详细剖析Linux防火墙配置

最新推荐文章于 2024-07-10 09:28:48 发布
最新推荐文章于 2024-07-10 09:28:48 发布
阅读量662 收藏
点赞数
分类专栏： ★服务器应用★
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/srjay111/article/details/16343899
版权
如果你的Linux防火墙基础知识还不了解,可以自己先找些基础的东西看一看.有了一定得基础学习起来会比较方便。这里我们会详细介绍一些Linux防火墙的配置。
开始配置
我们来配置一个filter表的防火墙.
(1)查看本机关于IPTABLES的设置情况[root@zr ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination Chain FORWARD (policy ACCEPT)
target prot opt source destination Chain OUTPUT (policy ACCEPT)
target prot opt source destination Chain RH-Firewall-1-INPUT (0 references)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 255
ACCEPT esp -- 0.0.0.0/0 0.0.0.0/0
ACCEPT ah -- 0.0.0.0/0 0.0.0.0/0
ACCEPT udp -- 0.0.0.0/0 224.0.0.251 udp dpt:5353
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:631
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
可以看出我在安装linux时,选择了有防火墙,并且开放了22,80,25端口.如果你在安装linux时没有选择启动防火墙,是这样的
[root@zr ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination Chain FORWARD (policy ACCEPT)
target prot opt source destination Chain OUTPUT (policy ACCEPT)
target prot opt source destination 什么规则都没有.(2)清除原有规则.不管你在安装linux时是否启动了防火墙,如果你想配置属于自己的防火墙,那就清除现在filter的所有规则.
 [root@zr ~]# iptables -F 清除预设表filter中的所有规则链的规则
[root@zr ~]# iptables -X 清除预设表filter中使用者自定链中的规则我们在来看一下
[root@zr ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination Chain FORWARD (policy ACCEPT)
target prot opt source destination Chain OUTPUT (policy ACCEPT)
target prot opt source destination 
什么都没有了吧,和我们在安装linux时没有启动防火墙是一样的.(提前说一句,这些配置就像用命令配置IP一样,重起就会失去作用),怎么保存. 
[root@zr ~]# /etc/rc.d/init.d/iptables save这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用.
[root@zr ~]# service iptables restart现在IPTABLES配置表里什么配置都没有了,那我们开始我们的配置吧(3)设定预设规则
[root@zr ~]# iptables -p INPUT DROP
[root@zr ~]# iptables -p OUTPUT ACCEPT
[root@zr ~]# iptables -p FORWARD DROP
上面的意思是,当超出了IPTABLES里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的. 我们要控制流入数据包而对于OUTPUT链,也就是流出的包我们不用做太多限制,而是采取ACCEPT,也就是说,不在着个规则里的包怎么办呢,那就是通过.可以看出INPUT,FORWARD两个链采用的是允许什么包通过,而OUTPUT链采用的是不允许什么包通过.这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,而且要写的规则就会增加.但如果你只想要有限的几个规则是,如只做WEB服务器. 还是推荐三个链都是DROP.注:如果你是远程SSH登陆的话,当你输入第一个命令回车的时候就应该掉了.因为你没有设置任何规则.怎么办,去本机操作呗!(4)添加规则.首先添加INPUT链,INPUT链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链为了能采用远程SSH登陆,我们要开启22端口.
[root@zr ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
[root@zr ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT (注:这个规则,如果你把OUTPUT 设置成DROP的就要写上这一部,好多人都是望了写这一部规则导致,始终无法SSH.在远程一下,是不是好了.其他的端口也一样,如果开启了web服务器,OUTPUT 设置成DROP的话,同样也要添加一条链:
[root@zr ~]# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT ,其他同理.)如果做了WEB服务器,开启80端口.
[root@zr ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
如果做了邮件服务器,开启25,110端口.
[root@zr ~]# iptables -A INPUT -p tcp --dport 110 -j ACCEPT
[root@zr ~]# iptables -A INPUT -p tcp --dport 25 -j ACCEPT
如果做了FTP服务器,开启21端口
[root@zr ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT
[root@zr ~]# iptables -A INPUT -p tcp --dport 20 -j ACCEPT如果做了DNS服务器,开启53端口
[root@zr ~]# iptables -A INPUT -p tcp --dport 53 -j ACCEPT如果你还做了其他的服务器,需要开启哪个端口,照写就行了.上面主要写的都是INPUT链,凡是不在上面的规则里的,都DROP允许icmp 包通过,也就是允许ping,[root@zr ~]# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT设置成DROP的话)[root@zr ~]# iptables -A INPUT -p icmp -j ACCEPT (INPUT设置成DROP的话)允许loopback!(不然会导致DNS无法正常关闭等问题)IPTABLES -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP)
IPTABLES -A OUTPUT -o lo -p all -j ACCEPT(如果是OUTPUT DROP)
下面写OUTPUT链,OUTPUT链默认规则是ACCEPT,所以我们就写需要DROP(放弃)的链.减少不安全的端口连接[root@zr ~]# iptables -A OUTPUT -p tcp --sport 31337 -j DROP[root@zr ~]# iptables -A OUTPUT -p tcp --dport 31337 -j DROP有些些特洛伊木马会扫描端口31337到31340(即黑客语言中的 elite 端口)上的服务。既然合法服务都不使用这些非标准端口来通信,阻塞这些端口能够有效地减少你的网络上可能被感染的机器和它们的远程主服务器进行独立通信的机会还有其他端口也一样,像:31335、27444、27665、20034 NetBus、9704、137-139（smb）,2049(NFS)端口也应被禁止,我在这写的也不全,有兴趣的朋友应该去查一下相关资料.当然出入更安全的考虑你也可以包OUTPUT链设置成DROP,那你添加的规则就多一些,就像上边添加允许SSH登陆一样.照着写就行了.下面写一下更加细致的规则,就是限制到某台机器如:我们只允许192.168.0.3的机器进行SSH连接[root@zr ~]# iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT如果要允许,或限制一段IP地址可用 192.168.0.0/24 表示192.168.0.1-255端的所有IP.24表示子网掩码数.但要记得把 /etc/sysconfig/iptables 里的这一行删了.-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 因为它表示所有地址都可以登陆.或采用命令方式:[root@zr ~]# iptables -D INPUT -p tcp --dport 22 -j ACCEPT然后保存,我再说一边,反是采用命令的方式,只在当时生效,如果想要重起后也起作用,那就要保存.写入到/etc/sysconfig /iptables文件里.[root@zr ~]# /etc/rc.d/init.d/iptables save这样写 !192.168.0.3 表示除了192.168.0.3的ip地址其他的规则连接也一样这么设置.在下面就是FORWARD链,FORWARD链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链,对正在转发链的监控.开启转发功能,(在做NAT时,FORWARD默认规则是DROP时,必须做)[root@zr ~]# iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT[root@zr ~]# iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT丢弃坏的TCP包[root@zr ~]#iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP处理IP碎片数量,防止攻击,允许每秒100个[root@zr ~]#iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT设置ICMP包过滤,允许每秒1个包,限制触发条件是10个包.[root@zr ~]#iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT我在前面只所以允许ICMP包通过,就是因为我在这里有限制.二,配置一个NAT表放火墙1,查看本机关于NAT的设置情况[root@zr rc.d]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT all -- 192.168.0.0/24 anywhere to:211.101.46.235Chain OUTPUT (policy ACCEPT)
target prot opt source destination 我的NAT已经配置好了的(只是提供最简单的代理上网功能,还没有添加防火墙规则).关于怎么配置NAT,参考我的另一篇文章当然你如果还没有配置NAT 的话,你也不用清除规则,因为NAT在默认情况下是什么都没有的如果你想清除,命令是[root@zr ~]# iptables -F -t nat[root@zr ~]# iptables -X -t nat[root@zr ~]# iptables -Z -t nat2,添加规则添加基本的NAT地址转换,(关于如何配置NAT可以看我的另一篇文章),添加规则,我们只添加DROP链.因为默认链全是 ACCEPT.防止外网用内网IP欺骗[root@zr sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP
[root@zr sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP
[root@zr sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP
如果我们想,比如阻止MSN,QQ,BT等的话,需要找到它们所用的端口或者IP,(个人认为没有太大必要)例：禁止与211.101.46.253的所有连接[root@zr ~]# iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP禁用FTP(21)端口 [root@zr ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DROP这样写范围太大了,我们可以更精确的定义.[root@zr ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -d 211.101.46.253 -j DROP 这样只禁用211.101.46.253地址的FTP连接,其他连接还可以.如web(80端口)连接.按照我写的,你只要找到QQ,MSN等其他软件的 IP地址,和端口,以及基于什么协议,只要照着写就行了.最后：drop非法连接
[root@zr ~]# iptables -A INPUT -m state --state INVALID -j DROP
[root@zr ~]# iptables -A OUTPUT -m state --state INVALID -j DROP
[root@zr ~]# iptables-A FORWARD -m state --state INVALID -j DROP
允许所有已经建立的和相关的连接
[root@zr ~]# iptables-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@zr ~]# iptables-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@zr ~]# /etc/rc.d/init.d/iptables save
这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用．
[root@zr ~]# service iptables restart

本文出自 “Mr_Z” 博客，请务必保留此出处http://zhangrong.blog.51cto.com/2196532/677307

防火墙技术实验报告 实验一 linux安全配置
qq_40588049的博客
04-02 1985
linux安全配置 一、实验目的 1、了解使用gpg进行加解密的方法 2、了解syslog的配置 二、实验内容 1、gpg加解密 单机加解密： Gpg –gen-key Gpg –list-key Gpg –e –r id file Gpg –o file –d –r file 多个主机加解密： 换用其它用户加解密： 导出公钥 gpg –a –export –o file.key Scp f...
linux下防火墙开启,关闭,查看,设置
iteye_8396的博客
10-28 348
当Linux打开防火墙后，你会发现，从本机登录23端口是没有问题的，但是如果从另一台pc登录该linux系统后，你会发现提示这样的错误： 不能打开到主机的连接， 在端口 23: 连接失败 因为linux防火墙默认是关闭23端口的，如果允许远程登录，可以关掉防火墙，也可以开防火墙开放23端口，具体如下： 即时生效，重启后失效 开启： service iptables star...
Linux下查看、关闭及开启防火墙命令
小天的博客
11-04 260
开发十年，就只剩下这套架构体系了！ >>> ...
linux中防火墙配置详解之（iptables）
热门推荐
m493096871的博客
12-09 5万+
iptables 防火墙中有三张表(iptables) 名称分别是 filter   包含      input  forward    output     nat (net address transfer) 地址转换 包含       input  prerouting  postouting output mangle 包含   input prerouting  forward   ...
Linux操作系统下IPTables配置方法详解
weixin_34128501的博客
07-25 688
如果你的IPTABLES基础知识还不了解,建议先去看看。 们来配置一个filter表的防火墙 1、查看本机关于IPTABLES的设置情况 [root@tp ~]# iptables -L -n Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (po...
Linux防火墙配置案例分析：常见网络攻击的防御
weixin_64392888的博客
05-27 605
在配置防火墙时，应遵循最小权限原则，仅允许必要的服务和端口开放，并定期审查和更新防火墙规则，以应对不断变化的安全威胁。Linux防火墙通常指的是`iptables`或`firewalld`（CentOS 7+），它们是Linux系统中最常用的防火墙工具，能够控制进出Linux系统的数据流。iptables -A INPUT -p tcp -m limit --limit 1/s --limit-burst 5 -s 可疑IP地址 -j ACCEPT。为了防止暴力破解SSH，需要加强SSH服务的安全性。
Linux防火墙实验总结,linux防火墙
weixin_29332029的博客
05-12 898
四表五链链:PREROUTING,INPUT,FORWARD,OUTROUTING,POSTROUTINGPREROUTIN:在路由之前INPUT:进入主机FORWARD:转发OUTPUT:出主机POSTROUTING:路由之后表:filter,nat,mangle,rawfilter:过滤INPUTOUTPUTFORWARDnat:地址转换PREROUTINOUTPUTPOSTROUTINGma...
Linux 防火墙配置指南：firewalld不同服务管理的应用案例(十个)
最新发布
博客之路,前途漫漫
07-10 2767
在现代网络环境中，防火墙作为系统安全的重要防线，扮演着至关重要的角色。Linux 服务器通常依赖 firewalld 来管理和配置防火墙规则，以确保系统的安全性和网络访问的高效性。本文将介绍如何使用 firewalld 工具来管理常见服务器角色的防火墙配置，包括 Web 服务器、SSH 远程管理、数据库服务器、DNS 服务器等。通过这些实例，您可以更灵活地应用和调整防火墙规则，满足实际操作中的各种需求。让我们从一些具体的应用案例开始，逐步了解 firewalld 的强大功能。
Linux系统——防火墙
一坨小橙子的博客
02-01 3200
防火墙 iptables的具体介绍
LINUX 下防火墙的研究与实现（详细配置）
01-10
1.3 设计与实现Linux防火墙的缘起与目标 13 第2章 使用防火墙构造安全的解决方案 15 2.1 堡垒主机或双穴主机网关 15 2.2 被屏蔽主机网关 16 2.3 被屏蔽子网 16 第3章 Linux防火墙技术 18 3.1 Linux 防火墙技术的发展...
Linux Ubuntu系统iptables防火墙配置
11-11
Linux中iptables是一个静态防火墙工具，不同于动态的firewalld。在Ubuntu 16.04中，不能直接使用iptables相关的systemctl命令进行管理，但可以通过其他方式配置和启用iptables规则。 3. 远程工具 远程访问服务器...
Linux服务器配置与管理：linux防火墙基础.pptx
05-01
熟悉: Linux防火墙的历史演进与架构 【能力目标】 能够描述firewalld防火墙的组成 【思政目标】 培养学生职业素养和信息安全意识。 防火墙——是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全...
centos下limits.conf和sysctl.conf优化脚本
srjay111的专栏
11-15 1511
# turning system  ulimit -HSn 65536  echo -ne "  * soft nofile 65536  * hard nofile 65536  " >>/etc/security/limits.conf    # /etc/sysctl.conf  cat >>/etc/sysctl.confnet.ipv4.netfilter.ip_conntrack_ma
动态DNS设置攻略
srjay111的专栏
11-15 920
这是一篇在台湾网站转贴的文章，我觉得很有参考性，特别是像做动态DNS的，所有对动态DNS有兴趣的朋友都应该看的。由于时间关系，我没有做过整理。name.conf :        // --------------- 宣告 Key 的部分---------------        // P.S: 底下的 leo, mail key 是不正確的        key "leo" {       
history命令记录历史执行时间
srjay111的专栏
11-15 770
缺省情况，我们在Linux查看历史记录命令，后面是无任何执行时间显示的。那么如果想要用到记录命令的执行时间，可以这么操作： # 编辑/etc/bashrc，添加以下内容HISTFILESIZE=2000 # 设置保存历史命令的文件大小HISTFILE=/root/recordhistory.txt  #记录历史记录命令的文件HISTSIZE=200  # 设置保存记录历史命令条数 export
ssky-keygen + ssh-copy-id 无密码登陆
srjay111的专栏
11-15 727
1、创建密钥对：[root@rong .ssh]# ssh-keygen -t rsaGenerating public/private rsa key pair.Enter file in which to save the key (/root/.ssh/id_rsa): Enter passphrase (empty for no passphrase): Enter same passph
linux系统中强大的screen命令
srjay111的专栏
11-15 708
linux系统中强大的screen命令可能很多用户还没感受到，下面介绍的就是linux系统中强大的screen命令，具体内容如下所述。因为做二代测序分析的原因，经常需要运行很长时间的程序。由于时间很长，一直都没什么太好的办法。当有了screen，这一切便都迎刃而解了。敲入命令screen会创建一个跑着shell的单一窗口，在这里面，你可以跑你所需要的程序。使用screen非常简易.只需在SHELL
apache+htpasswd
srjay111的专栏
11-15 689
基于虚拟主机的密码访问：1、在配置文件中添加：NameVirtualHost 192.168.0.3:8080NameVirtualHost 192.168.0.3:8081Listen 8081Listen 8080DocumentRoot  /usr/local/apache/htdocs/web1ServerName 192.168.0.3:8080Order deny,allowAllow
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值