Linux 防火墙IPTABLES规则配置文档

最新推荐文章于 2024-08-20 08:38:55 发布

hd19940104

最新推荐文章于 2024-08-20 08:38:55 发布

阅读量2.2k

点赞数 2

分类专栏：安全小知识 linux环境

本文链接：https://blog.csdn.net/qq_38873248/article/details/93743856

版权

linux环境同时被 2 个专栏收录

5 篇文章 0 订阅

订阅专栏

安全小知识

3 篇文章 0 订阅

订阅专栏

Linux 防火墙IPTABLES规则配置文档

时间	2019/06/25
笔者	一只会飞的小猴子
说明	更新中...

1模板：

iptables的模板：

Iptables -t {filter,nat} -{A,I,D} {INPUT,FORWORD,OUTPUT} {n} -p {tcp,udp,icmp} {!} -s {192.169.0.1, 192.168.0.0/24,不写代表所有} -d {不写代表防火墙自身} --sport m:n --dport x:y -j {ACCEPT, DROP, REJECT , POSTROUTING , PREROUTING, LOG}

2 规则表

2.1定义

表的作用：容纳各种规则链

表的划分依据：防火墙规则的作用相似

默认包括4个规则表

raw表：确定是否对该数据包进行状态跟踪

mangle表：为数据包设置标记

nat表：修改数据包中的源、目标IP地址或端口

filter表：确定是否放行该数据包（过滤）

常用的就是其中filter表nat表多用于实现ip的转化功能，这里的表功能个人感觉相当于链下面的表功能，每种链都存在这四种表

2.2优先级

raw>mangle>nat>filter

规则链之间的默认优先级

入站：PREROUTING>INPUT

出站：OUTPUT>POSTROUTING

转发：PREROUTING>FORWARD>POSTROUTING

规则链内的匹配顺序

按顺序依次检查，匹配即停止（LOG策略例外）

若找不到相匹配的规则，则按该链的默认策略处理，这跟路由转发还是有点区别的

3 常用命令说明

命令	说明	试图
iptables -L -n	查看本机iptables的设置情况（右边图是没有启动防火墙）
iptables -F	清除预设表filter中的所有规则链的规则
iptables -X	清除预设表 filter中的使用者自定链中的规则
/etc/rc.d/init.d/iptables save	保存（需要重启才生效）
service iptables restart	重启
iptables -D	将指定的链中删除规则
iptables -P	修改链的默认设置，如将iptables -P INPUT DROP (将INPUT链设置为DROP)
iptables -t nat -L	列出所有NAT链中所有规则
/etc/sysconfig/iptables	文件配置地址（命令执行需要保存并重启才成功）

4 参数说明

--dport	指定目标TCP/IP端口如 –dport 80
--sport	指定源TCP/IP端口如 –sport 80
-p tcp	指定协议为tcp
-p icmp	指定协议为ICMP
-p udp	指定协议为UDP
-j DROP	拒绝
-j ACCEPT	允许
-j REJECT	拒绝并向发出消息的计算机发一个消息
-j LOG	在/var/log/messages中登记分组匹配的记录
-m mac –mac	绑定MAC地址
-m limit –limit 1/s 1/m	设置时间策列
-s 10.10.0.0或10.10.0.0/16	指定源地址或地址段
-d 10.10.0.0或10.10.0.0/16	指定目标地址或地址段
-s ! 10.10.0.0	指定源地址以外的

5 设定预设规则

iptables -P INPUT DROP	预设input规则，超出则放弃控制流入数据（但是执行此命令会导致SSH远程断开，需要配置规则，无需执行此命令）
iptables -P OUTPUT ACCEPT	预设output规则，全部接受
iptables -P FORWARD DROP	同理转发规则

6 添加FILter规则

首先添加input链，上述默认预设规则是drop，所以需要添加规则使SSH远程可以登录

iptables -A INPUT -p tcp --dport 22 -j ACCEPT	远程SSH连接端口开启22端口（具体端口依据实际情况）
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT	如果预设output规则设置drop 需要设置此规则（具体端口依据实际情况）
iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT	如果web服务器，output设置drop，同样需要添加一条链（具体端口依据实际情况）
iptables -A INPUT -p tcp --dport 80 -j ACCEPT	同理需要web服务器，input设置drop，需要开启端口 80链（具体端口依据实际情况）
iptables -A INPUT -p tcp --dport 110 -j ACCEPT iptables -A INPUT -p tcp --dport 25 -j ACCEPT	开启邮件服务器，开启 25、110 端口链（具体端口依据实际情况）
iptables -A INPUT -p tcp --dport 21 -j ACCEPT iptables -A INPUT -p tcp --dport 20 -j ACCEPT	开启FTP服务器，（具体端口依据实际情况）
iptables -A INPUT -p tcp --dport 53 -j ACCEPT	开启DNS服务器，（具体端口依据实际情况）
iptables -A OUTPUT -p icmp -j ACCEPT iptables -A INPUT -p icmp -j ACCEPT	运行icmp包通过（ping）
iptables -A OUTPUT -o lo -p all -j ACCEPT iptables -A INPUT -i lo -p all-j ACCEPT	允许loopback 不然会导致DNS无法正常关闭
iptables -A OUTPUT -p tcp --sport 9990-j DROP	如果output链规则是accept，则需要关闭对于的端口号，防止有些病毒利用此端口
iptables -A INPUT -p tcp --dport 9090-j DROP	如果input链规则是accept，则需要关闭对于的端口号，防止有些病毒利用此端口
iptables -A INPUT -s 192.168.0.1 -p tcp --dport 22 -j ACCEPT	允许固定ip机器进行SSH连接(!191.168.0.1 表示除此IP外)
iptables -A INPUT -s 192.168.0.0/24 -p tcp --dport 22 -j ACCEPT	允许 192.168.0.1-255 端的所有ip（删除/ect/sysconfig/iptables 里的其中一行 -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT）
Iptables -A FORWORD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT Iptables -A FORWORD -i eth1 -o eth0 -j ACCEPT	在NAT时 FORWORD 规则是DROP我们需要开启转发功能
Iptables -A FORWORD -p TCP ! --syn -m state --state NEW -j DROP	丢弃坏的TCP包
Iptables -A FORWORD -f -m limit 100/s --limit-burst 100 -j ACCEPT	处理ip碎片数量，防止攻击，允许每秒100个
Iptables -A FORWORD -p icmp -m limit 1/s --limit-burst 10 -j ACCEPT	设置icmp包过滤，允许每秒1个包，限制触发条件10个包
iptables -A INPUT -m state --state INVALID -j DROP iptables -A OUTPUT -m state --state INVALID -j DROP iptables -A FORWARD -m state --state INVALID -j DROP	DROP非法连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT	对进来的包的状态进行检测。已经建立tcp连接的包以及该连接相关的包允许通过！
iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT	允许本地环回接口在INPUT表的所有数据通信
iptables -A INPUT -j REJECT --reject-with icmp-host-prohibited iptables -A FORWARD -j REJECT --reject-with icmp-host-prohibited	这两条的意思是在INPUT表和FORWARD表中拒绝所有其他不符合上述任何一条规则的数据包。并且发送一条host prohibited的消息给被拒绝的主机。
iptables -I INPUT -s 123.45.6.7 -j DROP	屏蔽单个IP的命令是
iptables -I INPUT -s 123.0.0.0/8 -j DROP	封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP	封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 123.45.6.0/24 -j DROP	封IP段即从123.45.6.1到123.45.6.254的命令是
指令I是insert指令但是该指令会insert在正确位置并不像A指令看你自己的排序位置，因此用屏蔽因为必须在一开始就要加载屏蔽IP，所以必须使用I命令加载，然后注意执行/etc/rc.d/init.d/iptables save进行保存后重启服务即可