOS ~]# iptables [-AI 链] [-io 网络接口] [-P tcp,udp] [-s 来源IP/网络] [--sport 端口范围] [-d 目标IP/网络] [--dport 端口范围] -j [ACCEPT|DROP|REJECT]
--sport 端口范围：限制来源端口号码，端口号码可以是连续的，例如 1024:65535


    # 因为仅有TCP与UDP数据包具有端口号，因此要想使用--dport和--sport时，需要加上-P tcp 或-P udp 的参数才会成功。
# 想要连接进入本机 port 21 的数据包都阻挡掉
[root@CentOS Desktop]# iptables -A INPUT -i eth0 -p tcp --dport 21 -j DROP

# 相连到本机的网上邻居（udp port 137,138  tcp port 139,445）就放行
[root@CentOS ~]# iptables -A INPUT -i eth0 -p udp --dport 137:138 -j ACCEPT
[root@CentOS ~]# iptables -A INPUT -i eth0 -p tcp --dport 139 -j ACCEPT
[root@CentOS ~]# iptables -A INPUT -i eth0 -p tcp --dport 445 -j ACCEPT

# 只要来自 192.168.1.0/24 的1024:65535 端口的数据包，且想要连接到本机的ssh port 就给予阻挡
[root@CentOS ~]# iptables -A INPUT -i eth0 -p tcp -s 192.168.1.0/24 --sport 1024:65535 --dport ssh -j DROP

# 将来自任何地方来源 port 1:1023 的主动连接到本机的1:1023连接丢弃
[root@CentOS ~]# iptables -A INPUT -i eth0 -p tcp --sport 1:1023 --dport 1:1023 --syn -j DROP

#

  8. iptables外挂模块：mac与state

    [root@CentOS ~]# iptables -A INPUT [-m state] [[state 状态]
-m：一些iptables 的外挂模块，state或mac
--state：一些数据包状态
	INVALID：无效的数据包
	ESTABLISHED：已经成功连接的状态
	NEW：想要新建立的数据包状态
	RELATED：表示数据包与主机发送出去的数据有关

```
```
# 只要已建立连接或已发出请求的数据包就予以通过，不合法数据包就丢弃
[root@CentOS ~]# iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
[root@CentOS ~]# iptables -A INPUT -m state --state INVALID -j ACCEPT

# 针对局域网的 aa:bb:cc:dd:ee:ff 主机开放其连接
[root@CentOS ~]# iptables -A INPUT -m mac --mac-source aa:bb:cc:dd:ee:ff -j ACCEPT

  9. ICMP 数据包规则的比对：准对是否响应ping来设计

    [root@CentOS ~]# iptables -A INPUT [-p icmp] [–icmp-type 类型] [-j ACCEPT
    –icmp-typpe：后面必须接ICMP 的数据包类型，也可以使用代号，8是回显请求

    让0,3,4,11,12,14,16,18 的 ICMP type 可以进入本机

    [root@CentOS ~]# vim somefile
    #!/bin/bash
    icmp_type=“0 3 4 11 12 14 16 18”
    for typeicmp in $icmp_type
    do
    iptables -A INPUT -i eth0 -p icmp --icmp-type $typeicmp -j ACCEPT
    done
    [root@CentOS ~]# chmod +x somefile
    [root@CentOS ~]# sh somefile

  10. 超简单的客户端防火墙设计与防火墙规则存储

    如果将Linix主机作为客户端且不提供网络服务时，应该图和设计防火墙：

    1 . 规则清零：iptables -F
    2 . 默认策略,将INPUT设为DROP，其他ACCEPT
    3 . 信任本机,lo必须设置为信任设备
    4 . 回应数据包让本机通过主动向外发出请求而相应的数据可以进入本机（ESTABLISHED,RELATED）
    5 . 信任用户

       # 使用脚本来设置
   [root@CentOS ~]# vim firewall.sh
   #!/bin/bash
   PATH=/sbin:/bin:/usr/sbin:/usr/bin; export PATH
   # 1.  清除规则
   iptables -F
   iptables -X
   iptables -Z
   # 2.  设置策略
   iptables -P INPUT DROP
   iptables -P OUTPUT ACCEPT
   iptables -P FORWARD ACCEPT
   # 3~5 制订各项规则
   iptables -A INPUT -i lo -j ACCEPT
   iptables -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
   #iptables -A INPUT -i eth0 -s 192.168.1..0/24 -j ACCEPT
   # 6.  写入防火墙规则配置文件
   /etc/init.d/iptables save

   [root@CentOS ~]# ./firewall.sh 
   iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]

   #chkconfig --listiptables。如果不写脚本直接修改/etc/sysconfig/iptables也可以
   #若要让这次修改的各种设置在下次开机时还保存，那就需要对/etc/init.d/iptables save这个命令加参数

  11. IPv4 的内核管理功能：/etc/sys/net/ipv4/*

    1 . /proc/sys/net/ipv4/tcp_syncookies：预防SYN泛洪攻击，可以启用内核SYN Cookie模块。
    当启动SYN Cookie 时，主机在发送SYN/ACK确认包前，会要求Client 端在短时间内回复一个序号买这个序号包含许多原SYN数据包的信息，包括IP ‘port等。多Client端可以回复一个正确的序号，俺么主机就确定该数据包为可信的，因此会发送SYN/ACK数据包，否则就不理会此数据包

    # 启动SYN Cookie模块(会造成某些服务延迟)。
[root@CentOS ~]# echo "1" > /proc/sys/net/ipv4/tcp_syncookies

    2 . /peoc/sys/net/icmp_echo_ignore_broadcasts：预防ping of death 攻击，可以取消ICMP类型8的回显就是了。

       某些局域网内的常见的服务（例如DHCP）会使用ping的方式来侦测是否有重复的IP，所以最好不要取消所有的ping响应
   /proc/sys/net/ipv4内的icmp_echo_ignore_broadcasts：仅有ping broadcast 地址时才取消ping的回应
   /proc/sys/net/ipv4内的icmp_echo_all：全部的ping都不回应

    [root@CentOS ~]# echo "1" > /proc/sys/net/ipv4icmp_echo_ignore_broadcasts

    3 . /proc/sys/net/ipv4/conf/网络接口/*
    rp_filter：逆向路径过滤
    log_martians：可以用来启动记录不合法的IP来源的功能
    accept_source_route
    accept_redirects
    send_redirects：发送一个ICMP redirect数据包

    # 可以使用echo 1 > /proc/sys/net/ipv4/conf/网络接口/rp.filter
# 建议修改配置文件
[root@CentOS ~]# vim /etc/sysctl.conf
net.ipv4.tcp_syncookies = 1
net.ipv4.icmp_echo_ignore_broadcast = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.cong .default.rp_filter = 1
net.ipv4.conf.eth0.rp_filter = 1
net.ipv4.conf.lo.rp_filter = 1

[root@CentOS ~]# sysctl -p

  12. 设置单机防火墙的一个实例

    规则草拟
    外网网卡eth0
    内网网卡eth1，切内部使用192.168.100.0/24网段
    主机，默认开放的服务有WWW,SSH,HTTPS
    filter table 默认策略：INPUT DROP，OUPUT ACCEPT, FORWARD ACCEPT

    # 将整个脚本分为3部分：
# iptable.rule：设置最基本的规则
# iptables.deny：设置阻挡
# iptables.allow：设置放行


    [root@CentOS ~]# mkdir -p /usr/local/virus/iptables
[root@CentOS ~]# cd /usr/local/virus/iptables
[root@CentOS iptables]# vim iptables.rule
#!/bin/bash

# 请先输入相关参数，不要输入错误
EXTIF="eth0"  # 这个是可以来你上public ip 的网络接口
INIF="eth1"   #内部LAN 的网络连接，若无则写成 INIF=""
INNET="192.168.100.0/24"   # 若无内网络接口，请填写 INNET=""
export EXTIF INIF INNEF 

# 第一部分，针对本机的防火墙设置
# 1 . 先设置好内核的网络功能
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
echo "1" > /proc/sys/net/ipv4icmp_echo_ignore_broadcasts
for i in /proc/sys/net/ipv4/conf/*/{rp_filter,log_martians}; do
	echo "1" > $i
done
for i in /proc/sys/net/ipv4/conf/*/{accept_source_route,accept_redirects,send_redirects}; do
	echo "0" > $i
done

# 2 . 清除规则、设置默认策略及开放 lo 与相关的设置值
PATH=/sbin:/usr/sbin:/bin:/usr/bin:/usr/local/sbin:/usr/local/bin; export PATH
iptables -F
iptables -X
iptables -Z
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FPRWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -nm state -state RELATED,ESTABLISHED -j ACCEPT

# 3 . 启动额外的防火墙script模块
if [ -f /usr/local/virus/iptables/iptables.deny ]; then
	sh /usr/local/virus/iptables/iptables.deny
fi 
if [ -f /usr/local/virus/iptables/iptables.allow ]; then 
	sh /usr/local/virus/iptables/iptables.allow
fi
if [ -f /usr/local/virus/iptables/iptables.http ]; then 
	sh  /usr/local/virus/iptables/iptables.http
fi

# 4 . 允许某些类型的 ICMP 数据包进入

AICMP ="0 3 3/4 11 12 14 16 18"
for tyicmp in $AICMP
do 
	iptables -A INPUT -i #EXTIF -p icmp --icmp-type $tyicmp -j ACCEPT
done

# 5 . 允许某些服务的进入，，请依照自己的环境开启
# iptables -A INPUT -p TCP -i $EXTIF --dport 21 --sport 1024:65535 -j ACCEPT # FTP
# iptables -A INPUT -p TCP -i $EXTIF --dport 22 --sport 1024:65535 -j ACCEPT # SSH
# iptables -A INPUT -p TCP -i $EXTIF --dport 25 --sport 1024:65535 -j ACCEPT # SMTP
# iptables -A INPUT -p TCP -i $EXTIF --dport 53 --sport 1024:65535 -j ACCEPT # DNS
# iptables -A INPUT -p TCP -i $EXTIF --dport 53 --sport 1024:65535 -j ACCEPT # DNS
# iptables -A INPUT -p TCP -i $EXTIF --dport 80 --sport 1024:65535 -j ACCEPT # WWW
# iptables -A INPUT -p TCP -i $EXTIF --dport 110 --sport 1024:65535 -j ACCEPT # POP3
# iptables -A INPUT -p TCP -i $EXTIF --dport 443 --sport 1024:65535 -j ACCEPT # HTTPS

# 第二部分，针对后端主机的防火墙设置
# 1 . 先加载一些有用的模块
modules="ip_tables iptables_nat ip_nat_ftp ip_nat-irc ip_conntrack ip_conntrack_ftp ip_conntrack_irc"
for mod in $modules
do
	testmod=`lsmod | grep "^${mod} " | awk '{print $1}'`
	if [ "$testmod" == "" ]; then
		modprobe $mod
	fi
	
# 2 . 清除 NAT table 的规则
iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

# 3 . 若有内部接口的存在（双网卡）开放成为路由器，且为IP分享器
if [ "$INIF" != "" ]; then
	iptables -A INPUT -i $INIF -j ACCEPT
	echo "1" > /proc/sys/net/ipv4/ip_forward
		if [ "$INIET" != "" ]; then 
			for innet in $INNET
			do
				iptables -r nat -A POSTROUTING -s $innet -o $EXTIF -j MASQUERADE
			done
		fi
fi
# 如果你的 MSN 一直无法连接，或者是某些网站 OK 某些网站不 OK ，可能是 MTU 的问题，那可以将下面这行取消批注，来启动 MTU 的范围
iptables -A FORWARD -p tcp  -m tcp --tcp-flags STN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu

# 4 . NAT 服务器后端的 LAN 内对外值服务器设置
iptables -t nat -A PREROUTING -p tcp -i $EXTIF --dport 80 -j DNAT --tp-description 192.168.1.210:80   #WWW

# 5 . 特殊的功能，包括 windows 远程桌面产生的规则，假设桌面主机为 1.2.3.4
# iptables -t nat -A PREROUTING -p tcp -s 1.2.3.4 --dport 6000 -j DNAT --to-description 192.168.100.10
# iptables -t nat -A PREROUTING -p tcp -s 1.2.3.4 --sport 3389 -j DNAT --to-description 192.168.100.20

# 6 . 最后将这些功能存储下来
/etc/init.d/iptables save

    假设我要让140.116.44.0/24 这个网络的所有主机可以进入本机主机的话

    [root@CentOS iptables]# vim iptables.allow
#!/bin/bash
# 下面则填写允许进入本机的其他网络的主机或网络
iptables -A INPUT -i $EXTIF -s 140.116.44.0/24 -j ACCEPT

# 下面则是关于阻挡的文件设置法
[root@CentOS iptables]# vim iptables.deny 
#!/bin/bash
# 下面填写的是你要阻挡的那个东西
iptables -A INPUT -i $EXTIF -s 140.116.44.254 -j DEOP

[root@CentOS iptables]# chmod 700 iptables.*


# 设置开机启动
[root@CentOS iptables]# vim /etc/re.d/rc.local
# 1 . Firewall
/usr/local/virus/iptables/iptables.rule
网络安全打工人
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
鸟哥服务器架设
07-11
鸟哥服务器架设
系统内核参数配置
Cookie_1030的专栏
03-24 680
cp -p /proc/sys/net/ipv4/conf/all/accept_redirects /proc/sys/net/ipv4/conf/all/accept_redirects.bak sysctl -w net.ipv4.conf.all.accept_redirects="0"
linux开启内部路由转发、关闭ICMP重定向功能
热门推荐
wangfei111g的博客
07-20 1万+
一、开启路由转发 转自http://blog.51cto.com/zouqingyun/1697571 一组内部机器需要连接外网，则需要找一台机器，即可以连接外网，内网机器也可以连接。 因此将这台外网机器当做路由器，做路由转发 1、在需要做路由转发的机器上执行下面命令 1  [root@shx ~]# echo 1 &gt; /proc/sys/net/ip...
linux下网络问题定位利器log_martians
weixin_33974433的博客
06-12 538
为什么80%的码农都做不了架构师？>>> ...
基线管理之Centos安全配置
Lu__xiao的博客
12-13 1503
1、检查不用的连接 ip link show up 2、关闭IP转发 先查看ip转发配置 sysctl net.ipv4.ip_forward 3、关闭数据包重定向 查看数据包重定向设置 sysctl net.ipv4.conf.all.send_redirects 查看发现为1，可以使用下面命令改为0 sysctl -w net.ipv4.conf.all.send_redirects=0 4、开启SYN cookies 查看syn cookies配置 sysc..
LVS/DR实战篇 (三）
bpb_cx的博客
08-10 729
一、LVS/DR的工作原理 1. 重将请求报文的目标MAC地址设定为挑选出的RS的MAC地址  当用户请求到达Director Server，此时请求的数据报文会先到内核空间的PREROUTING链。 此时报文的源IP为CIP，目标IP为VIP  PREROUTING检查发现数据包的目标IP是本机，将数据包送至INPUT链  IPVS比对数据包请求的服务是否为集群服务，若是，将请求报文...
鸟哥linux私房菜-服务器版 3版
07-19
鸟哥linux私房菜-服务器版 3版 vbird-linux-server-3e.pdf
鸟哥linux服务器架设篇
02-02
鸟哥linux服务器架设篇 mobi 鸟哥linux服务器架设篇 mobi
鸟哥linux私房菜_基础篇+服务器篇(全)
10-31
鸟哥linux私房菜，分为linux基础篇和服务器篇，并且在豆瓣评分9.1分以上，欢迎下载！
鸟哥Linux私房菜 基础篇+服务器篇（全）
03-27
鸟哥Linux私房菜 基础篇+服务器篇（全），Linux基础知识，shell脚本及搭建服务器相关，Linux神作。
rsysc同步服务器完整搭建步骤.zip
08-13
该资源是我搜断手踩坑无数完成rsysc同步服务器完整搭建步骤，希望能让大家少踩些坑。踩完坑了就上传。避免遗忘！如果存在什么纰漏忘斧正。谢谢支持！
DL-T-468-2004-电站锅炉风机选型和使用导则.pdf
10-19
DL-T-468-2004-电站锅炉风机选型和使用导则pdf,DL-T-468-2004-电站锅炉风机选型和使用导则
鸟哥服务器私房菜pdf+chm.zip
06-02
书籍默认解压密码 kevin.blog.csdn.net 没有积分联系博主获取。其中包含PDF以及CHM两种格式
linux 命令规定,linux命令技巧
weixin_42503446的博客
04-30 364
1、关于arp协议:关于arp命令，注意其中的Flags,如果是C,表示是动态的，但是如果使用arp -s 来绑定的话则是显示M，是静态所以后边每个侦都需要加入填充字符以达到以太网的最小长度要求60字节。大多数的bsd实现把完成tcp连接请求的时间限制设置为75秒。1byte=8bit2、关于tcpdump想输出点分十进制:tcpdump -n ***想输出mac地址:tcpdump -e ***...
log_martians
yunlianglinfeng的专栏
09-01 904
linux下有时候会出现很诡异的网络问题，往往都很难定位问题出在什么地方可以通过设置log_martians内核参数来查看一下log，帮助定位分析问题所在 echo 1 >/proc/sys/net/ipv4/conf//log_martians
LVS-DR实战案例
weixin_70228478的博客
10-16 580
（net.ipv4.ip_forward = 1 #开启路由功能net.ipv4.conf.all.send_redirects = 0 #禁止转发重定向报文net.ipv4.conf.ens33.send_redirects = 0 #禁止ens33转发重定向报文net.ipv4.conf.default.send_redirects = 0 #禁止转发默认重定向报文。
linux关闭网络重定向,Linux Centos7禁止转发ICMP重定向报文
weixin_29482557的博客
05-04 1849
加固建议: 在 /etc/sysctl.conf 或 /etc/sysctl.d/* 文件中设置以下参数：net.ipv4.conf.all.send_redirects = 0net.ipv4.conf.default.send_redirects = 0运行以下命令来设置活动的内核参数：$ sysctl -w net.ipv4.conf.all.send_redirects=0$ sysctl...
WAF(网络应用防火墙)是什么
最新发布
不会骑摩托的程序员不是好的摄影师
04-11 3779
1. WAF全称为 ( Web Application Firewall ) 网络应用防火墙，是一种HTTP入侵检测和防御系统 2. 传统的防火墙，处于网络分层的第三层或者第四层，用来过滤特定的ip地址和端口，而WAF则处于第七层应用层，可以看到应用层的报文内容。用来实现更加负责深入和细致的审核和过滤。
Linux安全基线（三）配置6小项
bigwood99的博客
09-27 4284
通过将net.ipv4.conf.all.accept_redirects和设置net.ipv6.conf.all.accept_redirects为0，系统将不接受任何ICMP重定向消息，因此，不允许外部人员更新系统的路由表。它的流行和实用性使基于USB的恶意软件成为网络渗透的一种简单而通用的手段。在网络中，源路由允许发送者部分或完全指定通过网络的路由数据包。相反，非源路由数据包将通过网络中的路由器确定的路径。在/etc/modprobe.d/目录中编辑或创建以.conf结尾的文件文件。
鸟哥的linux私房菜服务器
04-06
b'\xe9\xb8\x9f\xe5\x93\xa5\xe7\x9a\x84linux\xe7\xa7\x81\xe6\x88\xbf\xe8\x8f\x9c\xe6\x9c\x8d\xe5\x8a\xa1\xe5\x99\xa8' 的意思是“鸟哥的Linux私房菜服务器”，可能是一本书的标题，介绍如何搭建和管理Linux...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值