iptables（二）常用的示例

最新推荐文章于 2022-02-14 15:45:57 发布
最新推荐文章于 2022-02-14 15:45:57 发布
阅读量664 收藏
点赞数
分类专栏： iptables 文章标签： iptables常用实力
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/L835311324/article/details/82153382
版权

iptables（一）原理与常用的选项
在上面这篇文章，写了很多选项和格式，但是没有给出示例，在这里将会给出大量实例

试验环境
系统CentOS7
IP：192.168.253.128

链管理

  • 在filter表上自定义一条新链，链名IN_WEB
iptables -t filter -N IN_WEB
  • 重命名自定义的链，将IN_WEB改名为WEB，必须保证为空链。否则会失败
iptables -t filter -E IN_WEB WEB
  • 删除filter表上自定义链的WEB
iptables -t filter -X WEB
  • 设置filter表上FORWARD链默认策略为DROP
iptables -t filter -P FORWARD DROP
  • 清空用户自定义的所有空链
iptables -X

查看

查看filter表所有规则，要求1.以数字格式显示地址与端口号2.显示详细信息。3显示规则的序号

iptables -t filter -nvL --line-numbers

清空所有的防火墙规则

iptables -F

清空计数

iptables -Z

开启22端口

iptables -t filter -I INPUT -p tcp --dport 22 -j ACCEPT ##从22端口进来的数据包，都允许通过 
iptables -t filter -I OUTPUT -p tcp --sport 22 -j ACCEPT ##从22端口出去的数据包，都允许

设置白名单

白名单就是只有名单上的人才可以访问，黑名单就是除了名单上的，都可以访问。
我们可以用-P设置默认策略，默认策略一般是ACCEPT，我们假设一种场景，我们设置了22端口ACCEPT，这时候如果我们-P指定默认策略是DROP，这时候我们再一不小心iptables -F 清空了所有规则，这时候因为默认策略是DROP，并且规则已经被情况。所以默认就拒绝了所有链接。这时候我们就连不上去了。
所以我们可以用另一种方法设置白名单，iptables匹配条件的时候是至上而下。一条一条匹配，我们可以利用这个特性，在最后一条写拒绝所有链接。这样只要前面不匹配的，自然就到了最后一条，而最后一条是拒绝，也就做到了白名单的目的。而且有一个好处就是，这时候如果我们不小心-F清空所有规则，这时候因为默认策略是ACCEPT，所以我们还是连的上机器。

假设我们只允许22端口访问，其他全部拒绝

iptables -t filter -I INPUT -p tcp --dport 22 -j ACCEPT ##从22端口进来的数据包，都允许通过 
iptables -t filter -I OUTPUT -p tcp --sport 22 -j ACCEPT ##从22端口出去的数据包，都允许出去
iptables -t filter  -A OUTPUT  -p all --src 192.168.253.128  -j DROP  ##出去的数据包全部丢弃
iptables -t filter  -A INPUT  -p all --dst  192.168.253.128  -j DROP  ##进来的数据包全部丢弃

仅允许192.168.253.129主机访问80端口

iptables -I INPUT -p tcp --src 192.168.253.129 --dport 80 -j ACCEPT
iptables -I OUTPUT -p tcp --dst 192.168.253.129 --sport 80 -j ACCEPT

自己可以ping别人，不允许别人ping自己

ICMP是（Internet Control Message Protocol）Internet控制报文协议。它是TCP/IP协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用
ICMP报文主要通过icmp-type来标志报文类型
icmp-type有2部分组成 一部分是类型TYPE,另一部分是代码CODE

TYPECODEDescription
00Echo Reply——回显应答（Ping应答）
30Network Unreachable——网络不可达
31Host Unreachable——主机不可达
32Protocol Unreachable——协议不可达
33Port Unreachable——端口不可达
35Source routing failed——源站选路失败
36Destination network unknown——目的网络未知
37Destination host unknown——目的主机未知
38Source host isolated (obsolete)——源主机被隔离（作废不用）
39Destination network administratively prohibited——目的网络被强制禁止
310Destination host administratively prohibited——目的主机被强制禁止
311Network unreachable for TOS——由于服务类型TOS，网络不可达
312Host unreachable for TOS——由于服务类型TOS，主机不可达
313Communication administratively prohibited by filtering——由于过滤，通信被强制禁止
314Host precedence violation——主机越权
315Precedence cutoff in effect——优先中止生效
40Source quench——源端被关闭（基本流控制）
50 Redirect for network——对网络重定向
51Redirect for host——对主机重定向
52Redirect for TOS and network——对服务类型和网络重定向
53Redirect for TOS and host——对服务类型和主机重定向
80Echo request——回显请求（Ping请求）

常用的就是0和8 其中0表示回应，8表示请求

iptables -t filter -I INPUT -d 192.168.253.128 -p icmp --icmp-type 0 -j ACCEPT
iptables -t filter -I OUTPUT -s 192.168.253.128 -p icmp --icmp-type 8 -j ACCEPT
iptables -t filter  -A OUTPUT  -p all --src 192.168.253.128  -j DROP  
iptables -t filter  -A INPUT  -p all --dst  192.168.253.128  -j DROP

multiport扩展

同时开放多个端口，20,21,22,80

iptables -t filter -I INPUT -d  192.168.253.128 -p tcp  -m multiport --dport 20:22,80 -j ACCEPT
iptables -t filter -I OUTPUT -s 192.168.253.128 -p tcp -m multiport --sport 20:22,80 -j ACCEPT

iprange扩展

拒绝192.168.253.129-192.168.253.130主机访问

iptables -I INPUT -d 192.168.253.128 -p tcp --dport 80 -m iprange --src-range 192.168.253.129-192.168.253.130 -j REJECT

string扩展

可以利用httpd做一个实验
我们先写一个测试页 

echo "Hello" > /var/www/html/test.html

然后启动httpd服务

systemctl  start  httpd

然后我们访问试试
这里写图片描述
我们现在基于字符串进行过滤，只要存在Hello字符串的数据包就拒绝

iptables -A OUTPUT -s 192.168.253.128  -p tcp --sport 80 -m string --algo bm --string "Hello" -j REJECT

这时候我们在192.168.253.129主机上再次访问
这里写图片描述
这里就访问不到了

time扩展

每个星期，星期五星期六星期天的早上8点到下午18点访问192.168.253.128主机80端口的所有请求都丢弃

iptables -A INPUT    -d 192.168.253.128 -p tcp --dport 80 -m time --timestart 8:00 --timestop 18:00 --weekdays Fri,Sat,Sun --kerneltz -j DROP

connlimit扩展

限制21端口，大于2个连接时，后面的连接直接拒绝。

iptables -A INPUT -d 192.168.253.128 -p tcp --dport 21 -m connlimit --connlimit-above 2 -j REJECT

limit扩展

iptables -I INPUT  -d 192.168.253.128 -p icmp --icmp-type 8 -m limit --limit-burst 5 --limit 20/minute -j ACCEPT  ##允许别人ping自己，速率为每分钟20个，也就是每3秒接受一个请求。接受的请求最多不超过5个。
iptables -I OUTPUT  -s 192.168.253.128 -p icmp --icmp-type 0 -j ACCEPT##允许回复请求
iptables -A INPUT -p icmp -j REJECT ##不满足上面的要求的icmp报文全部拒绝。
防止SYN洪水攻击

syn洪水攻击

iptables -A INPUT -p tcp --syn -m limit --limit 5/second -j ACCEPT

state扩展

使用state模块的时候，我们会明显感觉到，把规则简单化了很多
比如我们要开放22和80端口，其他链接都拒绝

iptables -I INPUT -d 192.168.253.128 -p tcp -m multiport --dports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -I OUTPUT -s 192.168.253.128  -p tcp -m multiport --sports 22,80 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -p all -j REJECT 
iptables -A OUTPUT -p all -j REJECT

实现这个功能主要是依赖一个链接追踪表。所以我们会发现一个问题，如果链接量很大。这时候我们这个表就可能会很大。将会降低服务器的使用效率。怎么解决这个问题呢？

追踪连接的文件：/proc/net/nf_conntrack
解决方法有2个
第一：加大追踪连接的数值
调整内核参数

net.ipv4.nf_conntrack_max = 393216
net.ipv4.netfilter.nf_conntrack_max = 393216

第二：降低追踪连接的时长

net.ipv4.netfilter.nf_conntrack_tcp_timeout_established = 300
net.ipv4.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.ipv4.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.ipv4.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
开放被动模式的ftp服务

被动模式下，ftp命令端口和一个大于1024的特权端口肯定是相关的。所以可以利用这个相关的状态，实现开放ftp服务被动模式
(1) 装载ftp连接追踪的专用模块：

modproble  nf_conntrack_ftp

(2) 放行命令连接(假设Server地址为192.168.253.128)

iptables -A INPUT -d 192.168.253.128 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -s 192.168.253.128 -p tcp --sport 21 -m state --state ESTABLISHED -j ACCEPT

(3) 放行数据连接(假设Server地址为192.168.253.128)：

iptables -A INPUT -d 192.168.253.128 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I OUTPUT -s 192.168.253.128 -m state --state ESTABLISHED -j ACCEPT

使用自定义链

自定义一个新链，链名为IN_WEB，里面存放一条规则，拒绝192.168.253.129主机访问80端口。

首先自定义IN_WEB链

iptables -N IN_WEB

在新链中添加一条规则

iptables -I IN_WEB -s 192.168.253.129 -p tcp --dport 80 -j REJECT

当访问80端口则调用IN_WEB链

iptables -t filter -I INPUT  -p tcp --dport 80 -j IN_WEB

记录日志

iptables -I INPUT -s 192.168.253.129 -p tcp  --dport 80  -j LOG --log-prefix  "web"  ##定义记录的日志前缀有个web 方便找
[root@localhost ~]# iptables -A INPUT -s 192.168.253.129 -p tcp  --dport 80  -j REJECT  ##设置匹配成功则拒绝

日志都存放在/var/log/messages

这里写图片描述

十五十六
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
iptables防火墙
Another_Feng的博客
03-24 518
iptables概述 Linux系统的防火墙：IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。 主要工作在网络层，针对IP数据包。体现在对包内的IP地址、端口等信息的处理上。 netfilter/iptables关系： netfilter:属于“内核态”（Kernel Space,又称为内核空间）的防火墙功能体系 是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。 iptables:属于“用户态”（User Space,又称为用户空间）的防
linux下IPTABLES配置详解（防火墙）
choukuad381324的博客
09-18 1024
转自http://www.cnblogs.com/JemBai/archive/2009/03/19/1416364.html 关闭防火墙： service iptables stop chkcon...
iptables命令详解和举例（完整版）
09-07 3万+
1、防火墙概述 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其...
Iptables详解
热门推荐
不以物喜不以己悲
10-23 7万+
Iptabels是与Linux内核集成的包过滤防火墙系统，几乎所有的linux发行版本都会包含Iptables的功能。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则Iptables有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。 netfilter/iptables过滤防火墙系统是一种功能强大的工具，可用于添加、编辑和除去
iptables配置实例
lumia98的博客
02-14 747
查看当前所有规则 iptables -L -n 查看所有规则 iptables -nL --line-number 显示行 iptables -nvL --line-number 显示行 清空所有配置 iptables -F iptables -X iptables -Z 允许ssh端口及lookback规则 iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT iptables -A INPUT -p tcp --dp
iptables常用示例，用于精通网络命令
12-19
iptables常用示例，用于精通网络命令，熟练使用iptables
iptables手册与示例
01-09
iptables设置防火墙非常好的资料。
linux增加iptables防火墙规则的示例
09-15
主要介绍了linux增加iptables防火墙规则的示例,大家在使用的时候要把规则后的中文注释去掉
实用iptables 示例
03-30
本文是我自己的一些学习iptables的心得，给大家拿出来来晒晒！ filter #用于过滤 nat #做NAT input =>filter #目的ip是本机的数据包 forward =>filter #穿过本机的数据包 prerouting =>nat #修改目的地址(DNAT)...
iptables实例
pur_e的专栏
03-01 568
举几个常用的iptables实例，具体分析一下使用。1.防火墙最常用的iptables基本功能防火墙，参见配置一个生产的iptables防火墙规则2.共享上网想要共享上网，必须将不能上网主机的网关设置可以访问外网的主机。我在阿里云上使用专有网络做的试验，弹性计费很便宜，用完别忘了删，要不一直收钱^_^网络拓扑，一共两台主机： 一台172.16.147.210，有EIP弹性IP绑定121.43.189
iptables 用于Ubuntu16下
11-03
ubuntu系统升级或者安装机器学习依赖库时，用这个可以防止劫持
Iptables常见实例及理解
杀出条血路来
03-03 3937
(1)    屏蔽某台电脑场景：路由器或者防火墙屏蔽某个IP。理解：任何以本机为目的地址的数据包都经过filter表的INPUT链(-t filter省略了)iptables -A INPUT -s 200.200.200.1 -j DROP(2)    屏蔽某台电脑的telnet请求场景：路由器或者防火墙屏蔽某个IP的telnet数据包，但允许其他数据包通过理解：-p指协议，一共有三种，TCP,UDP和ICMP，telnet是基于TCP的;         --destination-port telne
iptables简单配置方法
高飞的专栏
03-25 4386
CentOS提供的软件防火墙iptables，通过配置防火墙，可以一定程度上防止服务器被入侵。但是iptables规则略复杂，开始接触的时候可能会感觉头晕，这里提供一个简单的配置模板。防火墙对于外来的网络连接，一般处理的方式有三种：ACCEPT、DROP和REJECT，对应的意思就是接收请求、抛弃请求和拒绝请求。 编辑/etc/sysconfig/iptablesvim /etc/sysconfi
iptables Command
淡然若水
08-08 371
1.COMMAND 1.1 列出所有链的规则 iptables -L   1.2 列出某条链的规则就是 iptables -L INPUT iptables -vnL 1.3 清除所有链的规则 iptables -F   1.4 设置默认规则策略 iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORW...
iptables高级应用实例
不用此栏
01-21 3789
 1 iptables不错脚本（参考 ) Quote: [root@server ~]# cat /opt/iptables/iptables.rule #!/bin/bash # # The interface that connect Internet EXTIF="ppp0" # the inside interface. if you dont have this one # and y
IPtables 详解
weixin_34144450的博客
08-13 151
1 前言防火墙(Firewall),就是一个隔离工具,工作于主机或者网络的边缘,对于进出本主机或本网络的报文,根据事先定义的检查规则做匹配检测,对于能够被规则匹配到的报文作出相应处理的组件 , 就称之为防火墙,即可称为主机防火墙和网络防火墙 其主机防火墙工作于主机的边缘, 网络防火墙工作于网络的边缘. 从防火墙实现的方法又可以划分为软件防火墙和硬件防火墙. 其软件防火墙纯软件...
每天进步一点点：Linux iptables 示例
weixin_34096182的博客
02-02 111
本文将给出25个iptables常用规则示例，这些例子为您提供了些基本的模板，你可以根据特定需求对其进行修改调整以达到期望。格式iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型]参数-P 设置默认策略:iptables -P INPUT (DROP|ACCEPT)-F 清空规则链-L 查看规则链-A 在规则链的末尾加入新规则-I num 在规则链的...
25个iptables常用示例
weixin_30458043的博客
05-17 49
25个iptables常用示例 本文将给出25个iptables常用规则示例，这些例子为您提供了些基本的模板，您可以根据特定需求对其进行修改调整以达到期望。 格式 iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型] 参数 -P 设置默认策略:iptables -P INPUT (DROP|ACCEPT) -F 清空规则链 -...
go语言 调用iptables命令示例
最新发布
04-06
以下是一个使用go语言调用iptables命令的示例： ```go package main import ( "fmt" "os/exec" ) func main() { // 定义要执行的iptables命令 command := "iptables -A INPUT -s 192.168.1.1 -j DROP" // ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值