linux下防火墙

防火墙
netfilter/iptables

功能：
1. 数据包过滤 INPUT链(对进入本机数据包),forward（对经过本机的数据） //属于filter表
2. NAT POSTROUTING（做源地址转换） //属于nat表

一、数据包过滤

LAB：
iptables -P INPUT DROP //将INPUT链（Chain）的默认策略设置为DROP
iptables -t filter -P INPUT DROP

iptables -nL INPUT --line-numbers //查看INPUT链,n指不反解 --line-numbers
iptables -D INPUT 6 //删除INPUT链中的第6条规则
iptables -F INPUT //清空INPUT链中的所有规则
iptables -F
iptables -t nat -F
iptables -t nat -F POSTROUTING

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j ACCEPT //允许所有人访问我的ssh服务
iptables -A INPUT -p tcp --dport 80 -j ACCEPT //允许所有人访问我的http服务
iptables -A INPUT -p tcp --dport 110 -j ACCEPT //允许所有人访问我的pop3服务
iptables -A INPUT -p tcp --dport 25 -j ACCEPT //允许所有人访问我的smtp服务
iptables -A INPUT -p tcp --dport 53 -j ACCEPT //允许所有人访问我的DNS服务
iptables -A INPUT -p udp --dport 53 -j ACCEPT //允许所有人访问我的DNS服务
iptables -A INPUT -p icmp -j ACCEPT //允许icmp协议通过INPUT链
iptables -A INPUT -s 172.16.208.0/24 -p icmp -j ACCEPT

附加模块：
1. 连接追踪模块：（FTP服务器）
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
modprobe ip_conntrack_ftp //临时加载

/etc/sysconfig/iptables-config // 永久
IPTABLES_MODULES="ip_conntrack_netbios_ns ip_conntrack_ftp"

2. 多端口模块
iptables -A INPUT -p tcp -m multiport --dports 21,22,25,80,110,143 -j ACCEPT