iptables防火墙建设

iptables设置只允许开启accept的端口访问

# 清空所有现有的规则
iptables -F
 
# 允许所有本地回环（loopback）访问
iptables -A INPUT -i lo -j ACCEPT
 
# 允许特定端口的访问
iptables -A INPUT -p tcp --dport 你的端口号 -j ACCEPT
 
# 允许已建立连接的数据包通过
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
 
# 拒绝所有其他未明确允许的输入
iptables -A INPUT -j DROP
 
# 允许转发到你的端口的出站流量
iptables -A FORWARD -p tcp -d 0/0 --dport 你的端口号 -j ACCEPT
 
# 允许已建立连接的转发数据包
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
 
# 拒绝所有其他未明确允许的转发
iptables -A FORWARD -j DROP

iptables查看规则编号

iptables -L -n --line-numbers

输出

num target prot opt source destination
1 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
2 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp dpt:8080
3 DROP all – 0.0.0.0/0 0.0.0.0/0

Chain FORWARD (policy ACCEPT)
num target prot opt source destination

Chain OUTPUT (policy ACCEPT)
num target prot opt source destination

Chain YJ-FIREWALL-INPUT (0 references)
num target prot opt source destination

iptables删除规则

1的值来源上一步的num

iptables -D INPUT 1

删除OUTPUT链中匹配特定条件的规则（例如，匹配22端口的TCP流量）：

iptables -D OUTPUT -p tcp --dport 22 -j ACCEPT

iptables关闭已开放的端口

直接删除开放的规则

# 查找开放端口8080的iptables规则
sudo iptables -L -n --line-numbers
 
# 删除开放端口8080的iptables规则
# 假设规则是 INPUT 链中的第一条，并且是对TCP协议的，使用以下命令
# 其中行号是通过上一个命令得到的
sudo iptables -D INPUT 1
 
# 如果不确定链和协议，可以直接删除端口
sudo iptables -D INPUT -p tcp --dport 8080

注意事项

所有规则都是前面的规则优先级更高如上图所示：

• 虽然80端口已经开启，但是其位置位于DROP all -- 0.0.0.0/0 0.0.0.0/0之后，所以80端口外部还是无法访问的。

iptables关于ACCEPT/DROP重量级的操作命令（慎用！！！）

• iptables -P INPUT DROP:拒绝所有入方向的接入(危险命令，会导致所有的外部访问都无法访问！！！)
• iptables -P OUTPUT ACCEPT:接受所有出方向的流出
• iptables -P FORWARD DROP:拒绝所有转发规则

如果拒绝入方向所有的接入，如何处理

• 此时ssh已经无法登录，需要使用vnc方式登录
• 找到拒绝所有入方向规则，删除这条规则。或者直接清除iptables规则iptables -F,然后再重建iptables 规则，如允许所有入方向的连接iptables -P INPUT ACCEPT

iptables只允许指定ip访问

仅允许IP地址192.168.1.100访问所有到达22端口（通常是SSH）的流量

iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

保存iptables规则

iptables规则每次服务器重启后都会自动清空，所以需要保存iptables规则到文件

保存iptables规则到文件

文件路径和名称任意

iptables-save > /etc/sysconfig/iptables

iptables中的文件内容

# Generated by iptables-save v1.4.21 on Sat May 18 17:21:18 2024
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [493:55967]
:YJ-FIREWALL-INPUT - [0:0]
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8080 -j ACCEPT
-A INPUT -j DROP
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -s 113.91.42.55/32 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j DROP
COMMIT
# Completed on Sat May 18 17:21:18 2024

所以可以先修改iptables规则文件，再启用此文件规则，重建iptables防火墙

启用文件中的iptables规则

iptables-restore < /etc/sysconfig/iptables