iptables扩展匹配条件

已于 2023-06-10 22:08:03 修改
阅读量593 收藏 1
点赞数 1
分类专栏： Iptables 文章标签： 网络 tcp/ip udp
于 2023-06-04 21:53:28 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kakaka666/article/details/131037742
版权

文章目录

链接: C/C++Linux服务器开发/后台架构师【零声教育】-学习视频教程-腾讯课堂

1. multiport模块

常用的扩展匹配条件如下：

-p tcp -m multiport –sports 用于匹配报文的源端口，可以指定离散的多个端口号,端口之间用”逗号”隔开。
-p udp -m multiport –dports 用于匹配报文的目标端口，可以指定离散的多个端口号，端口之间用”逗号”隔开。

示例：仅允许10.0.0.1访问本机：80、443、20、21、22

[root]# iptables -t filter -I INPUT -s 10.0.0.1 -d 10.0.0.5 -p tcp -m multiport --dports 20,21,22,80,443 -j ACCEPT
[root]# iptables -t filter -A INPUT -p tcp -j DROP

[root]# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       10.0.0.1             10.0.0.5             multiport dports 20,21,22,80,443
2        0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination

2. iprange模块

包含的扩展匹配条件如下：

指定一段连续的ip地址范围：

--src-range from[-to]:	 源地址范围
              Match source IP in the specified range.
--dst-range from[-to]	目标地址范围
              Match destination IP in the specified range.

示例：10.0.0.1-10.0.0.7 地址段都 不允许ping 10.0.0.5

[root]# iptables -t filter -I INPUT -p icmp -m iprange --src-range 10.0.0.1-10.0.0.7 -j DROP

[root]# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 1 packets, 104 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0            source IP range 10.0.0.1-10.0.0.7

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 1 packets, 104 bytes)
num   pkts bytes target     prot opt in     out     source               destination

3. string模块

匹配指定字符串

--string pattern	# 指定要匹配的字符串
              Matches the given pattern.
--algo {bm|kmp}		# 匹配的查询算法，可用算法为bm、kmp，此选项为必需选项。
              Select the pattern matching strategy. (bm = Boyer-Moore, kmp = Knuth-Pratt-Morris)

示例：应用返回的数据报文包含hello，则丢弃，其他的正常通过。

配置规则：filter、OUTPUT、

[root]# iptables -t filter -F
[root]# iptables -t filter -I OUTPUT -p tcp -m string --string "hello" --algo bm -j DROP

[root]# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0   STRING match  "hello" ALGO name bm TO 65535

4. time模块

根据 时间段匹配报文；

--timestart hh:mm[:ss]	#  开始时间

--timestop hh:mm[:ss]	结束时间
          Only match during the given daytime. The possible time range is 00:00:00 to 23:59:59. Leading  zeroes
          are allowed (e.g. "06:03") and correctly interpreted as base-10.

--monthdays day[,day...]	# 指定一个月的某一天
          Only  match on the given days of the month. Possible values are 1 to 31. Note that specifying 31 will
          of course not match on months which do not have a 31st day; the same goes for 28- or 29-day February.

--weekdays day[,day...]	# 指定周 还是  周天 
          Only match on the given weekdays. Possible values are Mon, Tue, Wed, Thu, Fri, Sat,  Sun,  or  values
          from 1 to 7, respectively. You may also use two-character variants (Mo, Tu, etc.).

--kerneltz  使用内核时区而且不是utc时间

示例：拒绝每天8：30（00：30）~18：00（10：00）任何主机发送icmp请求协议；

[root]# iptables -t filter -I INPUT -p  icmp -m time --timestart 00:30 --timestop 10:30 -j DROP

[root]# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0            TIME from 00:30:00 to 10:30:00 UTC

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination

5. icmp模块

针对的协议：ICMP，用来检查 ICMP 数据包的类型

[!] --icmp-type {type[/code]|typename} 		ICMP 类型使用字符串或数字显示
		echo-request  (8) （ICMP 协议请求）
		echo-reply    (0) （ICMP 协议回显）
		destination-unreachable：(3)（ICMP 协议目标不可达）

比方说：若要禁止从其他主机 ping 本机，但是允许本机 ping 其他主机。

# iptables -A INPUT -p icmp --icmp-type 8 -j DROP
# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
# iptables -A INPUT -p icmp -j DROP

或者
#iptables -t filter -I INPUT -p icmp --icmp-type "echo-request" -j DROP

root@kaka-virtual-machine:/home/kaka# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 8
2        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 0
3        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 3
4        0     0 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination

6. connlimit模块

connlimit 模块是对连接数量进行限制的

并发连接数：

   --connlimit-upto n		# 如果现有连接数小于或等于  n  则 匹配
          Match if the number of existing connections is below or equal n.

   --connlimit-above n		#  如果现有连接数大于n 则匹配
          Match if the number of existing connections is above n.

​

限制：每个客户端主机允许两个telnet连接

[root]# iptables -t filter -I INPUT -p tcp --dport 23 -m connlimit --connlimit-above 2 -j REJECT

root@kaka-virtual-machine:/home/kaka# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:23 #conn src/32 > 2 reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination

7. limit模块

limit 模块是对”报文到达速率”进行限制的。就是想要限制单位时间内流入的包的数量，就能用 limit 模块。可以以秒为单位进行限制，也可以以分钟、小时、天作为单位进行限制。常用的扩展匹配条件如下：
–limit rate[/second|/minute|/hour|/day]
Maximum average matching rate: specified as a number, with an optional /second', /minute’, /hour', or /day’ suffix; the default is 3/hour.

   --limit-burst number
          Maximum  initial  number  of packets to match: this number gets recharged by one every time the limit
          specified above is not reached, up to this number; the default is 5.

1.限制每分钟接收10个icmp的数据报文，

[root@lb01 ~]# iptables -t filter -I INPUT -p icmp -m limit --limit 10/minute -j ACCEPT
[root@lb01 ~]# iptables -t filter -A INPUT -p  icmp -j DROP

root@kaka-virtual-machine:/home/kaka# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        1   104 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 10/min burst 5
2        0     0 DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination

2.允许10个数据报文快速通过，超过的数据报文 1/m

[root@lb01 ~]# iptables -t filter -I INPUT -p icmp -m limit --limit 1/m --limit-burst 10 -j ACCEPT
[root@lb01 ~]# iptables -t filter -A INPUT -j DROP

root@kaka-virtual-machine:/home/kaka# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 1/min burst 10
2        0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination

3.限速：限制传输的带宽不可以超过500k

500 * 1000 = 500000 /1500 = 333 包

[root@lb01 ~]# iptables -t filter -I OUTPUT -p  tcp -m limit --limit 300/s  -j ACCEPT
[root@lb01 ~]# iptables -t filter -A OUTPUT -p  tcp -j DROP

root@kaka-virtual-machine:/home/kaka# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 303/sec burst 5
2        0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0

8.tcp扩展模块

常用的扩展匹配条件如下：

–sport：		用于匹配 tcp 协议报文的源端口，可以使用冒号指定一个连续的端口范围。
–dport：		用于匹配 tcp 协议报文的目标端口，可以使用冒号指定一个连续的端口范围。
–tcp-flags：	用于匹配报文的tcp头的标志位。
–syn：		用于匹配 tcp 新建连接的请求报文，相当于使用 –tcp-flags SYN,RST,ACK,FIN SYN。

注意，-p tcp与 -m tcp 并不冲突，-p 用于匹配报文的协议，-m 用于指定扩展模块的名称，这个扩展模块也叫 tcp。

示例如下


iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp --sport 22 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 22:25 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport :22 -j REJECT
iptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 80: -j REJECT
iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp ! --sport 22 -j ACCEPT
    
iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT
iptables -t filter -I OUTPUT -p tcp -m tcp --sport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT
iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags ALL SYN -j REJECT
iptables -t filter -I OUTPUT -p tcp -m tcp --sport 22 --tcp-flags ALL SYN,ACK -j REJECT
iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --syn -j REJECT

只有客户端能主动连接服务器22端口示例

三次握手过程
    客户端 --》 服务端22 端口， 
            客户端  ---》 syn  = 1
            服务端  ---》 syn ack = 1
            客户端  --》 ack   = 1

服务端配置
    INPUT：
        syn =1
        ack =1
    OUTPUT:
        syn,ack = 1
        ack = 1

服务器输入
[root@lb01 ~]# iptables -t filter -I INPUT -p tcp  -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST SYN -j ACCEPT
[root@lb01 ~]# iptables -t filter -I INPUT -p tcp  -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST ACK -j ACCEPT
[root@lb01 ~]# iptables -t filter -A INPUT -j DROP

服务端输出
[root@lb01 ~]# iptables -t filter -I OUTPUT -p tcp --sport 22 -m tcp --tcp-flags SYN,ACK,FIN,RST SYN,ACK -j ACCEPT
[root@lb01 ~]# iptables -t filter -I OUTPUT -p tcp --sport 22 -m tcp --tcp-flags SYN,ACK,FIN,RST ACK -j ACCEPT
[root@lb01 ~]#
[root@lb01 ~]# iptables -t filter -A OUTPUT -j DROP

root@kaka-virtual-machine:/home/kaka# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22 flags:0x17/0x10
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22 flags:0x17/0x02
3        0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:22 tcp flags:0x17/0x10
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp spt:22 tcp flags:0x17/0x12
3        0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0

9.state模块

conntrack 连接追踪，对于 state 模块的连接而言，”连接”其中的报文可以分为5种状态，分别为：

  • NEW：连接中的第一个包，状态就是 NEW，我们可以理解为新连接的第一个包的状态为 NEW。
  • ESTABLISHED：我们可以把 NEW 状态包后面的包的状态理解为 ESTABLISHED，表示连接已建立。
  • RELATED：从字面上理解 RELATED 译为关系，但是这样仍然不容易理解，我们举个例子。比如 FTP 服务，FTP 服务端会建立两个进程，一个命令进程，一个数据进程。命令进程负责服务端与客户端之间的命令传输（我们可以把这个传输过程理解成 state 中所谓的一个”连接”，暂称为”命令连接”）。数据进程负责服务端与客户端之间的数据传输 (我们把这个过程暂称为”数据连接”)。但是具体传输哪些数据，是由命令去控制的，所以，”数据连接”中的报文与”命令连接”有”关系”的。那么，”数据连接”中的报文可能就是 RELATED 状态，因为这些报文与”命令连接”中的报文有关系。(注：如果想要对ftp进行连接追踪，需要单独加载对应的内核模块 nf_conntrack_ftp，如果想要自动加载，可以配置 /etc/sysconfig/iptables-config 文件)
  • INVALID：如果一个包没有办法被识别，或者这个包没有任何状态，那么这个包的状态就是 INVALID，可以主动屏蔽状态为 INVALID 的报文。
  • UNTRACKED：报文的状态为 untracked 时，表示报文未被追踪，当报文的状态为 Untracked 时通常表示无法找到相关的连接。

示例：允许接收 远程主机的ssh和http请求（NEW，ESTABLISHED），回应仅允许本机回应ssh、http的响应是 （ESABLISHED），

[root]# iptables -I INPUT -p tcp -m  multiport --dport 22,80 -m state  --state NEW,ESTABLISHED -j ACCEPT
[root]# iptables -I OUTPUT -p tcp -m multiport --sport  22,80   -m state  --state ESTABLISHED -j ACCEPT

[root]# iptables -A INPUT -j DROP
[root]# iptables -A OUTPUT -j DROP

root@kaka-virtual-machine:/home/kaka# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            multiport dports 22,80 state NEW,ESTABLISHED
2        0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            multiport sports 22,80 state ESTABLISHED
2        0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0

10 Iptables自定义链

1.1 为什么要使用自定义链

  • 当默认链中的规则非常多时，不方便我们管理。想象一下，如果 INPUT 链中存放了 200 条规则，这 200 条规则有针对 httpd 服务的，有针对 sshd 服务的，有针对私网 IP 的，有针对公网 IP 的，假如，突然想要修改针对 httpd 服务的相关规则，难道还要从头看一遍这 200 条规则，找出哪些规则是针对 httpd 的吗？这显然不合理。

  • 所以，iptables 中，可以自定义链，通过自定义链即可解决上述问题。假设，自定义一条链，链名叫 IN_WEB，可以将所有针对 80 端口的入站规则都写入到这条自定义链中，当以后想要修改针对 web 服务的入站规则时，就直接修改 IN_WEB 链中的规则就好了，即使默认链中有再多的规则，也不会害怕了，因为所有针对 80 端口的入站规则都存放在IN_WEB链中。

1.2 创建自定义链

#在filter表中创建IN_WEB自定义链
iptables -t filter -N IN_WEB

root@kaka-virtual-machine:/home/kaka# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain IN_WEB (0 references)
num   pkts bytes target     prot opt in     out     source               destination

1.3 引用自定义链

#在INPUT链中引用刚才创建的自定义链
iptables -t filter -I INPUT -p tcp --dport 80 -j IN_WEB
iptables -t filter -L -n

root@kaka-virtual-machine:/home/kaka# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 IN_WEB     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain IN_WEB (1 references)

1.4 重命名自定义链

#将IN_WEB自定义链重命名为WEB
iptables -E IN_WEB WEB

root@kaka-virtual-machine:/home/kaka# iptables -t filter  -L -n -v --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 WEB        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain WEB (1 references)
num   pkts bytes target     prot opt in     out     source               destination

1.5 删除自定义链

删除自定义链需要满足两个条件：

  • 自定义链没有被引用。
  • 自定义链中没有任何规则。
#第一步：清除自定义链中的规则
iptables -t filter -F WEB
iptables -t filter -F 
#第二步：删除自定义链
iptables -t filter -X WEB
kaka的卡
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
网络安全课程设计之D防火墙——Iptables.docx
09-17
考查内容：iptables 的规则管理操作；iptables 常用的通用匹配条件和扩展匹配条件；添加、修 改、删除自定义链的方法。 实验内容：1）使用 iptables 制定规则，包括添加、修改、保存和删除规则等。 2）使用通用匹配条件和扩展匹配条件定义 iptables 规则。 3）在 iptables 中添加、管理和删除自定义链。 实验环境：虚拟机 VMware 或 VirtualBox（https://www.virtualbox.org），linux。 任务： （1）查看 Filter、NAT 和 Mangle 表的现有规则。 （2）清除现有规则。 （3）设计并添加规则，阻止另一主机对 iptables 所在主机的访问（ping），但允许 iptables 所 在主机对其它主机的访问（ping）。 （4）在 INPUT 链增加一条规则，丢弃所有从 eth0 接口进入 iptables 主机的 ICMP 报文；在 OUTPUT 链增加一条规则，丢弃所有从 eth0 接口发出的 ICMP 报文。 （5）自定义一条链，在该链中添加规则。通过内置链引用自定义链，并验证自定义链的有效
LINUX防火墙iptables基本命令
weixin_34033624的博客
04-06 239
一、认识iptables二、Iptables命令2.1、语法：iptables -t table 命令 chain rules -j targettable：有filter、nat、mangle，默认是filter命令：-L 或 --list 查看iptables规则列表[root@appex ~]# iptables -t filter -LChain INPUT (policy ACCEPT)...
关于iptables hashlimit(limit）限速测试
weixin_34128237的博客
04-18 806
最近在研究一个话题,就是iptables 怎么利用hashlimit 和limit 结合限速使有效的带宽最大用户使用 测试环境：MTU=1492 eth1 (内网口） eth0（公网出口) 着先，明白hashlimit 各参数的意义 -m hashlimit --hashlimit-name --ha...
iptables之iptables表、链、规则 、匹配模式、扩展模块、连接追踪模块（一）
Nightwish5的博客
08-15 1154
【执行完后 ssh会掉线】【注意！time模块，可以根据时间段区匹配报文,如果报文到达的时间在指定的时间范围内，则符合匹配条件。●string模块，可以指定要匹配的字符串，如果报文中包含对应的字符串，则符合匹配条件。情景1示例:应用返回的报文中包含字符"video",我们就丢弃当前报文，其余正常通过。限制早上：8:00 ~ 12:00 (00:00-04:00)限制下午：14:00 ~ 18:00 (06:00-10:00)–timestart hh:mm[:ss]:开始时间。
Iptables防火墙connlimit模块扩展匹配规则
江晓龙的博客
07-09 824
connlimit模块的作用是限制请求报文对特定服务的并发连接数限制的，例如Telnet服务，默认情况下没有并发连接数的限制，可以允许n个客户端同时连接，如果应用了connlimit模块，可以对并发连接数进行限制。connlimit模块常用参数：1）编写具体的防火墙规则 2）查看设置的规则 3）测试效果同时登陆两个ssh没问题，第三个时就提示无法连接了。...
遇到问题之-一次SYN***之战之Linux如何防SYN***
萌兔兔MMQ！！
04-16 219
今天早上一到公司登录公司官网的时候感觉挺慢，登录服务器查看官网访问情况： [root@web ~]# netstat -anp |awk ‘{print $6}’|sort|uniq -c |sort -rn 172 ESTABLISHED 59 CONNECTED 589 SYN_RECV 15 STREAM SYN居然这么高，继续追查是那些ip发出的SYN： [root@tweb ~]# netstat -an | grep SYN | awk ‘{print $5}’ | awk -F: ‘{prin
linux的防火墙功能IP tables详解之一
北雨南萍
02-18 2567
一、iptables简介 Linux的2.4版内核引入了一种全新的包过滤引擎，称为Netfilter。 控制Netfilter的工具iptables是Linux 2.2版内核中比较老的命令ipchains的兄弟。 iptables把有次序的规则"链(chains)"应用到网络包上。 链的集合就构成了"表(tables)"，用于处理特殊类型的流量。 例如，默认的iptables表名叫"
Iptables防火墙string模块扩展匹配规则
最新发布
郑俊强的博客
01-28 398
经常应用于拦截用户访问某些网站的场景，将防火墙当做路由器使用，例如上班时间不允许用户访问淘宝网站等等场景。4）测试效果，发现hahaha的页面可以正常访问，taobao.com页面的请求将被拦截。案例：当用户请求的数据报文中包含taobao.com，则拒绝通行，其余的正常放行。2）编写防火墙规则，拒绝数据包中包含taobao.com内容的数据包。1）首先来准备含有taobao.com数据报文的WEB网站。String模块的作用是来匹配请求报文中指定的。3）查看设置的防火墙规则。
iptables深度指南
weixin_43230594的博客
09-07 3170
Linux iptables
iptables详解（4）：iptables匹配条件总结之一
ss810540895的博客
10-20 884
s用于匹配报文的源地址,可以同时指定多个源地址，每个IP之间用逗号隔开，也可以指定为一个网段。#示例如下-d用于匹配报文的目标地址,可以同时指定多个目标地址，每个IP之间用逗号隔开，也可以指定为一个网段。#示例如下-p用于匹配报文的协议类型,可以匹配的协议类型tcp、udp、udplite、icmp、esp、ah、sctp等（centos7中还支持icmpv6、mh）。#示例如下。
深入分析iptables工作原理及自定义扩展
09-01
本文非iptables用户手册，深入分析iptables的工作机制，需要读者有一定的内核数据转发只是。全文从用户命令解析到内核规则生效，步步跟踪，助你更加深刻理解iptables。
10.6： iptables防火墙 、 filter表控制 、 扩展匹配 、 nat表典型应用 、 总结和答疑.docx
03-05
10.6： iptables防火墙 、 filter表控制 、 扩展匹配 、 nat表典型应用 、 总结和答疑.docx
iptgen:使用 NodeJS 的 iptables 规则生成器
07-09
iptgen 使用 NodeJS 的 iptables 规则生成器如何导入？ 进入 iptgen 文件夹使用npm install 在你的编辑器上打开项目主文件是 ./app.js列表您可以在 /lists 文件夹中添加新闻 ip 列表，扩展名为 .list。代码示例完整...
xt_tls:使用IPtables过滤TLS流量
05-17
特征根据SNI扩展过滤TLS流量去做添加更多高级匹配功能（即通配符匹配） 添加对服务器证书匹配的支持手动安装先决条件内核头文件（ apt install linux-headers-$(uname -r)或yum install kernel-devel ） IPtables...
ipset.tar.gz
03-24
ipset是iptables的扩展,它允许你创建 匹配整个地址集合的规则。而不像普通的iptables链只能单IP匹配, ip集合存储在带索引的数据结构中,这种结构即时集合比较大也可以进行高效的查找，除了一些常用的情况,比如阻止...
IPtables 扩展模块 Multiport/IPRange
小楼一夜听春雨，深巷明朝卖杏花
09-06 2103
扩展匹配是实现更加高级的功能，扩展模块，这些模块在在IP tables中非常的多，之前--deport只能添加一个端口，或者说是一个连续的端口，mutiport可以添加不连续的端口。示例∶10.0.0.10 访问本机 20、21、80、443允许通过；示例： 允许10.0.0.10访问本机的20-22、21、80、443。-p不属于扩展模块的动作，所以不能放里面。之前是基本的匹配，现在可以看看扩展匹配。
iptables详解（5）：iptables匹配条件总结之二（常用扩展模块）
ss810540895的博客
10-20 847
在本博客中，从理论到实践，系统的介绍了iptables，如果你想要从头开始了解iptables，可以查看iptables文章列表，直达链接如下前文已经总结了iptables中的基本匹配条件，以及简单的扩展匹配条件，此处，我们来认识一些新的扩展模块。
iptables(二)--扩展详解
weixin_34358092的博客
07-08 477
1、其实匹配扩展中，还有需要加-m引用模块的显示扩展，默认是隐含扩展，不要使用 -m 状态检测的包过滤 -m state --state {NEW,ESTATBLISHED,INVALID,RELATED} 指定检测那种状态 -m multiport 指定多端口号 --sport --dport --ports...
iptables扩展
weixin_54246834的博客
03-21 577
iptables扩展匹配条件之’–tcp-flags’ 见名知义，”–tcp-flags”指的就是tcp头中的标志位，看来，在使用iptables时，我们可以通过此扩展匹配条件，去匹配tcp报文的头部的标识位，然后根据标识位的实际情况实现访问控制的功能。 既然说到了tcp头中的标志位，那么我们就来回顾一下tcp头的结构，如下图所示。 [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-j3t9T1yk-1647876291917)(C:\Users\72983\Desktop\04
iptables 如何条件取反
06-01
在iptables中，条件取反可以通过使用感叹号 `!` 来实现。只需要在匹配条件前加上感叹号即可对条件进行取反。 例如，假设我们要拒绝来自IP地址为192.168.1.100的主机的SSH连接，可以这样写： ``` iptables -A INPUT...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值