ubuntu通过iptables设置某一个ip网段禁用所有端口

最新推荐文章于 2024-02-26 02:01:59 发布
最新推荐文章于 2024-02-26 02:01:59 发布
阅读量2k 收藏 2
点赞数 1
分类专栏： Linux开发 文章标签： ubuntu linux netfilter 禁用端口
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_30624591/article/details/119916944
版权

iptables其实不是真正的防火墙，我们可以把它理解成一个客户端代理，用户通过iptables这个代理，将用户的安全设定执行到对应的”安全框架”中，这个”安全框架”才是真正的防火墙，这个框架的名字叫netfilter。

netfilter才是防火墙真正的安全框架（framework），netfilter位于内核空间。iptables其实是一个命令行工具，位于用户空间，我们用这个工具操作真正的框架。

我的需求是禁止通过虚拟ip网段(网卡设备名称为eth1:1）访问bmc设备，当前已经确定为5.5.66.xx这个网段，实现所有端口访问的限制。

1、安装iptables应用

sudo apt-get install iptables

2、执行iptables -L，出现以下报错：
root@vclustersBMC:~# iptables -L
iptables v1.4.21: can't initialize iptables table `filter': No chain/target/match by that name
Perhaps iptables or your kernel needs to be upgraded.

原因分析，主要内核没有打开netfilter相关模块有关，需要在内核打开对应配置，然后更新内核。
解决办法：在编译内核的时候把对应的netfilter config配置项打开（具体根据你的内核的版本来具体分析，需要自己验证），更新内核即可。

解决办法主要为：

    1.make menuconfig

    2.-*- Networking support  --->
              Networking options  --->
                  [*] Network packet filtering framework (Netfilter)  --->

                        Core Netfilter Configuration  ---> 
							<*> Netfilter NFACCT over NFNETLINK interface                                
							<*> Netfilter NFQUEUE over NFNETLINK interface                               
							<*> Netfilter LOG over NFNETLINK interface                                   
							<*> Netfilter connection tracking support

                            <*> nfmark target and match support
                            <*> Netfilter Xtables support (required for ip_tables)

	          <*>   Ethernet Bridge tables (ebtables) support  --->
		           --- Ethernet Bridge tables (ebtables) support                                
			         <*>   ebt: broute table support                                              
			         <*>   ebt: filter table support                                              
		             <*>   ebt: nat table support                                                 
			         <*>   ebt: 802.3 filter support                                              
			         <*>   ebt: among filter support                                              
			         <*>   ebt: ARP filter support                                                
			         <*>   ebt: IP filter support                                                 
			         <*>   ebt: IP6 filter support                                                
			         <*>   ebt: limit match support                                               
			         <*>   ebt: mark filter support                                               
			         <*>   ebt: packet type filter support                                        
			         <*>   ebt: STP filter support                                                
		          	 <*>   ebt: 802.1Q VLAN filter support                                        
			         <*>   ebt: arp reply target support                                          
			         <*>   ebt: dnat target support                                               
			         <*>   ebt: mark target support                                               
			         <*>   ebt: redirect target support                                           
			         <*>   ebt: snat target support                                               
			         <*>   ebt: log support                                                       
			         <*>   ebt: nflog support
		
		

                 IP: Netfilter Configuration  --->
                           <*> IP tables support (required for filtering/masq/NAT)
                           <*>   raw table support (required for NOTRACK/TRACE)
3、当前的bmc设备虚拟ip一般设置为eth1：1

所以目前的做法是先解析到虚拟ip的网段，然后设置该网段禁止访问bmc即可，具体可使用一个shell脚本实现，开机之后自动运行来设置。

4、其中的一些验证情况
root@vclustersBMC:~# netstat -lntp  /查看有哪些端口
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      2476/rpcbind    
tcp        0      0 0.0.0.0:8080            0.0.0.0:*               LISTEN      2702/python     
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      2640/nginx      
tcp        0      0 0.0.0.0:54321           0.0.0.0:*               LISTEN      2693/socat      
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      2593/sshd       
tcp        0      0 0.0.0.0:23              0.0.0.0:*               LISTEN      2586/xinetd     
tcp        0      0 0.0.0.0:8888            0.0.0.0:*               LISTEN      2640/nginx      
tcp        0      0 0.0.0.0:8800            0.0.0.0:*               LISTEN      2742/python     
tcp        0      0 0.0.0.0:50628           0.0.0.0:*               LISTEN      2521/rpc.statd  
tcp6       0      0 :::111                  :::*                    LISTEN      2476/rpcbind    
tcp6       0      0 :::48341                :::*                    LISTEN      2521/rpc.statd  
tcp6       0      0 :::22                   :::*                    LISTEN      2593/sshd

设置192.168.32.0网段的ip禁止访问以上端口：	       
        iptables -I INPUT -s 192.168.32.0/24 -p tcp --dport 111 -j DROP
        iptables -I INPUT -s 192.168.32.0/24 -p tcp --dport 8080 -j DROP
        iptables -I INPUT -s 192.168.32.0/24 -p tcp --dport 80 -j DROP
        iptables -I INPUT -s 192.168.32.0/24 -p tcp --dport 54321 -j DROP
        iptables -I INPUT -s 192.168.32.0/24 -p tcp --dport 22 -j DROP
        iptables -I INPUT -s 192.168.32.0/24 -p tcp --dport 23 -j DROP
        iptables -I INPUT -s 192.168.32.0/24 -p tcp --dport 8888 -j DROP
        iptables -I INPUT -s 192.168.32.0/24 -p tcp --dport 8800 -j DROP
        iptables -I INPUT -s 192.168.32.0/24 -p tcp --dport 43969 -j DROP
        iptables -I INPUT -s 192.168.32.0/24 -p tcp --dport 43907 -j DROP

root@vclustersBMC:~# iptables -L -n   //查看设置情况
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  192.168.32.0/24      0.0.0.0/0            tcp dpt:43907
DROP       tcp  --  192.168.32.0/24      0.0.0.0/0            tcp dpt:43969
DROP       tcp  --  192.168.32.0/24      0.0.0.0/0            tcp dpt:8800
DROP       tcp  --  192.168.32.0/24      0.0.0.0/0            tcp dpt:8888
DROP       tcp  --  192.168.32.0/24      0.0.0.0/0            tcp dpt:23
DROP       tcp  --  192.168.32.0/24      0.0.0.0/0            tcp dpt:22
DROP       tcp  --  192.168.32.0/24      0.0.0.0/0            tcp dpt:54321
DROP       tcp  --  192.168.32.0/24      0.0.0.0/0            tcp dpt:80
DROP       tcp  --  192.168.32.0/24      0.0.0.0/0            tcp dpt:8080
DROP       tcp  --  192.168.32.0/24      0.0.0.0/0            tcp dpt:111

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination 


设置完之后，在192.168.11.xx的网段可以访问bmc，在192.168.32.xx的网段不能访问bmc，验证如下：

C:\Users\Administrator>curl 192.168.11.252   //通过adb工具在192.168.11.xx网段访问bmc，可以访问
<!DOCTYPE html><html><head><meta charset=utf-8><meta http-equiv=X-UA-Compatible content="IE=edge,chrome=1"><meta name=renderer content=webkit><meta name=viewport content="width=device-width,initial-scale=1,maximum-scale=1,user-scalable=no"><title>瑞驰安卓云BMC管理平台</title><link rel="shortcut icon" href=./favicon.ico><link href=./statics/css/app.eef63f7ed93a1120348bc674ec20c3e4.css rel=stylesheet></head><body><div id=app></div><script type=text/javascript src=./statics/js/manifest.384d899ab88bcd62bd7f.js></script><script type=text/javascript src=./statics/js/vendor.9f20ca3945be15b2c109.js></script><script type=text/javascript src=./statics/js/app.4afb5192aaa53cae6c66.js></script></body></html>

root@driver:~# curl 192.168.11.252  //在192.168.32.xx网段访问bmc，不能访问
curl: (7) Failed to connect to 192.168.11.252 port 80: Connection timed out



root@vclustersBMC:~# sudo iptables -F  //清除所有iptables预设表filter里的所有规则
root@vclustersBMC:~# sudo iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination  

删除规则
我们需要知道这条规则的编号，每条规则都对应一个编号
通过 iptables -nL --line-number 可以显示规则和相对应的编号

iptables -D INPUT 2  //删除编号为2的INPUT规则
零意@
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
Ubuntu防火墙操作
诸葛名义的博客
12-12 272
ubuntu默认提供了防火墙工具ufw 安装sudo apt-get install ufw 检查防火墙的状态 sudo ufw status（inactive：关闭 active：开启） 关防火墙 sudo ufw disable 开防火墙sudo ufw enable sudo ufw allow 22 允许所有的外部IP访问本机的22端口 sudo ufw deny 22 禁止外部访问2...
利用iptables来配置linux禁止所有端口登陆和开放指定端口的方法
09-15
下面小编就为大家带来一篇利用iptables来配置linux禁止所有端口登陆和开放指定端口的方法。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧
记一次ubuntu利用iptables做端口转发的操作
01-09
同事从海外远程连接国内某云上的一台机器3389端口，发现因为运营商路由原因非常慢，找运营商修改路由又非常麻烦。于是曲线救国，找了国内一台到两边访问都较快的机器做为跳板，做一个端口转发，以加速云机器3389端口的访问。这里记录下思路和操作。 我是T型人小付，一位坚持终身学习的互联网从业者。喜欢我的博客欢迎在csdn上关注我，如果有问题欢迎在底下的评论区交流，谢谢。 文章目录网络拓扑图iptables & ufwufw命令iptables命令实际操作一些坑 网络拓扑图 如下，图中ip均为虚构。 主要目的就是通过配置跳板机的防火墙转发规则，使得访问1.1.1.1:21521的流量自动转发到2.2.2
ubuntu自带ufw防火墙详细设置
asli33的专栏
01-12 9722
1.安装 sudo apt-get install ufw 2.启用 sudo ufw enable sudo ufw default deny 运行以上两条命令后，开启了防火墙，并在系统启动时自动开启。关闭所有外部对本机的访问，但本机访问外部正常。 3.开启/禁用 sudo ufw allow|deny [service] 打开或关闭某个端口，例如： sudo ufw allow smtp　允许所有的外部IP访问本机的25/tcp (smtp)端口 sudo ufw allow 22/
ubuntu中使用iptables限制端口
最新发布
蓝易云
02-26 448
这行命令的意思是添加（-A）一条到输入链(INPUT)的规则，对于TCP协议（-p tcp）的数据包，如果它们的目标端口(--dport)是80，那么就丢弃（-j DROP）它们。最后，你可能需要将你的iptables规则保存并在重启后生效。在Ubuntu中，你可以使用iptables-persistent包来实现。安装完成后，你可以使用iptables来设置端口限制。以上就是在Ubuntu中使用iptables来限制端口的基本步骤。在Ubuntu中，你可以使用iptables来限制特定端口的访问。
Ubuntu学习笔记：使用控制台命令设置系统拒绝某 PC 机访问
qq_53850321的博客
11-08 1743
Ubuntu学习笔记：使用控制台命令设置系统拒绝某 PC 机访问。 打开终端，输入：sudo iptables -I INPUT -s 192.168.100.100 -j DROP 此处192.168.100.100为想要拒绝访问的PC机的IP地址 输入：sudo iptables -L INPUT 来查看一下 禁用成功！ sudo iptables -A INPUT -s 192.168.100.101 -j DROP也可以实现这个禁用效果 sudo iptables -L 也可以查看 另外：
ubuntu2204 防火墙ufw限制某ip对某端口的访问
jiafeitutu的博客
11-27 1126
公司内部有个ip为10.10.10.1的网关，每天定时端口扫描，然后扫描发送的数据包http server解析不了，日志里就会记录这个错误，有点烦， 用防火墙过滤一下。ubuntu的防火墙命令是 ufw， 跟ufo挺像的，也好记，本质上是对iptables做了进一步封装。现在要限制10.10.10.1 对本机9002 端口的访问。我的odoo服务端口是9002，已经添加上了。ufw确实挺好用的。把22和5432也放出去。
2000系统如何查看某端口对应服务_ubuntu 默认防火墙安装、启用、查看状态
weixin_39524048的博客
11-22 311
ubuntu 9.10默认的是UFW防火墙，已经支持界面操作了。在命令行运行ufw命令就可以看到提示的一系列可进行的操作。最简单的一个操作：sudo ufw status可检查防火墙的状态，我的返回的是：不活动sudo ufw version防火墙版本： ufw 0.29-4ubuntu1 Copyright 2008-2009 Canonical Ltd.ubuntu 系统默认已安装ufw.1....
Jtti：Ubuntu怎么限制指定端口和IP访问
JttiSEO的博客
08-17 1847
请注意，使用 iptables 可能会影响系统的网络通信，因此在操作前建议备份好原有的规则，确保你了解规则的影响和操作的风险。此外，iptables 在 Ubuntu 18.04 及以后的版本中逐渐被 nftables 替代，你也可以考虑使用 nftables 进行防火墙管理。在 Ubuntu 系统中，可以使用防火墙规则来限制特定的端口和IP访问。其中，将 端口号 替换为要限制的端口号，将 IP地址 替换为要限制的IP地址。如果需要限制多个端口或多个IP，可以使用类似的命令添加多个规则。
使用 iptables实现IP网段的屏蔽（白名单）
weixin_72098711的博客
11-13 557
将 IP 地址段 10.1.0.0/16 的所有访问流量拦截，从而有效的隔离这个 IP 段的所有网络请求。
iptables防火墙策略，黑白名单添加方式
看着博客敲代码
03-01 4270
iptables防火墙策略，黑白名单添加方式 查看iptables和iptables-services服务是否安装 rpm -qa | grep iptables iptables-1.4.21-28.el7.x86_64 安装iptables-services yum -y install iptables-services 查看firewalld运行状态，如果启动请关闭 firewall-cmd --state running #返回值为running为启动状态 not running #返回值为n
iptables配置黑白名单
sinat_38390607的博客
09-14 7569
iptables 黑白名单配置
Linux使用iptables限制多个IP访问你的服务器
09-15
iptables是一个管理netfilter的工具。这篇文章主要介绍了Linux使用iptables限制多个IP访问你的服务器的相关知识,需要的朋友可以参考下
通过iptables实现端口转发和内网共享上网.docx
09-30
通过iptables实现端口转发和内网共享上网
ansible-iptables：通过Ansible进行IP地址配置
02-06
ansible-iptables：通过Ansible进行IP地址配置
iptables禁止国外ip访问国内服务器等资源sh脚本
07-28
iptables屏蔽国外ip脚本，一键执行即可屏蔽国外ip访问国内服务器、网站、ftp等资源，脚本内置了自动安装iptables和ipset，无需手动安装，只需bash执行脚本即可全自动屏蔽好，如果测试屏蔽国外ip完毕，执行bash iprct...
Ubuntu下Iptables的简单运用，开放/关闭端口，禁止/允许IP或IP段访问...
TDXYBS的博客
05-29 7621
首先添加规则有两个参数：-A和-I，其中-A是添加到规则的末尾；-I可以插入到指定位置，没有指定位置的话默认插入到规则的首部，由于匹配规则是从上往下，依次查找的，可能出现配置的规则冲 突导致后续的规则不起效 保存iptables规则 sudo iptables-save 保存ipv6 的iptables规则 sudo ip6tables-save 查看iptables规则 sudo iptable...
ubuntu关闭端口命令
林微的博客
09-27 2791
关闭端口 sudo fuser -k 8080/tcp
Ubuntu 使用iptables防火墙和基本配置
roland_law的博客
12-26 2332
Ubuntu 使用的防火墙是iptables，之前用centos有iptables-services，但是ubuntu略有区别。本文介绍Ubuntu上如何使用iptables并配置自动启动。
iptables设置指定网段访问本机所有端口，除此之外的都拒绝
02-06
首先确保 iptables 已经安装并且已经启动。然后执行以下命令: ``` iptables -A INPUT -s [网段] -j ACCEPT iptables -A INPUT -j DROP ``` 其中 [网段] 是你希望允许访问的网段，例如 192.168.1.0/24。 第一条命令表示将来自 [网段] 的输入流量添加到访问控制列表中，并允许访问。第二条命令表示拒绝所有其他输入流量。 请注意，这些更改只在当前会话中有效。如果您需要永久保存这些设置，请使用 iptables-save 和 iptables-restore 命令将其保存到磁盘。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

零意@

您的打赏将是我继续创作的动力！

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值