- 常规配置方案1(默认只允许ssh,删除默认增加明细)
方法1
iptables -L -nv --line-numbers
iptables -D INPUT 4 #删除默认SSH那条
iptables -I INPUT 4 -p tcp -s 192.168.11.1 --dport 22 -j ACCEPT #zgpc
iptables -I INPUT 4 xxxxx 增加其他的
service iptables save
方法2
cat > /etc/sysconfig/iptables << EOF
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [90:13952]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s 192.168.11.1/32 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
#-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
EOF
service iptables restart
- 常规配置方案2(更改默认规则ACCEPT>DORP)
#清空表
iptables -L -nv --line-numbers
iptables -F #Delete all rules in chain or all chains不要远程操作
iptables -X #Delete a user-defined chain
iptables -Z #Zero counters in chain or all chains
iptables -L -nv --line-numbers
#更改默认(明细优于默认)默认为
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT ##允许已建立的通过(重要)
iptables -P INPUT DROP ###小心立马断开,需增加上一条
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -L -nv --line-numbers
service iptables save
- 相关资料
临时添加A加最后,I加指定号前(默认1)
iptables -A INPUT -s 192.168.11.125 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.11.1 --dport 22 -j ACCEPT #zgpc
iptables -I INPUT -p tcp -s 192.168.11.1 --dport 22 -j ACCEPT #zgpc2
iptables -I INPUT 2 -p tcp -s 192.168.11.1 --dport 80 -j ACCEPT #zg80
########################
iptables -D INPUT 1 #删除序号1
保存
service iptables save
Usage: iptables {start|stop|reload|restart|condrestart|status|panic|save}
编辑/etc/sysconfig/iptables 配置文件
############################################################
-t: table table to manipulate (default: `filter')
-A:向规则链中添加条目;
-D:从规则链中删除条目;
-i:向规则链中插入条目;
-R:替换规则链中的条目;
-L:显示规则链中已有的条目;
-F:清楚规则链中已有的条目;
-Z:清空规则链中的数据包计算器和字节计数器;
-N:创建新的用户自定义规则链;
-P:定义规则链中的默认目标;
-------------------------------------------------------------
-h:显示帮助信息;
-p:指定要匹配的数据包协议类型;
-s:指定要匹配的数据包源ip地址;
-j<目标>:指定要跳转的目标;
-i<网络接口>:指定数据包进入本机的网络接口;
-o<网络接口>:指定数据包要离开本机所使用的网络接口。
iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作
表名包括:
raw:高级功能,如:网址过滤。
mangle:数据包修改(QOS),用于实现服务质量。
net:地址转换,用于网关路由器。
filter:包过滤,用于防火墙规则。
规则链名包括:
INPUT链:处理输入数据包。
OUTPUT链:处理输出数据包。
PORWARD链:处理转发数据包。
PREROUTING链:用于目标地址转换(DNAT)。
POSTOUTING链:用于源地址转换(SNAT)。
动作包括:
ACCEPT:接收数据包。
DROP:丢弃数据包。
REDIRECT:重定向、映射、透明代理。
SNAT:源地址转换。
DNAT:目标地址转换。
MASQUERADE:IP伪装(NAT),用于ADSL。
LOG:日志记录。
- 默认配置
# Firewall configuration written by system-config-firewall6.5默认配置
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT ##允许已建立的或相关连的通行(统计默认)
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT #?
-A INPUT -j REJECT --reject-with icmp-host-prohibited #?
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
################################
NEW状态:主机连接目标主机,在目标主机上看到的第一个想要连接的包
ESTABLISHED状态:主机已与目标主机进行通信,判断标准只要目标主机回应了第一个包,就进入该状态。
RELATED状态:主机已与目标主机进行通信,目标主机发起新的链接方式,例如ftp
INVALID状态:无效的封包,例如数据破损的封包状态