Linux防火墙与iptables命令

最新推荐文章于 2024-03-22 16:38:58 发布
最新推荐文章于 2024-03-22 16:38:58 发布
阅读量353 收藏 2
点赞数 2
文章标签： linux 网络 iptables
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_51141557/article/details/110000317
版权

Linux防火墙与iptables命令

防火墙概念

防火墙是指设置在不同网络与网络安全域之间的一系列部件的组合，也是不同安全域之间信息的唯-出口。通过监测、限制并更改跨越防火墙的数据流，尽可能地对外屏蔽网络内部的信息.结构和运行状态，且有选择地接受外部网络访问。在内外网之间架起一道屏障，以避免发生不可预知或潜在的入侵。
Linux的防火墙体系主要工作在网络层.针对TCP/IP数据包实时过滤和限制,属于典型的包过滤防火墙(或称为网络层防火墙)。Linux 系统的防火墙体系基于内核编码实现，具有非常稳定的性能和高效率，也因此获得广泛的应用。
操作系统占据内存的空间为内核空间也称为内核态
用户启用的应用程序占用的空间为用户空间 也称为用户态
区分内核空间和用户空间，内核空间比较稳定，用户空间不稳定，隔离开来可以避免系统崩溃

防火墙可以从两个方面进行分类

从逻辑上分类
	主机防火墙：针对单个主机进行防护
	网络防火墙：处于网络入口或者边缘，针对内外网之间的防护，服务于防火墙背后的本地局域网
	
从物理上分类
	硬件防火墙：在硬件部分实现一部分防火墙功能，性能高，成本高
	软件防火墙：应用软件，用于处理运行在硬件平台之上的防火墙，性能低，成本低

一、Firewalld与iptables简介

1.1Firewalld

  • 支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具
  • 支持IPv4，IPv6防火墙设置以及以太网桥
  • 支持服务或应用程序直接添加防火墙规则接口
  • 拥有两种配置模式
  • 运行时配置（一般测试的时候使用）
  • 永久配置

iptables：并不是一个防火墙，而是管理防火墙的工具，相当于一个客户端

netfilter：防火墙“安全框架”

  • 位于Linux内核中的包过滤体系
  • 称为Linux防火墙的内核态

1.2Firewalld、iptables

  • Centos7上默认的防火墙规则管理工具
  • 称为Linux防火墙的用户态

区别

			 对规则的修改			配置文件				  防火墙类型
			 
Firewalld：不需要全部刷新策略	/usr/lib/firewalld		  动态防火墙
		 	不丢失现行链接	/etc/firewalld
		 	
iptables： 需要全部刷新策略	/etc/sysdonfig/iptables	  静态防火墙
			  丢失链接

netfilter/iptables（简称为iptables）：组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。

二、iptables

2.1四表

表名对应内核模块作用
filteriptables_filter负责过滤功能
natiptables_nat网络地址转换
mangleiptables_mangle报文解析和封装
rawiptables_raw决定数据包是否被状态跟踪机制处理
  • 四表的顺序：raw - - - mangle - - - nat - - - filter（优先级次序）
    报文发送过来之后首先由raw判断是否要被状态跟踪机制处理，再交给mangle表进行解析和封装，再交给nat表进行地址转换，再交给filter表进行过滤

2.2五链

位置链名说明
进路由PREROUTING对数据包做路由选择前应用此规则链中的规则
进系统INPUT进来的数据包应用此规则链中的规则
转发FORWARD转发数据包时应用此规则链中的规则
出系统OUTPUT出去的数据包应用此规则链中的规则
出路由POSTROUTING对数据包作路由选择后应用此规则链中的规则
  • 五链的顺序（报文的流向）：
    PREROUTING - - - FORWARD - - - POSTROUTING（由本机转发的报文）
    PREROUTING - - - INPUT（到本机某进程的报文）
    OUTPUT - - - POSTROUTING（由本机某进程发出的报文，通常为相应报文）

在这里插入图片描述

2.3四表和五链的关系

  • 表包含链，链包含规则

在这里插入图片描述

表名包含的链
rawPREROUTING、OUTPUT
manglePREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING
natPREROUTING、OUTPUT、POSTROUTING（在centos7上还有INPUT链）
filterINPUT、FORWARD、OUTPUT

iptables命令

链上面的规则：根据指定的匹配条件来尝试匹配每个流经该链的报文，一旦匹配成功，则由规则后面指定的处理动作进行处理

2.4操作表

  • 用法：-t 后面跟表名（raw/mangle/nat/filter）
    一般不加 -t 选择表默认为filter表

2.5操作链

常用选项

选项说明
-L列出所有的链上的规则（也可以-t加表名，列出指定表上的规则）
-nip地址和端口号以数字形式显示
-I #在指定链的第#个位置添加规则（不指定#的话默认在第一个）
-A在指定链的尾部添加规则
-D删除匹配规则
-F删除指定链上的规则（不指定的话默认为全部链）
-N创建用户自定义链
-X删除指定的用户自定义链
-P修改指定链的默认规则（不指定链的话默认为全部链）
-R修改规则
-Z将指定链的计数器清零（不指定默认为所有链）

2.6匹配条件

  • 常见的匹配条件
选项作用
-s 地址匹配源地址
-d 地址匹配目标地址
-p匹配协议（tcp/udp/icmp……不选默认全部）
- -sport匹配源端口（22/23/25/80……）
- -dport匹配目标端口（22/23/25/80……）
-o interface匹配出口网卡，作用链：OUTPUT、POSTROUTING
-i interface匹配入口网卡 ,作用链：PREROUTING、INPUT、FORWARD

2.7处理动作

  • 常用处理动作
    用法： - j + 动作名
动作名作用
ACCEPT允许
REJECT拒绝，并且做出回应
DROP直接丢弃，不做任何回应
SNAT源地址转换
DNAT目标地址转换
LOG记录一下，不作任何回应，交给下一条规则处理
  • iptables -nvL ——查看全部链上的详细规则
  • iptables -nvL --line-numbers ——给每条链上的规则加上序号

2.8iptables基本用法

iptables -t 表（raw/mangle/nat/filter） -I/A/R/D/P  前面所选表对应的链(首部/尾部/指定序号修改/指定序号删除/修改默认规则) -s/d 地址ip (源地址/目标地址，多个地址用“，”隔开，不选择默认全部） --sport/dport 端口号（源端口/目标端口，不选默认全部） -p 协议（不选默认全部）  -j 处理动作

在这里插入图片描述
**图片转自小萝卜的博客

  • 示例
[root@localhost ~]# iptables -t filter -nvL		//查看filter表上的所有规则信息，-n 显示ip地址，-v显示详细信息
Chain INPUT (policy ACCEPT 167 packets, 16397 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       all  --  *      *       192.168.136.135      0.0.0.0/0           
    0     0 DROP       all  --  *      *       192.168.136.0        0.0.0.0/0           

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 79 packets, 8989 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       all  --  *      *       192.168.136.0        0.0.0.0/0           

[root@localhost ~]# iptables -F		//清空表上的所有规则，没有选表，默认为filter表
[root@localhost ~]# iptables -nvL	//查看filter上的所有规则
Chain INPUT (policy ACCEPT 6 packets, 432 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 4 packets, 448 bytes)
 pkts bytes target     prot opt in     out     source               destination         

[root@localhost ~]# iptables -nvL --line-numbers	//查看全部规则详细显示，并且带上序号


字段含义
	pkts：对应规则匹配到的报文个数。
	bytes：对应规则匹配到的报文大小总和。
	target ：前面提到的target的特殊值，动作，规则匹配成功后要采取的措施。
	prot – 协议：tcp, udp, icmp等
	opt：规则对应的选项。
	in：数据包由哪个接口流入，（可以设置通过哪块网卡流入的报文，需要匹配当前规则）
	out：数据包由哪个接口流出，（可以设置通过哪块网卡流出的报文，需要匹配当前规则）
	source – 数据包的源IP地址，或网段
	destination – 数据包的目标IP地址，或网段

三、扩展匹配条件（模块匹配）

  • 用法：-m 加模块名 加模块对应选项

常见模块

3.1iprange模块

指定ip地址段，使用该模块就代替了 -s/d 选项

选项说明
- -src-range后面跟源地址范围
- -dst-range后面跟目标地址范围
  • 示例
[root@localhost ~]# iptables -I INPUT -m iprange --src-range 192.168.136.127-192.168.136.254 -j DROP		//在filter表的INPUT链上对来自192.168.136.127-192.168.136.254这个网段报文全部丢弃DROP
[root@localhost ~]# iptables -nvL
Chain INPUT (policy ACCEPT 6 packets, 432 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           source IP range 192.168.136.127-192.168.136.254 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 3 packets, 568 bytes)
 pkts bytes target     prot opt in     out     source               destination         

[root@localhost ~]# ping 192.168.136.128	//从192.168.136.130主机无法ping通上面有规则的主机
PING 192.168.136.128 (192.168.136.128) 56(84) bytes of data.
^C
--- 192.168.136.128 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 3000ms

3.2time模块

根据时间段匹配报文，报文到达的时间在指定范围内，匹配成功，符合规则

选项说明
- -timestart起始时间，指定时间开始，格式：年-月-日 时:分:秒
- -timestop结束时间，默认从当前时间开始，格式：年-月-日 时:分:秒
- -weekdays后面跟数字，多个用逗号隔开，指定星期几
- -monthdays后面跟数字，多个用逗号隔开，指定几月
  • 示例
[root@localhost ~]# iptables -I OUTPUT -p tcp --dport 80 -m time --timestart 08:55:00 --timestop 17:00:00 -j REJECT	//从08:55:00到17:00:00从80端口过来的报文拒绝访问
[root@localhost ~]# iptables -t filter -I OUTPUT -p TCP --dport 8080 -m time --datestart 2019-04-20 --datestop 2019-04-21 -j REJECT	//从2019-04-20到2019-04-21从8080端口过来的报文拒绝女访问
[root@localhost ~]# iptables -nvL --line-numbers	//查看全部规则详细情况，并且带上序号
Chain INPUT (policy ACCEPT 8 packets, 576 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 4 packets, 864 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:8080 TIME starting from 2019-04-20 00:00:00 until date 2019-04-21 00:00:00 reject-with icmp-port-unreachable 
2        0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 TIME from 08:55:00 to 17:00:00 reject-with icmp-port-unreachable

3.3connlimit模块

链接限制模块，限定每个ip链接服务器端的数量，即对单个ip的并发链接限制，一般和端口、协议配合使用

选项说明
- -connlimit-above ##为链接上限
- -connlimit-mask ##为网段，以网段限制链接上限，与- -connlimit-above一起使用
  • 示例
[root@localhost ~]# iptables -t filter -I OUTPUT -p TCP --dport 22 -m connlimit --connlimit-above 2 -j REJECT	//从目标22号端口过来的ssh链接遵从tcp协议的最多有两个，多了就拒绝
[root@localhost ~]# iptables -t filter -I OUTPUT -p TCP --dport 22 -m connlimit --connlimit-above 2 --connlimit-mask 24 -j REJECT	//从目标22号端口过来的属于24网段的ssh链接遵从tcp协议的最多有两个，多了就拒绝
[root@localhost ~]# iptables -nvL --line-numbers
Chain INPUT (policy ACCEPT 10 packets, 720 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 6 packets, 896 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22 #conn/24 > 2 reject-with icmp-port-unreachable 
2        0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22 #conn/32 > 2 reject-with icmp-port-unreachable

3.4string模块

指定匹配的字符串。如果报文中包含对应的字符串，匹配成功，符合规则

选项说明
- -algo指定匹配字符串的算法，bm或者kmp，必选选项
- - string指定需要匹配的字符串，字符串用双引号引用
  • 示例
[root@localhost ~]# iptables -t filter -I INPUT -m string --algo kmp --string "bit" -j REJECT	//碰到带有“bit”敏感字段的报文全部过滤掉
[root@localhost ~]# iptables -nvL --line-numbers
Chain INPUT (policy ACCEPT 9 packets, 680 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           STRING match "bit" ALGO name kmp TO 65535 reject-with icmp-port-unreachable 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 5 packets, 728 bytes)
num   pkts bytes target     prot opt in     out     source               destination

3.5limit模块

限制报文到达的速率，可以以秒、分钟、小时、天为单位限制

用法

--limit		second/minute/hour/day
10/min		一分钟十个包（平均六秒一个）
10/hour		一小时十个包（平均六分钟一个）
24/day		一天二十四个包（平均一小时一个）
…………
  • 示例
[root@localhost ~]# iptables -t filter -I INPUT -m limit --limit 10/min -j ACCEPT	//一分钟允许通过十个
[root@localhost ~]# iptables -t filter -A INPUT -p icmp -j REJECT	//将icmp协议的报文全部丢弃
[root@localhost ~]# iptables -nvL --line-numbers
[root@localhost ~]# iptables -nvL --line-numbers
Chain INPUT (policy ACCEPT 1 packets, 104 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1       48  3840 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           limit: avg 10/min burst 5 
2        0     0 REJECT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-port-unreachable 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 3 packets, 488 bytes)
num   pkts bytes target     prot opt in     out     source               destination

*/在INPUT链上的规则有顺序，先是一分钟十个包，满足条件先执行允许通过，不满足条件不做处理交给下一条规则，下一条规则是icmp协议的包不允许通过

[root@localhost ~]# ping 192.168.136.128
PING 192.168.136.128 (192.168.136.128) 56(84) bytes of data.
64 bytes from 192.168.136.128: icmp_seq=1 ttl=64 time=1.74 ms
64 bytes from 192.168.136.128: icmp_seq=2 ttl=64 time=0.885 ms
64 bytes from 192.168.136.128: icmp_seq=3 ttl=64 time=0.339 ms
64 bytes from 192.168.136.128: icmp_seq=4 ttl=64 time=0.338 ms
64 bytes from 192.168.136.128: icmp_seq=5 ttl=64 time=0.524 ms
From 192.168.136.128 icmp_seq=6 Destination Port Unreachable
64 bytes from 192.168.136.128: icmp_seq=7 ttl=64 time=0.322 ms
From 192.168.136.128 icmp_seq=8 Destination Port Unreachable
From 192.168.136.128 icmp_seq=9 Destination Port Unreachable
From 192.168.136.128 icmp_seq=10 Destination Port Unreachable
From 192.168.136.128 icmp_seq=11 Destination Port Unreachable
From 192.168.136.128 icmp_seq=12 Destination Port Unreachable
64 bytes from 192.168.136.128: icmp_seq=13 ttl=64 time=1.37 ms
From 192.168.136.128 icmp_seq=14 Destination Port Unreachable
From 192.168.136.128 icmp_seq=15 Destination Port Unreachable
From 192.168.136.128 icmp_seq=16 Destination Port Unreachable
From 192.168.136.128 icmp_seq=17 Destination Port Unreachable
From 192.168.136.128 icmp_seq=18 Destination Port Unreachable
64 bytes from 192.168.136.128: icmp_seq=19 ttl=64 time=0.290 ms
From 192.168.136.128 icmp_seq=20 Destination Port Unreachable
From 192.168.136.128 icmp_seq=21 Destination Port Unreachable
From 192.168.136.128 icmp_seq=22 Destination Port Unreachable
From 192.168.136.128 icmp_seq=23 Destination Port Unreachable
From 192.168.136.128 icmp_seq=24 Destination Port Unreachable
64 bytes from 192.168.136.128: icmp_seq=25 ttl=64 time=0.774 ms
*/使用其他主机向该主机发送icmp包时可以清楚看到每个五秒通过一个
前五行是在创建令牌，默认为五个，可以修改

3.6tcp-flags模块

该模块也属于tcp模块，匹配tcp报文的头部的标志位，然后根据标志位的实际情况实现访问控制的功能

在网络部分我们讲了三次握手，四次挥手，讲了TCP的包头，这里主要指tcp包头中的标志SYN,ACK,FIN,RST,URG,PSH。
他的匹配规则是：“SYN,ACK,FIN,RST,URG,PSH SYN”，怎么来理解，我们可以把这串字符拆成两部分去理解，第一部为"SYN,ACK,FIN,RST,URG,PSH"，第二部分为"SYN"。
第一部分表示：我们需要匹配报文tcp头中的哪些标志位，那么上例的配置表示，我们需要匹配报文tcp头中的6个标志位，这6个标志位分别为为"SYN、ACK、FIN、RST、URG、PSH"，我们可以把这一部分理解成需要匹配的标志位列表。
第二部分表示：第一部分的标志位列表中，哪些标志位必须为1，上例中，第二部分为SYN，则表示，第一部分需要匹配的标志位列表中，SYN标志位的值必须为1，其他标志位必须为0。

语法格式： -p tcp -m tcp - -tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN/SYN,ACK(选择前面可以匹配到的标志位)

  • 示例
[root@localhost ~]# iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECT	//匹配在第一次握手的时候就给拒绝
[root@localhost ~]# iptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECT	//匹配在第二次握手的时候给拒绝
[root@localhost ~]# iptables -nvL --line-numbers
Chain INPUT (policy ACCEPT 8 packets, 576 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22 flags:0x3F/0x12 reject-with icmp-port-unreachable 
2        0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22 flags:0x3F/0x02 reject-with icmp-port-unreachable 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 4 packets, 704 bytes)
num   pkts bytes target     prot opt in     out     source               destination

上述命令中的可以匹配到的条件SYN,ACK,FIN,RST,URG,PSH 也可简写为ALL

3.7state模块

可以基于连接追踪功能去查看每一报文当前所处的状态。不论什么协议，客户端第一次访问时，服务器会去内核内存中的追踪表查看他之前是否来过，查不到就证明是第一次来，记录入追踪表，如果查到以前来过就不检查规则，直接允许访问，这称为连接追踪机制。在访问量特别大的场景下，比如负载均衡服务器不建议开启，追踪表最大只能记录6万多的条目，访问数超过就会无法记录出错，导致所有的连接失败

报文的五种状态

状态说明
ESTABLISHED已建立的连接
NEW第一次连接时
RELATED相关链接
INVALID无法识别的连接
UNTRACKEDraw表上关闭连接追踪功能
  • 示例
[root@localhost ~]# iptables -t filter -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT	//允许已建立的链接和相关链接继续链接
[root@localhost ~]# iptables -t filter -A INPUT -j REJECT	//所有链接全部拒绝
[root@localhost ~]# iptables -nvL --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1       17  1304 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
2        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-port-unreachable 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 5 packets, 760 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

*/先匹配第一条规则 保持当前连接和相关链接，然后匹配第二条，不允许任何链接
意思就是除了现在已连接的，其他的链接不允许通过

四、防火墙规则的永久保存

在Linux操作系统中，防火墙的规则都是一次性的，下次重启后就会消失，为了防止重启后带来的问题可以先将规则保存在文件内，在下次重启的时候将规则恢复就可以了

规则的保存与恢复
	保存
		service  iptables  save			默认保存在/etc/sysconfig/iptables文件中
		iptables-save  >  文件路径		也可以重定向到其他文件中
	 恢复
	 	iptables-restore  <  文件路径	将文件中保存的规则加载到防火墙中

防火墙规则配置流程

1.清除原有的规则
	iptables -F
2.查看规则
	iptables -nvL --line-numbrs
3.添加规则
	iptables命令
4.保存规则

Centos7

systemctl  stop  firewalld		关闭防火墙
systemctl  disable  firewalld	关闭开机自动启动防火墙
systemctl  start  firewalld		开启防火墙
systemctl  enable  firewalld		开启开机自动启动防火墙

五、示例

iptables常用编写规则

1.清空规则
	iptables -F
	iptables -X
2.在INPUT链上，tcp为ESRANLISHED，RELATED的数据包放行
	iptables -t filter -I INPUT -p tcp -m state --state ESRANLISHED，RELATED -j ACCEPT
3.在INPUT链上，tcp为NEW的并且端口号为22的数据包放行
	iptables -t filter -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
4.在OUTPUT链上，tcp为ESRANLISHED，RELATED的数据包放行
	iptables -t filter -A OUTPUT -p tcp -m state --state ESRANLISHED，RELATED -j ACCEPT
5.INPUT和OUTPUT默认规则为DROP
	iptables -P INPUT,OUTPUT  DROP
6.打开本地回环地址访问
	iptables -A INPUT -i lo -j ACCEPT
	iptables -A OUTPUT -o lo -j ACCEPT
7.不允许其他主机ping本主机
	iptables -A INPUT -p icmp -j DROP
	iptables -A INPUT -s 192.168.136.130 -j ACCEPT
8.对主机开放DNS（53端口）的访问
	iptables -t filter -I INPUT -p tcp -m tcp --dport 53 -j ACCEPT
	iptables -A INPUT -p all --sport 53 -j ACCEPT
	iptables -A OUTPUT -p all --dport 53 -j ACCEPT

基本服务规则限制

1.限制ssh服务，每个ip地址最多2个链接
	iptables -t filter -A INPUT -p tcp -m tcp --dport 22 -m connlimit --connlimit-above 2 -j ACCPET
2.限制web服务（80端口）每个ip地址的最大链接请求数为50，超过则丢弃
	iptables -t filter -A INPUT -p tcp -m tcp --dport 80 ! -m connlimit --connlimit-above 50 -j DROP
清柠味的小阿giao
关注
  • 2
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
Linux防火墙iptables命令详解
下一个艺术家
12-01 1428
本篇博客对Linux防火墙及一些命令进行解释，并展示现象。
【上班族副业】网络安全攻防：Linux系统安全之iptables配置
ncw8080的博客
03-04 423
iptables是用来设置、维护和检查Linux内核的IP分组过滤规则的。作为Linux下的一款防火墙，它的功能十分强大，它有3个表，每个表内有规则链。 （1）filter 是默认的表，包含了内建的链 INPUT（处理进入的分组）、FORWARD（处理通过的分组）和OUTPUT（处理本地生成的分组）。 （2）nat表被查询时表示遇到了产生新的连接的分组，由3个内建的链构成：PREROUTING（修改到来的分组）、OUTPUT（修改路由之前本地的分组）、POSTROUTING（修改准备出去的分组）。 （3）m
Linux防火墙iptables命令
培根芝士的专栏
03-30 434
iptables命令iptables命令是Linux上常用的防火墙软件，是netfilter项目的一部分。可以直接配置，也可以通过许多前端和图形界面配置。【语法】iptables(选项)(参数)【选项】-t&lt;表&gt;：指定要操纵的表；-A：向规则链中添加条目；-D：从规则链中删除条目；-i：向规则链中插入条目；-R：替换规则链中的条目；-L：显示规则链中已有的条目；-F：清除规则链中已有的...
Linux 防火墙iptables命令详解
yongchaocsdn的博客
06-04 1003
转载自：http://www.cnblogs.com/blogforly/p/5997287.html Linux 防火墙iptables命令详解 <div class="postBody"> <div id="cnblogs_post_body"><p>【<a href="http://
Linux-防火墙iptables基本命令、常用端口的开放阻止删除.docx
07-19
Linux--防火墙iptables基本命令、常用端口的开放阻止删除.docx
Linux防火墙iptables入门教程
01-10
Iptables是一个基于命令行的防火墙工具，它使用规则链来允许/阻止网络流量。当一条网络连接试图在你的系统中建立时，iptables会查找其对应的匹配规则。如果找不到，iptables将对其采取默认操作。几乎所有的Linux发行...
Linux Ubuntu系统iptables防火墙配置
11-11
Linux中iptables是一个静态防火墙工具，不同于动态的firewalld。在Ubuntu 16.04中，不能直接使用iptables相关的systemctl命令进行管理，但可以通过其他方式配置和启用iptables规则。 3. 远程工具 远程访问服务器...
详解Linux iptables 命令
09-15
Linux iptables命令是Linux系统管理员用来管理IPv4数据包过滤和网络地址转换（NAT）的重要工具。它允许用户在操作系统内核的netfilter框架下设置规则，以控制网络流量的流入、流出和转发。iptables提供了高度灵活的...
linux系统防火墙iptables命令规则及配置的示例
weixin_33743703的博客
06-26 359
linux系统防火墙iptables命令规则及配置的示例（本机IP为172.16.63.7）： 1、允许172.16网段内的主机访问： #iptables -t filter -A INPUT -s 172.16.0.0/16 -d 172.16.63.7 -j ACCEPT 译：-t表，默认filter -A追加规则 INPUT进入 -s检查源 -d检...
iptables防火墙（一）
qq_57377057的博客
08-12 519
由软件包iptables提供的命令行工具，工作在用户空间，用来编写规则，写好的规则被送到netfilter，告诉内核如何处理信息包Linux 的防火墙体系主要工作在网络层，针对 TCP/IP 数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）。Linux 系统的防火墙体系基于内核编码实现， 具有非常稳定的性能和高效率，也因此获得广泛的应用。netfilter/iptables：IP 信息包过滤系统，它实际上由两个组件 netfilter 和 iptables组成。...
iptables防火墙及其相关命令
shaonianbz的博客
04-13 432
1、iptables防火墙简介 Iptables也叫netfilter是Linux下自带的一款免费且优秀的基于包过滤的防火墙工具，它的功能十分强大，使用非常灵活，可以对流入、流出、流经服务器的数据包进行精细的控制。iptables是Linux2.4及2.6内核中集成的模块。 2、iptables原理简介 （1）iptables的结构 在iptables中有四张表，分别是filter、n...
IPTABLES中文MAN
NETOCOOL的专栏
12-13 2494
总览用iptables -ADC 来指定链的规则，-A添加 -D删除 -C 修改iptables - [RI] chain rule num rule-specification[option]用iptables - RI 通过规则的顺序指定iptables -D chain rule num[option]删除指定规则iptables -[LFZ] [chain][option]用i
iptables命令详解
最新发布
ZBraveHeart的博客
03-22 5028
Netfilter框架在Linux内核中通过一系列的钩子（hooks）实现数据包处理的不同阶段，iptables就可以通过这些钩子来插入自定义的规则，从而实现对数据包的控制。在Linux环境下，iptables就是一款强大而灵活的防火墙工具，它为系统管理员提供了广泛的配置选项，能够有效地控制数据包的流动，实现网络访问的控制和安全性增强。这个命令将通过本机出口的TCP数据包的目标端口为80的流量转发到192.168.1.200，而不改变目标端口。它可以用于改变数据包的目标地址，源地址，目标端口或源端口。
Linux 防火墙iptables命令详解
weixin_33862514的博客
10-25 94
【转：原文链接】 iptables -Fiptables -Xiptables -F -t mangleiptables -t mangle -Xiptables -F -t natiptables -t nat -X首先，把三个表清空，把自建的规则清空。iptables -P INPUT DROPiptables -P OUTPUT DROPiptables -P FORWARD ACCEPT...
防火墙概念与iptables命令详解
m0_63963588的博客
03-04 864
当默认链的规则非常多的时候，不方便管理。比如有五十条针对http的规则，有两条针对ssh规则的，有一条针对icmp为了方便管理可以将五十条的http规则重新写到一个自定义链中，以后就可以在这个自定义链中增加有关http协议的规则。使用自定义链：先创建再引用最后创建规则。
Linux------iptables防火墙常用命令
weixin_48190875的博客
08-26 1538
iptables的表、链结构 规则链 规则的作用:对数据包进行过滤或处理 链的作用:容纳各种防火墙规则 链的分类依据:处理数据包的不同时机 默认包括5种规则链 INPUT:处理入站数据包 OUTPUT:处理出站数据包 FORWARD:处理转发数据包 POSTROUTING链: 在进行路由选择后处理数据包 PREROUTING链:在进行路由选择前处理数据包 规则表 表的作用:容纳各种规则链 表的划分依据:防火墙规则的作用相似 默认包括4个规则表 raw表:确定是否对该数据包进行状
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值