iptables 经验总结，及实战实例

写防火墙一般写进来的防护INPUT，出去的OUTPUT不写

防火墙先放行，再设置默认策略

iptables -P INPUT ACCEPT

 

先放行22，再放行其他的端口

再设置默认策略为drop，这样非范围内的就不能上来了

 

 

为安全起见，操作的时候，先看下input的默认策略，如果是DROP，执行-F， 就不可以再上去了。最好建一个crontab， 15分钟后自动执行，完事之后再停掉，写

iptables -P INPUT ACCEPT

iptables -F

 

 

对已建立的链接放行

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

 

一次放行多个端口

iptables -A INPUT -p tcp -m multiport --dports 21,22,25,80,88,8080,3006 -j ACCEPT

 

 

一定要保存，不然防火墙重启后策略都没了

service iptables save

 

 

 

 

 

 

实战：

放行回环口

iptables -A INPUT -i lo -j ACCEPT

 

放行指定端口 (8080 tomcat http 指定端口，8443 tomcat https端口，9000 php-mpm端口，21 ftp端口)

iptables -A INPUT -p tcp -m multiport --dports 21,22,80,443,8080,8443,3306 -j ACCEPT

 

已建立连接的放行

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

 

安全起见，没有放行的，drop掉 (唯一不指定 -j 指定动作的情况，是设置默认策略)

iptables -P INPUT DROP

 

iptables -nvL

 

 

-- 转发上网 (SNAT)

内网网段通过外网网卡上网

外网网卡：192.168.0.10

内网网卡：192.168.2.1/24

 

内网网段: 192.168.2.0/24

 

iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j SNAT --to 192.168.0.10

 

 

-- 端口映射（DNAT）

iptables -t nat -A PREROUTING -d 192.168.0.10 -p tcp --dport 80 -j DNAT --to 192.168.2.10

 

192.168.0.10 出口地址/外网地址

192.168.2.10 内网地址

 

访问0.10机器的80端口，会转发到2.10的机器。2.10可能是和0.10机器的内网ip 2.x 在一个网段的机器IP

 

外网访问到内网

 

 

-A PREROUTING -p tcp -m tcp --dport 3306 -j DNAT --to-destination 59.110.201.46:3306

 

 

 

要封停一个IP，使用下面这条命令：

iptables -I INPUT -s ***.***.***.*** -j DROP

要解封一个IP，使用下面这条命令：

iptables -D INPUT -s ***.***.***.*** -j DROP

 

 

 

 

实站：

/sbin/iptables -P INPUT ACCEPT

/sbin/iptables -F

/sbin/iptables -X

/sbin/iptables -Z

 

/sbin/iptables -A INPUT -i lo -j ACCEPT 

 

/sbin/iptables -I INPUT -s 112.126.73.93 -j DROP   # 屏蔽这个ip的所有访问

/sbin/iptables -A INPUT -s 60.205.179.129 -p tcp --dport 22 -j ACCEPT  # 放行指定IP可访问对应端口

/sbin/iptables -A INPUT -s 10.132.0.0/16 -j ACCEPT   # 放行内网网段

 

/sbin/iptables -A INPUT -p tcp --dport 21 -j ACCEPT

/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT  # 此行可注释，上面指定ip可访问22端口，从指定端口登录

/sbin/iptables -A INPUT -p tcp --dport 23 -j ACCEPT

/sbin/iptables -A INPUT -p tcp --dport 25 -j ACCEPT

/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT

/sbin/iptables -A INPUT -p tcp --dport 443 -j ACCEPT

/sbin/iptables -A INPUT -p tcp --dport 3306 -j ACCEPT

/sbin/iptables -A INPUT -p tcp --dport 6379 -j ACCEPT

/sbin/iptables -A INPUT -p tcp --dport 8080 -j ACCEPT

/sbin/iptables -A INPUT -p tcp --dport 8081 -j ACCEPT

/sbin/iptables -A INPUT -p tcp --dport 8443 -j ACCEPT

 

/sbin/iptables -A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT

/sbin/iptables -A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT

/sbin/iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

/sbin/iptables -P INPUT DROP