1)使用规则实现外网不能访问内网,但是内网主动发起的连接正常进行
a) iptables -A INPUT -m state --state established,related -j ACCEPT //保留已经建立的连接
b) iptables -A INPUT -m state --state new,invalid -j DROP //新建立的连接不予理睬
注意:此处要想成功达到目的,只能先在本机建立一个连接,否则无法实现本机访问外
2) 使用规则限制对 icmp echo request的回复为一分钟5次,从而降低攻击风险。 iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 1 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
3)使用规则实现对一台内网主机的网页代理。例,通过访问A电脑的未开放的4567端口,实际可以访问到B电脑的80端口上的网页。
/bin/sh //进入shell模式
src_ip="192.168.199.1" //host ip
proxy_ip="192.168.199.128"//代理机ip,也就是中介
dest_ip="166.168.199.132"//目的ip
sysctl -w net.ipv4.ip_forward=1//开启转发 将ip_forward置1
iptables -t nat -F//
iptables -t nat -A PREROUTING -d $proxy_ip -p tcp --dport 4567 -j DNAT --to-destination $dest_ip:80
iptables -t nat -A POSTROUTING -d $dest_ip -p tcp --dport 80 -j SNAT --to-source $proxy_ip:4567
iptables -t nat -A PREROUTING -d $proxy_ip -p tcp --sport 80 -j DNAT --to-destination $src_ip
iptables -t nat -A POSTROUTING -d $src_ip -p tcp --sport 80 -j SNAT --to-source $proxy_ip:4567