使用Centos下的iptables实现实验室按教室、按时间进行上网控制（二）

1.input链策略。
input文件;

#loopback
iptables -A INPUT -i lo -j ACCEPT

#DOS防护
iptables -A INPUT -i eth0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

#syn flood防护
iptables -N syn-flood
iptables -A INPUT -p tcp --syn -j syn-flood
iptables -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN
iptables -A syn-flood -j REJECT

#established允许
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p icmp -j DROP

#ssh允许
iptables -A INPUT -s 10.1.36.0/24 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

2.forward链的通用策略。
forward-main文件；

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

3.forward链中添加24小时允许上网IP（只列出单个IP和范围IP）
always-accept文件；

#规定IP范围
iptables -A FORWARD -m iprange --src-range 10.2.11.131-10.2.11.253 -j ACCEPT
#C类IP段
iptables -A FORWARD -s 10.2.13.0/24 -j ACCEPT
#单个IP
iptables -A FORWARD -s 10.1.26.80 -j ACCEPT

转载于:https://blog.51cto.com/liqunsheng/2088500