Linux系统使用iptables防火墙控制系统端口的方法

最新推荐文章于 2024-04-23 07:56:58 发布
最新推荐文章于 2024-04-23 07:56:58 发布
阅读量822 收藏
点赞数
分类专栏： Linux 文章标签： linux sendmail iptables

最近邮件服务器被攻击，所以用iptables把所有端口都关了，然后再一 一打开在用服务要用的端口，查了一下iptables的简单用法，在此记录一下：

开放不连续端口（包括单个）：

iptables -A INPUT -p tcp -m multiport --dport 21,20 -j ACCEPT


其他都关闭：

iptables -A INPUT -p tcp -j REJECT --reject-with tcp-reset


开放连续端口：

iptables -A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 8001:8140 -j ACCEPT


列出所有规则

iptables -L


还可以直接修改/etc/sysconfig/iptables，如何写，参考已开端口，或者按照上面的命令填写即可

vi /etc/sysconfig/iptables


保存规则

service iptables save


重新启动iptables

service iptables restart


只允许端口22的访问 其他端口全部都不能访问的， 端口22就是我们通过ssh来进行远程访问Linux默认端口。

看我现在服务器的情况：

通过命令 netstat -tnl 可以查看当前服务器打开了哪些端口

[root@localhost ~]# netstat -tnl
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address               Foreign Address             State      
tcp        0      0 0.0.0.0:40171               0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:10060               0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:10061               0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:58798               0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:110                 0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:143                 0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:111                 0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:8080                0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:11029               0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:22                  0.0.0.0:*                   LISTEN      
tcp        0      0 127.0.0.1:631               0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:25                  0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:10009               0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:11033               0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:10688               0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:4546                0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:10086               0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:5001                0.0.0.0:*                   LISTEN      
tcp        0      0 0.0.0.0:6889                0.0.0.0:*                   LISTEN      
tcp        0      0 :::110                      :::*                        LISTEN      
tcp        0      0 :::143                      :::*                        LISTEN      
tcp        0      0 :::111                      :::*                        LISTEN      
tcp        0      0 :::80                       :::*                        LISTEN      
tcp        0      0 ::ffff:127.0.0.1:45297      :::*                        LISTEN      
tcp        0      0 :::1521                     :::*                        LISTEN      
tcp        0      0 :::22                       :::*                        LISTEN      
tcp        0      0 ::1:631                     :::*                        LISTEN      
tcp        0      0 :::10168                    :::*                        LISTEN      
tcp        0      0 :::57658                    :::*                        LISTEN      
tcp        0      0 :::59528                    :::*                        LISTEN


下面我们关闭所有的端口

[root@localhost ~]# iptables -P INPUT DROP
[root@localhost ~]# iptables -P FORWARD DROP
[root@localhost ~]# iptables -P OUTPUT DROP


下面我只打开22端口

[root@localhost ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
[root@localhost ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT


再查看下

[root@localhost ~]# iptables -L -n


通过命令：service iptables save 进行保存

[root@localhost ~]# service iptables save


针对这2条命令进行一些讲解
-A 参数就看成是添加一条 INPUT 的规则
-p 指定是什么协议 我们常用的tcp 协议，当然也有udp 例如53端口的DNS
到时我们要配置DNS用到53端口 大家就会发现使用udp协议的
而 --dport 就是目标端口 当数据从外部进入服务器为目标端口
反之 数据从服务器出去 则为数据源端口 使用 --sport
-j 就是指定是 ACCEPT 接收 或者 DROP 不接收

#允许目的端口为125的连接

iptables -t filter -A INPUT -p tcp --dport 125 -j ACCEPT


#允许本地的回环

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT


#防止ip欺骗，因为出入eth1的包的ip应该是公网ip

iptables -A INPUT -d 192.168.25.0/24 -i eth1 -j DROP
iptables -A INPUT -s 192.168.20.0/24 -i eth1 -j DROP
iptables -A OUTPUT -d 192.168.20.0/24 -o eth1 -j DROP
iptables -A OUTPUT -s 192.168.20.0/24 -o eth1 -j DROP


#屏蔽端口 5000

iptables -A INPUT -p tcp -m tcp --sport 5000 -j DROP
iptables -A INPUT -p udp -m udp --sport 5000 -j DROP
iptables -A OUTPUT -p tcp -m tcp --dport 5000 =j DROP
iptables -A OUTPUT -p udp -m udp --dport 5000 =j DROP


#禁止 Internet网的用户访问 mysql 服务器 (就是 3306 端口)

iptables -A INPUT -i eth1 -p tcp -m tcp --dport 3306 -j DROP
iptables -A INPUT -s 192.168.20.0/24 -i eth1 -p tcp -m tcp --dport 3306 -j ACCEPT
iptables -A INPUT -s 116.255.172.110/24 -i eth0 -p tcp -m tcp --dport 3306 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 3306 -j DROP


#防止syn-flood攻击

iptables -N syn-flood
iptables -A INPUT - i ppp0 -p tcp --syn -j syn-flood
iptables -A syn-flood -m limit --limit 1/s --limit-burst 4 -j RETURN
iptables -A syn-flood -j DROP


#允许http的规则

iptables -A INPUT -i ppp0 -p tcp -s 0/0 --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp -s 0/0 --sport 443 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp -d 0/0 --dport 80 -j ACCEPT
iptables -A INPUT -i PPP0 -P tcp -d 0/0 --dport 442 -j ACCEPT


#允许DNS 的规则

iptables -A INPUT -i ppp0 -p udp -s0/0 --sport 53 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i ppp0 -p udp -s0/0 --sport 53 -j ACCEPT


#允许IP1和ip2 远程ssh连接

iptables -A INPUT -p tcp -s ip1/32 --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -s ip2/32 --dport 22 -j ACCEPT


#允许外网的vpn连接

iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
iptables -A INPUT -p gre -j ACCEPT


#不允许无知不明的数据包

iptables -A INPUT -i eth0 -m state --state INVALID -j DROP


#禁止周一到周六的8:00-20:30禁止内网上QQ网页

iptables -I FORWARD -s 192.168.0.0/24 -m string --string "qq.com" -m time --timestart 8:00 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP


#是自己用的机器统一放行

iptables -I INPUT -s 192.168.55.250 -j ACCEPT
iptables -I FORWARD -s 192.168.55.250 -j ACCEPT


#禁止BT连接

iptables -A FORWARD -m ipp2p --edk --kazaa --bit -j DROP
iptables -A FORWARD -p tcp -m ipp2p --ares -j DROP
iptables -A FORWARD -p udp -m ipp2p --kazaa -j DROP


#状态是ESTABLISHED,RELATED的直接允许通过。

iptables -A INPUT -i ppp0 -p tcp -s 0/0 -m state --state ESTABLISHED,RELATED -j ACCEPT


#其他情况不允许

iptables -A INPUT -i eth0 -j DROP


本文章大部分内容转自：http://blog.sina.com.cn/s/blog_a39910330101hgqo.html

另外我的问题没有成功解决啊，开放了25目标端口还是发不出去邮件。


慕美文
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
LINUX中IPTABLES防火墙的基本使用教程
01-20
前言 对于有公网IP的生产环境VPS，仅仅开放需要的端口，即采用ACL来控制IP和端口(Access Control List). 这里可以使用Linux防火墙netfilter的用户态工具 iptables有4种表：raw–>mangle(修改报文原数据)–>nat(定义地址转换)–>filter(定义允许或者不允许的规则) 每个表可以配置多个链: * 对于filter来讲一般只能做在3个链上：INPUT ，FORWARD ，OUTPUT * 对于nat来讲一般也只能做在3个链上：PREROUTING ，OUTPUT ，POSTROUTING * 对于mangle是5个链都可以做：PR
防火墙 iptables
CodeStar`
09-15 550
防火墙的设定主要使用的就是 iptables 这个指令而已。而防火墙是系统管理员的主要任务之一， 且对于系统的影响相当的大，因此『只能让 root 使用 iptables 』，不论是设定还是观察防火墙规则。
在任意位置Reset掉任意的TCP连接
Netfilter
11-07 8223
漫漫长夜又要降临…黑夜里，我不敢点灯，复明日，阳光下，我不敢睁眼。 这篇文章完全来自于我在解决另一个问题是一个突然的想法。所以并没有什么前因后果。 我本来是想模拟一个TCP接收端对收到数据包的确认，采用了Scapy这个简单的工具，然而折腾了大半天没有顺利搞定。其实我是不怎么懂Python的，折腾了大半天之后，竟然对Python产生了兴趣，正好旁边有人碰到了TCP连接被莫名Reset掉的案例，借这个...
iptables防火墙
fengmaohuli的博客
06-05 483
Linux包过滤防火墙概述 netfilter iptables iptables的表、链结构 规则的作用： 链的作用： 链的分类依据： 默认包括5种规则链 INPUT： OUTPUT： FORWARD： POSTROUTING链： PREROUTING链： iptables概述 -netfilter和iptables关系: iptables的四表五链结构介绍 四表五链 四表： raw表： mangle表： nat表： filter表： 五链： INPUT：
iptables 数据包经过防火墙的路径
starspirit的专栏
08-25 1452
<br />转自: http://www.linux.gov.cn/netweb/iptables.htm<br /> <br />图1比较完整地展示了一个数据包是如何经过防火墙的，考虑到节省空间，该图实际上包了三种情况：<br />来自外部，以防火墙（本机）为目的地的包，在图1中自上至下走左边一条路径。<br />由防火墙（本机）产生的包，在图1中从“本地进程”开始，自上至下走左边一条路径<br />来自外部，目的地是其它主机的包，在图1中自上至下走右边一条路径。 <br /><br />图1<br />
iptables 之 REJECT 与 DROP 对比
风雪小筑
05-18 3262
前言 在访问国外网站时，F12 看 console，下面两种错误很常见： (1),Failed to load resource: net::ERR_CONNECTION_REFUSED (2),Failed to load resource: net::ERR_CONNECTION_TIMEOUT 不考虑网络状况的情况下，一般是不同的 iptables 策略导致的。 本文简单分析不同 iptables 策略下不同的现象。 Netcat 监听端口 Linux 服务器配置防火墙策略时，对一些不希望对外开放的端
iptables 常用处理动作
weixin_39833509的博客
03-10 867
在iptables中，-j 参数用来指定要进行的处理动作，常用的处理动作包括：ACCEPT、REJECT、DROP、REDIRECT、MASQUERADE、LOG、DNAT、SNAT、MIRROR、QUEUE、RETURN、MARK。 分别说明如下： ACCEPT将数据包放行，进行完此处理动作后，将不再比对其它规则，直接跳往下一个规则链。 REJECT拦阻该数据包，并传送数据包通知对方，可以传送的数据包有几个选择：ICMP port-unreachable、ICMP echo-reply 或是tc..
iptables drop与reject 的区别
weixin_42808782的博客
04-08 9119
IPtables 中drop与reject的目的都是为了拒绝连接，过滤掉请求 但drop与reject 的拒绝“效果” 是不一样的，举例说明一下： 配置举例： 添加了三条规则，1个drop，两个reject： iptables -A INPUT -p tcp --dport 8088 -j DROP iptables -A INPUT 5 -p tcp --dport 80 -j REJECT --reject-with tcp-reset iptables -A INPUT -p tcp --dport
iptables reject-with icmp-host-prohibited
热门推荐
weixin_34384557的博客
11-30 1万+
应用策略之前　　我的脚本的下一段反映了我上面所说的哲学问题。如果不再添加规则，那么剩余的数据包就会满足过滤链的策略，因而全部被丢弃。但是我已经打开了路由器上的端口，因此即使放弃剩余数据包，也不会影响整个过程。这也是我允许ping的一部分原因。因此，我也选择做个好的TCP顺民：　　iptables -A INPUT -p tcp -jREJECT --reject-with ...
构筑Linux防火墙之IPtables的概念与用法
05-14
通过使用iptables系统提供的特殊命令 iptables，建立这些规则，并将其添加到内核空间的特定信息包过滤表内的链中。关于添加、除去、编辑规则的命令的一般语法如下： iptables [-t table] command [match] [target...
基于Linux 的防火墙技术研究
11-24
Linux 在其2.4 内核中内置了一个基于网络层解决方案的防火墙系统—Netfilter/Iptables,它使得 用户能够很方便地在网络边界定制对数据包的各种控制,如有状态或无状态的包过滤、各种类型的网 络地址转换、流量控制及...
企业级Linux服务攻略
01-17
10.4 客户端配置Linux客户端的使用 10.5 NFS排错 10.6 本章练习 10.7 字段汇总 第11章 NIS 11.1 NIS原理 11.1.1 NIS简介 11.1.2 NIS工作原理 11.1.3 NIS工作模式 11.2 NIS的安装 11.2.1 NIS所需软件 11.2.2 安装...
redhat linux教材20课程学习文档
04-24
18.9.3 防火墙iptables 18.10 简单攻击检测 18.11 使用安全工具 18.11.1 saint 18.11.2 SSH 18.11.3 tcplogd 18.11.4 swatch 18.11.5 tcpdump 18.11.6 whois 第十九章 系统优化和核心参数调整 19.1 系统性能与优化...
【Linux】解决切换用户出现bash-4.2$问题
最新发布
weixin_44628581的博客
04-23 315
etc/skel/.bashrc /etc/skel/.bash_profile 传过去后显示登录成功。cp /etc/skel/.bash_profile /opt/孙悟空。cp /etc/skel/.bash_profile /opt/沙悟净。cp /etc/skel/.bash_profile /opt/猪八戒。cp /etc/skel/.bash_profile /opt/唐僧。cp /etc/skel/.bashrc /opt/猪八戒。切换用户出现 bash 4.2 问题。
linux18：进程等待
m0_73919066的博客
04-20 1004
1：子进程创建的目的是要完成父进程指派的某个任务，当子进程运行完毕退出时，父进程需要通过进程等待的方式，回收子进程资源，获取子进程退出信息（子进程有无异常？没有异常结果是否正确？检查退出码查看错误原因）2：父进程如果一直不回收，就可能造成子进程‘僵尸进程’的问题，子进程一直得不到父进程的回收，进而造成内存泄漏。3：子进程一旦变成僵尸状态，那就刀枪不入，“杀人不眨眼”的kill -9 也无能为力杀死一个已经死去的进程。只能通过进程等待将他进行回收。
Linux操作系统
nuts66的博客
04-18 1795
Docker是一个开源的应用容器引擎，可以让开发者打包他们的应用以及依赖包到一个轻量级、可移植的容器中，然后发布到任何流行的Linux机器上，也可实现虚拟化。容器是完全使用沙箱机制，相互之间不会有任何接口，并且容器性能开销极低。传统虚拟机技术是虚拟出一套硬件后，在其上运行一个完整操作系统。而Docker容器内的应用进程直接运行于宿主的内核，容器内没有自己的内核，因此比传统虚拟机更轻便。JDK是Java的开发工具包，因为tomcat是用Java开发的，所以需要先安装好JDK。3.部署网站war包。
Linux（磁盘管理与文件系统）
m0_61187759的博客
04-17 533
1. 磁盘基础1.1 磁盘结构 磁盘的物理结构盘片:硬盘有多个盘片，每盘片2面磁头:每面一个磁头 硬盘的数据结构扇区:盘片被分为多个扇形区域，每个扇区存放512字节的数据，硬盘的最小存储单位磁道:同一盘片不同半径的同心圆，是由磁头在盘片表面划出的圆形轨迹柱面:不同盘片相同半径构成的圆柱面，由同一半径圆的多个磁道组成 硬盘存储容量=磁头数x磁道(柱面)数x每道扇区数x每扇区字节数(512字节)可以用柱面/磁头/扇区来唯一定位磁盘上每一个区域 磁盘接口类型 ：SATA M.2 SCSI IDE 1.2
Spectre-v2 以及 Linux Retpoline技术简介
小立仔
04-19 1152
Spectre-v2 以及 Linux Retpoline技术简介
【Linux进阶之路】高级IO
Shun_Hua的博客
04-19 1105
本篇文章主要带领读者理解更加高效的IO，从基本概念，到IO的方式，再到函数的使用，在到服务设计的框架，最终我们将完成一个基于ET模式和epoll多路转接的Reactor模式下的半同步半异步的服务。
浅谈Linux系统中iptables的应用
05-15
iptables 是 Linux 系统中的一个强大的防火墙工具，它可以用于过滤、重定向和修改网络数据包。它是一个基于内核的软件，可以对数据包进行过滤和修改，从而实现网络连接的控制和管理。在 Linux 系统中，iptables 是最...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值