iptables拒绝所有端口放开特定端口方法流程，iptables允许ping和拒绝ping、hosts阻止所有ip指定放开ip方法流程、脚本检测日志异常并自动执行封堵

已于 2023-11-28 22:55:54 修改
阅读量4k 收藏 33
点赞数 23
分类专栏： 玩转linux8+和bclinux8+ 玩转linux7+ 文章标签： iptables hosts.deny hosts.allow
于 2023-11-27 18:13:48 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cuichongxin/article/details/134650428
版权

文章目录

说明

  • 收到下面一封邮件，简单来说就是需要一个虚拟机，外网能ping同，但端口全封，给他们做渗透用。
    在这里插入图片描述
  • 问了需求 不需要登录，封死所有端口。
    所以 就用下面2个方式双重封死。

iptables拒绝所有端口放开特定端口方法流程

拒绝所有端口

  • 命令：

  • iptables -P INPUT DROP【我这就执行了这个进的】

  • iptables -P FORWARD DROP

  • iptables -P OUTPUT DROP

  • 注：上面执行以后，看不到具体规则且iptables -F是无法清除上面规则的，同时ping也不能使用。

  • 测试
    在这里插入图片描述

允许所有端口

  • 命令：iptables -P INPUT ACCEPT
    注：只有这个端口能放开上面拒绝的所有端口，iptables -F是不能删除上面规则的。

  • 验证
    之前默认是已经封堵了，无法访问百度，允许以后，百度可以访问
    在这里插入图片描述

允许特定端口

  • 我这需要放开2个ip段的22端口【这是放开端口，下面hosts是ip策略，分开做的】
    iptables -A INPUT -p tcp --dport 22 -j ACCEPT
    在这里插入图片描述

  • 更多说明

#允许已建立的连接通过【不执行也可以，但有些特定版本不执行这个可能下面规则不会生效】
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT


# 允许 SSH 连接
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 允许 HTTP 连接
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# 允许 HTTPS 连接
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

临时规则写入配置文件永久生效

  • 上面做的是临时生效的，重启以后就没了，想要永久生效，执行下面命令【下面配置文件中的规则是基于iptables服务的，如果服务没启动，重启后下面规则依然不会生效】
  • 命令iptables-save > /etc/sysconfig/iptables

在这里插入图片描述

iptables允许ping和拒绝ping

  • 首先，我执行iptables -P INPUT DROP命令以后，外部就ping不通了，我执行iptables -F以后依然ping不通，折腾许久外部都无法ping通，我以为我网络出问题了，但每次重启就好，后来才发现这个命令的规则-F清除不掉，卧槽。

禁止允许ping说明

  • 下面内容来源网络整理，自行测试。

内核参数设置

禁止
  • 临时禁止ping设置
echo 1 >/proc/sys/net/ipv4/icmp_echo_ignore_all
  • 永久禁止ping设置
echo net.ipv4.icmp_echo_ignore_all=1 >> /etc/sysctl.conf
  • 使/etc/sysctl.conf 配置文件生效
    注意：如果 /etc/sysctl.conf 配置文件里已经有net.ipv4.icmp_echo_ignore_all字段了，那么直接用 vim 进去直接修改0或1即可。
sysctl -p
允许
  • 临时允许ping设置
echo 0 >/proc/sys/net/ipv4/icmp_echo_ignore_all
  • 永久允许ping设置
echo net.ipv4.icmp_echo_ignore_all=0 >> /etc/sysctl.conf
  • 使/etc/sysctl.conf 配置文件生效
    注意：如果 /etc/sysctl.conf 配置文件里已经有net.ipv4.icmp_echo_ignore_all字段了，那么直接用 vim 进去直接修改0或1即可
sysctl -p

防火墙设置

  • 注：使用以下方法的前提是内核配置是默认值，也就是内核没有禁ping
禁止
  • 禁止PING设置
iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP
  • 上面代码参数说明
    • --icmp-type 8 echo request 表示回显请求（ping请求）
    • 0/0 表示所有 IP
允许
  • 允许PING设置 【方式1】
    进
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
  • 允许PING设置 【方式2】
    进
iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j ACCEPT
  • 允许PING设置 【方式1】
    出
iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
  • 允许PING设置 【方式2】
    出
iptables -A OUTPUT -o eth+ -p icmp --icmp-type 0 -j ACCEPT

禁止ping

  • 我这用的是这种方式 iptables -P INPUT DROP【慎用，所以端口都无法进出】

允许ping

外部ping通虚拟机内部

  • 我执行了下面命令以后
    iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j ACCEPT【这条命令执行完外部就通虚拟机了】
    iptables -A OUTPUT -o eth+ -p icmp --icmp-type 0 -j ACCEPT【好像这个没生效？】
    外部就可以ping通该虚拟机ip
    在这里插入图片描述

虚拟机内部使用ping

  • 但我发现，虚拟机内部不能使用ping了。我以为是面中的output没生效。
    • 但我最后发现，换个方式执行INPUT以后，虚拟机内部就能使用ping了。
      iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
    • 所以这里的output到底是啥逻辑？

在这里插入图片描述

规则详细

至此未知，现在的规则详细如下：
在这里插入图片描述

hosts阻止所有ip指定放开ip方法流程

其实上面的iptables已经限制的死死的了，但怕iptables出意外，所以用hosts加固一下

允许需要访问ip

  • 这里以sshd服务为例，配置完成后，只允许配置允许的IP才能ssh连接本机服务器，其他IP拒绝
    注：一定要先允许在拒绝所有
  • 编辑hosts.allow配置文件

vi /etc/hosts.allow
  • 允许1个或多个ip
    末尾添加允许的IP远程登录本机服务器，如果有多个IP，以逗号隔开连续写即可
sshd:111.2.3.4,111.6.7.8.9
  • 以段添加
    添加允许的111.2.3网段的IP远程登录本机服务器
sshd:111.2.3.

内网地址出公网hosts放开地址说明

  • 假如你现在用的内网ip地址访问的公网，你在虚拟机上放开你现在用的ip地址是没用的
    如，我现在用的内网ip绑定的路由器，我把内网地址和我路由器地址都放开了，依然无法访问，放开ALL就能访问
    在这里插入图片描述

  • 如何看内网地址转换后访问过来的地址？
    先放开all，正常登录上虚拟机，然后虚拟机里面执行lastlog【这个命令会记录登录信息】
    如下，可以看到我这公网出口地址是70.92结尾的ip
    在这里插入图片描述

  • 现在回到虚拟机内部，放开这个70.92的ip地址，注释ALL，即可正常访问了
    在这里插入图片描述

拒绝所有

  • 编辑hosts.deny配置文件
vi /etc/hosts.deny
  • 拒绝所有所有IP远程登录本机服务器
    末尾添加下面内容即可
sshd:ALL
  • 我有控制台，为了验证生效，我先做的拒绝，再放开
    在这里插入图片描述

脚本检测日志异常并自动执行封堵

  • 可以动态封锁ip的，脚本如下，如果怕死循环影响虚拟机性能，可以把死循环去掉，用定时任务执行，比如每分钟、每小时执行一次这样。
#!/bin/bash

while true; do
    # 读取系统日志文件进行监测
    grep -E "sgdifi|wa/xzwas|wa/higehfd|wa" /var/log/system.log | while read -r log; do
        # 解析日志行，获取用户信息和相关IP地址
        username=$(echo "$log" | grep -oE "sgdifi|wa/xzwas|wa/higehfd|wa")
        ip_address=$(echo "$log" | grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b")

        # 锁定用户账户
        lock_user_account "$username"
        # 实施IP封堵
        block_ip_address "$ip_address"
    done

    sleep 300  # 暂停5分钟后再次监测
done

lock_user_account() {
    # 锁定用户账户的实际操作，这里作为示例，将用户添加到黑名单
    echo "$1" >> /etc/blacklist.txt
}

block_ip_address() {
    # 封堵IP地址的实际操作，这里作为示例，使用iptables命令封堵IP
    iptables -A INPUT -s "$1" -j DROP
}

在这里插入图片描述
在这里插入图片描述

҉人间无事人
关注
专栏目录
iptables指定ip访问指定端口
geqiangyouerya的博客
09-14 4164
【代码】iptables使用shell脚本批量做访问限制，指定ip访问指定端口
Iptables关闭端口
11-08
Linux 环境Iptables关闭端口
Linux运维--iptables防火墙命令以及端口号等详解（全）
最新发布
lza20001103的博客
09-02 1145
Linux运维--iptables防火墙命令以及端口号等详解（全）
iptables屏蔽ip某个端口访问
喝醉酒的小白
07-15 5784
iptables屏蔽ip某个端口访问。
Linux下iptables 禁止端口和开放端口
angzhan5306的博客
04-07 435
iptables 禁止端口和开放端口 1.首先介绍一下指令和相关配置文件 启动指令:serviceiptablesstart 重启指令:serviceiptablesrestart 关闭指令:serviceiptablesstop 然后是相关配置:/etc/sysconfig/iptables 如何操作该配置呢？ ...
iptables封禁端口
solocao的专栏
08-13 5745
iptables封禁固定端口
iptables 屏蔽端口
Jinnizz的博客
09-06 2279
iptables除了服务依赖部分，屏蔽其他无关访问
iptables防火墙
weixin_44439515的博客
05-11 627
iptables防火墙 防火墙分类：硬件防火强(要钱的，获取那g bin)并且和我们没关系)。软件防火墙：iptables http:// blog.csdn.net/sdytlm/article/details/6544913 规则链： 规则的作用：对数据包进行过滤或处理 链的作用：容纳各种防火墙规则 链的分类依据：处理数据包的不同时机 INPUT：处理入站数据包 OUTPUT：处理出战数据...
Linux之安全最佳做法（未完成）
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
11-12 2296
一直跟Linux打交道，但是凡事多扰，一直未专门针对系统安全做过针对性总结，基于此，本文将记录总结一些Linux 安全配置过程中的常用实践，最后梳理成为安全最佳实践。
linux上外网和内网环境配置NTP时间同步详解~【基于chrony服务，效率更高的方法】、chrony不能同步时间排错详解、timedatactl命令修改时间和时区等说明【4.7万字符详细说明】
热门推荐
崔崇鑫的博客，你linux/云运维工作中的百科全书。
02-28 1万+
文章目录内网搭建说明NTP说明chrony说明chrony的组成chrony安装和命令管理说明启动服务报错处理chrony常用配置参数说明chrony配置时间同步虚拟机使用说明服务端配置安装chrony服务端配置pool说明防火墙设置重启chrony查看同步的客户端信息客户端配置安装chrony客户端配置重启chrony查看服务器信息没加解析的服务器端说明chrony常用命令说明chrony命令ntpdate客户端立即更新时间时间不同步可能的原因1.chrony服务端、客户端 版本是否一致和服务是否正常【c
zenmap端口扫描（nmap的window版）参数说明
魔都虫师的博客
09-01 1265
Zenmap是Nmap官方提供的图形界面，通常随Nmap的安装包发布。Zenmap是用Python语言编写而成的开源免费的图形界面，能够运行在不同操作系统平台上（Windows/Linux/Unix/Mac OS等）。Zenmap旨在为nmap提供更加简单的操作方式。简单常用的操作命令可以保存成为profile，用户扫描时选择profile即可；可以方便地比较不同的扫描结果； 常用参数： Intense scan (nmap -T4 -A -v) ...
利用iptables来配置linux禁止所有端口登陆和开放指定端口的方法
09-15
下面小编就为大家带来一篇利用iptables来配置linux禁止所有端口登陆和开放指定端口的方法。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧
Linux学习笔记RHEL 7（四）--Iptables、Firewalld防火墙设置与Xshell远程连接
笑桐笔记的博客
03-28 4407
本章节所讲都是在网卡配置成功的基础上，其中网卡配置及测试请移步我的上一篇博客： Linux学习笔记（七）--RedHatEnterpriseLinux 7.0之管道符、重定向、环境变量、Vim编辑器与Shell命令脚本一、iptables基本的命令参数        iptables中常用的参数以及作用参数作用-P设置默认策略-F清空规则链-L查看规则链-A在规则链的末尾加入新规则-I num在规...
linux防火墙禁止所以端口,利用iptables来配置linux禁止所有端口登陆和开放指定端口...
weixin_35763787的博客
05-02 3922
1、关闭所有的 INPUT FORWARD OUTPUT 只对某些端口开放。下面是命令实现：iptables -P INPUT DROPiptables -P FORWARD DROPiptables -P OUTPUT DROP再用命令 iptables -L -n 查看 是否设置好， 好看到全部 DROP 了这样的设置好了，我们只是临时的， 重启服务器还是会恢复原来没有设置的状态还要使用 se...
iptables防火墙屏蔽指定ip的端口
shy_snow的专栏
02-14 4736
#尾部插入一条记录,拒绝ip访问除了22端口以外的所有端口 iptables -A INPUT -s 192.1.217.54 -p tcp -m tcp ! --dport 22 -j REJECT # 第一行插入规则允许通过的端口号 iptables -I INPUT 1 -s 192.1.217.54 -p tcp -m tcp --dport 8020 -j ACCEPT
iptables 禁止除22端口外其他所有端口
晨光运维之路
05-11 7601
清除目前所有规则(慎用) iptables -F 允许通过tcp协议访问22端口(先配置,否则无法使用ssh连接) iptables -A INPUT -p tcp --dport 22 -j ACCEPT 禁止访问除22端口以外的所有端口 iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT 允许本地内部访问 iptables -A INPUT -i lo -j ACCEPT 允许数据包响应 iptabl
iptables 只拒绝某个ip的所有连接
trigfj的博客
11-07 926
iptables 只拒绝某个ip的所有连接
【linux】iptables和ufw禁用IP和端口
weixin_43693967的博客
05-19 3876
有时候服务器，为了安全需要，会限制某些ip和端口对服务器的访问。那具体该如何配置呢？本文带你解决。
iptables禁止访问1端口和80端口
weixin_35751194的博客
01-17 2093
iptables -A INPUT -p tcp --dport 1 -j DROP iptables -A INPUT -p tcp --dport 80 -j DROP 这是在 Linux 系统上使用 iptables 禁止访问 1 端口和 80 端口的命令。其中 -A INPUT 表示添加规则到 INPUT 链，-p tcp 表示使用 TCP 协议，--dport 表示目标端口，-j DRO...
iptables -P INPUT ACCEPT
07-23
`iptables -P INPUT ACCEPT` 是一个命令，用于设置iptables（Internet Protocol Table）防火墙的默认输入策略。在这个情况下，`-P` 参数后面接的是 `INPUT` 表的策略，`ACCEPT` 意味着允许所有来自外部网络（通常指的是入站流量）的数据包进入系统。这个命令常用于初始化或更改系统对未知或未授权请求的默认接纳态度。 如果你想要演示如何执行这个命令，你可以按照以下步骤： ```bash # 打印当前的INPUT链默认策略 sudo iptables -L -n -t filter --line-numbers | grep "^INPUT\s*-\s*政策" # 如果你想改变策略为接受，可以使用以下命令 sudo iptables -P INPUT ACCEPT # 再次确认更改后的策略 sudo iptables -L -n -t filter --line-numbers | grep "^INPUT\s*-\s*政策" ``` 请注意，这一步骤需要root权限来修改iptables配置，因为一般用户可能没有权限直接更改这些安全设置。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

҉人间无事人

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值