ftp防火墙支持端口范围灰色_防火墙-55-56day

最新推荐文章于 2023-03-24 09:26:57 发布
最新推荐文章于 2023-03-24 09:26:57 发布
阅读量644 收藏
点赞数
文章标签： ftp防火墙支持端口范围灰色

常见防火墙的选用

公司网站入口使用的硬件放火墙，三层路由带有防火墙的功能

iptables访问量小 c5,c6系统默认，c7 Firewalld（关闭 安装iptables）

3. 名词（关系）与单词

  • 容器：存放内容/存放东西
  • Netfilter/iptables：Netfilter/iptables是表的容器
  • 表（table）：用来存放链的容器
  • 链（chain）：链存放 规则容器
  • 规则：准许/拒绝访问

防火墙的执行过程

  • 1. 防火墙是层层过滤的，实际是按照配置规则的顺序从上到下，从前到后进行过滤的。
  • 2. 如果匹配上规则，即明确表示是阻止(DROP)还是通过(ACCEPT)数据包就不再向下匹配新的规则。
  • 3. 如果规则中没有明确表明是阻止还是通过的，也就是没有匹配规则，向下进行匹配，直到匹配默认规则得到明确的阻止还是通过。
  • 4. 防火墙的默认规则是所有规则执行完才执行的

0d65559eb465f139326aa730c406da64.png

四表五链

整体说明 4表及作用

filter：过滤，默认得表，防火墙功能。

NAT：实现NAT转化1：共享上网，2：端口转发

mangle：

raw：

表中得5链

7386e14ba377dbea50425116d8c1e6e6.png

9d8039a273eedb5c5f6d2d04e49e34ac.png

filter表

cd57f553ab213abb2b34bc6844067f1f.png

nat表

ca15b4d080ba1e43c4148cd0be95ce16.png

Mangle表

主要负责修改数据包中特殊的路由标记，如TTL，TOS，MARK等，这个表定义了5个链（需要补充）

防火墙之filter表

环境准备

m01 iptables

db01 

yum install iptables iptables-services   #下载

[root@m01 ~]# rpm -qa iptables-services
 iptables-services-1.4.21-28.el7.x86_64

 [root@m01 ~]# rpm -ql iptables-services
/etc/sysconfig/ip6tables
/etc/sysconfig/iptables #iptables 配置文件
/usr/lib/systemd/system/ip6tables.service
/usr/lib/systemd/system/iptables.service #iptables服务管理配置

启动防火墙：

1systemctl start iptables.service
2systemctl enable iptables.service

检查防火墙内核模块是否加载成功:

[root@91 ~]# lsmod |egrep 'nat|ipt|filter'
ipt_REJECT             12541  2 
nf_reject_ipv4         13373  1 ipt_REJECT
iptable_filter         12810  1 
ip_tables              27126  1 iptable_filter
添加模块得命令
modprobe ip_tables
modprobe iptable_filter
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ipt_state

[root@91 ~]# modprobe ip_tables
[root@91 ~]# modprobe iptable_filter
[root@91 ~]# modprobe iptable_nat
[root@91 ~]# modprobe ip_conntrack
[root@91 ~]# modprobe ip_conntrack_ftp
[root@91 ~]# modprobe ip_nat_ftp
[root@91 ~]# lsmod |egrep 'nat|ipt|filter'
nf_nat_ftp             12770  0 
nf_conntrack_ftp       18638  1 nf_nat_ftp
iptable_nat            12875  0 
nf_nat_ipv4            14115  1 iptable_nat
nf_nat                 26787  2 nf_nat_ftp,nf_nat_ipv4
ipt_REJECT             12541  2 
nf_reject_ipv4         13373  1 ipt_REJECT
nf_conntrack          133095  6 nf_nat_ftp,nf_nat,nf_nat_ipv4,xt_conntrack,nf_conntrack_ftp,nf_conntrack_ipv4
iptable_filter         12810  1 
ip_tables              27126  2 iptable_filter,iptable_nat
libcrc32c              12644  3 xfs,nf_nat,nf_conntrack

iptables 命令及参数

d1536fb1d2c1d4804adab7970f66ba84.png

5a86cba51472049c3377e6ddeb655ab6.png

1826f18e5d6f4d1bd5fb30795e2a6ec5.png 
[root@91 ~]# iptables -nL    #查看规则
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@91 ~]# iptables -F      #清空规则
[root@91 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

配置规则-禁止访问22端口

iptables -t filter -A INPUT -p tcp --dport 22 -j DROP

配置防火墙规则注意事项：

  • 去机房重启系统或者登陆服务器删除刚才的禁止规则。
  • 让机房人员重启服务器或者让机房人员拿用户密码登录进去
  • 通过服务器的远程管理卡管理（推荐）
  • 先写一个定时任务，每5分钟就停止防火墙
  • 测试环境测试好，写成脚本，批量执行

4331d91ccb4536e377120cc4c6a17bdf.png

filter表其他规则配置

只让10.0.0.0/24网段进行访问

只要是10.0.0.0/24 局域网的用户 访问m01 都ACCEPT
此例子主要限制：网段或ip地址 
[root@91 ~]# iptables -I INPUT -p tcp ! -s 10.0.0.0/24 -j DROP
[root@91 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  -- !10.0.0.0/24          0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

准许或禁止端口

多个端口：表示范围 1-1024范围

[root@91 ~]# iptables -I INPUT -p tcp ! --dport 1:1024 -j DROP
[root@91 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpts:!1:1024
DROP       tcp  -- !10.0.0.0/24          0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

nc用法:

nc -l 指定监听端口
nc/telnet 连接

多个端口 不连续 80,433,52113,22

[root@m01 ~]# iptables -I INPUT -p tcp -m multiport ! --dport 80,443,22 j DROP

6.4.2 准许或禁止ping

[root@m01 ~]# iptables -I INPUT	-p icmp	--icmp-type any	-j	DROP

禁止后检测是否通畅：

可以使用：telnet nc nmap进行检查

连 接 状 态

  • NEW：已经或将启动新的连接
  • ESTABLISHED：已建立的连接
  • RELATED：正在启动的新连接
  • INVALID：非法或无法识别的
1 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
2 iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

匹配网络限制策略(限制并发 访问的频率)

-m limit

-m limit --limit n/{second/minute/hour}:

解释：指定时间内的请求速率”n”为速率，后面为时间分别为：秒 分 时

--limit-burst [n]

解释：在同一时间内允许通过的请求”n”为数字，不指定默认为5

iptables -I INPUT -s 10.0.1.0/24 -p icmp --icmp-type 8 -m limit --limit 6/min
--limit-burst 5 -j ACCEPT

保存规则

[root@m01 ~]# iptables-save

[root@91 ~]# iptables-save >/etc/sysconfig/iptables   #保存到这个文件
[root@91 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpts:!1:1024
DROP       tcp  -- !10.0.0.0/24          0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@91 ~]# iptables -F     #清空
[root@91 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

[root@91 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[root@91 ~]# iptables-restore </etc/sysconfig/iptables    #还原
[root@91 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpts:!1:1024
DROP       tcp  -- !10.0.0.0/24          0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

注意事项:

iptables-save >/etc/sysconfig/iptables

iptables 是关闭状态 stop/disable

不要使用iptables -nL 查看状态,

如果使用防火墙自动打开查看防火墙状态:systemctl is-active iptables.service

生产环境防火墙配置

配置允许SSH登陆端口进入

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

允许本机回环lo接口数据流量流出与流入

1 iptables -A INPUT -i lo -j ACCEPT
2 iptables -A OUTPUT -o lo -j ACCEPT

-i input 与 INPUT链一起使用

-o output 与 OUTPUT 链一起使用

准许icmp协议通过

[root@m01 ~]# iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

准许用户使用的端口通过 80,443

1 iptables -A INPUT -p tcp --dport 80 -j ACCEPT
2 iptables -A INPUT -p tcp --dport 443 -j ACCEPT

允许用户与服务器建立连接

1 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
2 iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

开启信任的IP网段**

1iptables -A INPUT  -s 10.0.0.0/24 -p all  -j ACCEPT
2iptables -A INPUT  -s 172.16.1.0/24 -p all -j ACCEPT

修改默认规则

1 iptables -P INPUT DROP
2 iptables -P FORWARD DROP
3 iptables -P OUTPUT ACCEPT

NAT表

POSTROUTING

  • 防火墙配置POSTROUTING规则开启内核转发
  • 检查iptable nat模块是否加载 lsmod
[root@m01 ~]# iptables -t nat -A POSTROUTING	-s 172.16.1.0/24 -o eth0 SNAT	--to-source 10.0.0.61

[root@91 ~]# tail /etc/sysctl.conf
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).
net.ipv4.ip_forward=1
[root@91 ~]# sysctl -p
net.ipv4.ip_forward = 1
[root@91 ~]# cat /proc/sys/net/ipv4/ip_forward
1
[root@91 ~]# lsmod |egrep 'ipt|nat|filter'
nf_nat_ftp             12770  0 
nf_conntrack_ftp       18638  1 nf_nat_ftp
iptable_nat            12875  0 
nf_nat_ipv4            14115  1 iptable_nat
nf_nat                 26787  2 nf_nat_ftp,nf_nat_ipv4
ipt_REJECT             12541  0 
nf_reject_ipv4         13373  1 ipt_REJECT
nf_conntrack          133095  6 nf_nat_ftp,nf_nat,nf_nat_ipv4,xt_conntrack,nf_conntrack_ftp,nf_conntrack_ipv4
iptable_filter         12810  1 
ip_tables              27126  2 iptable_filter,iptable_nat
libcrc32c              12644  3 xfs,nf_nat,nf_conntrack
  • 关闭eth0网卡
  • 在eth1网卡中加入网关 指向 xxx.61
[root@db01 ~]# cat	/etc/sysconfig/network-scripts/ifcfg-eth0
TYPE=Ethernet
BOOTPROTO=none
NAME=eth0
DEVICE=eth0
ONBOOT=no
IPADDR=10.0.0.51
PREFIX=24
GATEWAY=10.0.0.254
DNS1=10.0.0.254

[root@db01 ~]# cat	/etc/sysconfig/network-scripts/ifcfg-eth1
TYPE=Ethernet
BOOTPROTO=static 14	IPADDR=172.16.1.51
PREFIX=24
NAME=eth1
DEVICE=eth1
ONBOOT=yes
GATEWAY=172.16.1.61
重启网卡 ，通过内网连接进来 并进行测试
[root@db01 ~]# ping baidu.com

iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -o eth0 -j SNAT --to-source 10.0.0.61 # 公网ip固定

iptables -t nat -A POSTROUTING -s 172.16.1.0/24 -o eth0 -j SNAT --to-source MASQUERADE #伪装

MAS QUE RADE 【mæskəˈreɪd】

练习题

【面试题】防火墙​www.jianshu.com
bc619dd9c25b27916fb3c7a94b5d9ba3.png
weixin_39836876
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
ENSP如何开启服务器的http_FTP服务器的搭建
weixin_39875167的博客
10-23 2152
传统的图片管理 没法满足在 tomcat 服务器集群状态下，图片的保存问题，会出现图片找不到的 404 问题。 集群环境中图片管理 图片服务作用总结 ftp 服务：实现图片的上传，保存图片资源 客户端---(http 协议)---tomcat---(ftp 协议)---图片服务器 图片服务的实现，使用 linux 的 vsftpd 服务 http 服务：获取图片服务的图片资源 客户端---...
ftp防火墙支持端口范围灰色_windows FTP被动模式设置端口范围
weixin_39734399的博客
11-30 5112
windows server 2012服务器搭建完毕后默认为主动式 (测试发现 windows 10搭建完毕默认为被动式)主动式: 有客户端N端口发起 连接到服务器端 21端口 传输数据时 由服务器端20端口连接到客户端n+1端口 传输数据时服务器主动连接客户端被动式: 有客户端n端口发起 连接到服务器端 21端口 传输数据时 服务器端打开随机高位X端口 通知客户端 客户端通过n+1端口连接X端口...
FTP防火墙支持端口范围灰色(windows)
qq_43178349的博客
03-24 1301
我有个朋友建立FTP站点以后，在IIS管理界面。发现FTP端口范围是灰色的，无法修改。快emo了，憋了两个小时才搞好。如果是云主机，记得安全组放开端口，我有个朋友啥都配好了，忘记安全组策略放通，来回折腾了两遍。那是因为，你要从最上级的服务器级别的站点设置。
ftp防火墙支持端口范围灰色_ftp软件登录不上，ftp软件登录不上的详细原因和解决方法...
weixin_39732249的博客
11-30 872
在使用ftp软件过程中，经常会出现登录不了问题，今天小编就教大家如何解决ftp软件登录不上问题。具体操作方法如下：IIS7服务器管理工具可以批量管理、定时上传下载、同步操作、数据备份、到期提醒、自动更新。IIS7服务器管理工具适用于Windows操作系统和liunx操作系统；支持Ftp客户端批量操作。下载地址:IIS7服务器管理工具电脑登不上ftp站点的原因，可能是因为防火墙设置不正确，也可能是浏...
FTP防火墙数据通道端口范围无法设置
qq_40290696的博客
08-08 4305
云服务器通过IIS搭建FTP如何设置防火墙端口，而FTP被动模式默认会有一个随机端口范围。 通常这个服务如果是在本地没有什么影响。但如果在云服务器上搭建。如果不放通这些全部的随机端口范围。就会导致间歇性无法访问FTP目录。 网上看了放通防火墙应用等等都没有效果。实际很简单。 ...
FTP类，支持防火墙设置.rar_FTP防火墙支持_防火墙
09-21
FTP类，支持防火墙设置
Ftp-Sever.rar_ftp_ftp sever_ftp 服务器_ftp-sev_ftp-sever
09-23
本项目提供的“Ftp-Sever.rar”是一个FTP服务器程序，其核心功能完备，用户可以根据自己的需求进行定制和扩展。 FTP服务器的实现通常包括以下几个关键组成部分： 1. **用户认证**：FTP服务器需要验证用户的登录...
FTP类，支持防火墙设置.zip_FTP 类_ftp_ftp vc_防火墙
09-19
FTP类，支持防火墙设置，在vc上面测试通过，可以放心使用
FileZilla_3.39.0_win64-setup_bundled.zip
07-13
4. 支持被动模式，解决NAT和防火墙问题。 5. 提供FTP服务的性能优化，如缓存和带宽限制。 6. 支持SFTP（SSH文件传输协议）或FTPS（FTP over SSL/TLS），提升安全性。 FileZilla因其用户友好的界面、丰富的功能和跨...
ftpdown.rar_FTP-SERVER linux_ftp_ftp linux_ftp客户端_linux ftp
09-24
标题中的"ftpdown.rar"可能是一个包含有关FTP服务器和客户端实现的压缩包文件，而"FTP-SERVER"、"linux_ftp"、"ftp linux"、"ftp客户端"和"linux_ftp"等标签则明确了讨论的重点是关于Linux环境下的FTP服务和客户端。...
解决浏览器代理服务器地址和端口为灰色的问题
10-26
解决浏览器代理服务器地址和端口为灰色的问题，很多时候按照网上的教程方法还是解决不了问题，比如修改组策略等。。
IIS如何设置FTP服务器防火墙数据通道端口范围
小肥丸
12-11 7002
IIS设置FTP服务器防火墙数据通道端口范围 搭建Windows自带FTP服务器的时候发现，在该FTP服务器的“FTP防火墙支持”里，修改不了数据通道端口范围，那个设置框是灰色的，都没办法被选取。o(╥﹏╥)o 后来才发现是我设置的地方不对，要在别的地方修改 先打开IIS - Internet Information Services (IIS)管理器 → 进入设置主页 → 双击“FTP防火墙支持” 设置数据通道端口范围 欢迎纠正，(づ￣3￣)づ╭❤～ 如果有帮助到你，能点个赞吗？ღ( ´･ᴗ･` )
window server 2008 ,2012 开启ftp被动模式的端口范围
sinat_26422099的博客
09-30 4567
在服务器的管理台 配置 ftp防火墙支持处填写端口范围，下面的ip一栏置空，如果端口范围为灰色，不可填可打开cmd 执行 1，netsh advfirewall firewall add rule name="FTP Service" action=allow service=ftpsvc protocol=TCP dir=in 2，netsh advfirewall set globa...
IIS下FTP服务器的PASV端口范围修改方法
自强不息
02-19 669
应该有不少使用IIS自带的FTP服务器，IIS的FTP里的PASV模式下默认端口范围1024 - 65535，连接时会从中随机选择到响应。这样的超大范围就给服务器安全带来的隐患。 虽然可以通过一些方法减少端口范围，但范围都不能缩小到理想的范围内，正常情况下PASV的端口最多会使用到10个吧，就算是专门的FTP下载服务器最多20个也就够了。下面说说使用IIS管理实用程序Adsutil.vbs修...
记-windows server 2012 iis ftp被动模式端口范围设置
搬山境KL攻城狮的修炼手册
11-04 6072
记-windows server 2012 iis ftp被动模式端口范围设置 文章目录记-windows server 2012 iis ftp被动模式端口范围设置一、问题二、解决办法 一、问题 设置ftp“被动模式”数据端口范围时，在“FTP防火墙支持”页面无法修改，更多信息如下图 二、解决办法 sc sidtype ftpsvc unrestricted netsh advfirewall firewall add rule name="FTP Service" action=allow ser
搭建FTP站点（Windows）
wd520521的博客
04-29 5526
简介 本文介绍了如何使用弹性云服务器的Windows实例搭建FTP站点。该指导具体操作以Windows Server 2012 R2为例。 Windows实例搭建FTP站点具体操作步骤如下： 添加IIS以及FTP服务角色。 创建FTP用户名及密码。 设置共享文件的权限。 添加及设置FTP站点。 （可选）配置FTP防火墙支持。 设置安全组及防火墙。 客户端测试。 视频帮助 Windows 2012操作系统搭建FTP站点的操作视频请点击：搭建FTP站点（Windows）_视频_云社
【Windows Server 2019】FTP服务的配置与管理——配置FTP站点（下）SSL设置及被动模式
热门推荐
VMware, Windows, Linux, Cisco, Container, Kubernetes, Kali
09-07 1万+
博文介绍了如何为FTP站点设置 SSL，包括创建FTP用户访问组，设置FTP站点的权限，使用Windows Powershell的New-SelfSignedCertificate命令创建证书，配置FTP SSL以及使用3种不同的方式访问FTP服务（不加密访问，TLS/SSL显式加密访问以及TLS/SSL隐式加密访问）
filezilla_3.4.0_win64-setup
最新发布
04-28
Filezilla 是一款免费的开源 FTP 客户端软件，可用于文件传输和管理。Filezilla_3.4.0_win64-setup 版本是适用于 64 位 Windows 操作系统的安装包，安装后可以正常运行。Filezilla 通过 FTP、SFTP 和 FTPS 三种加密传输协议进行文件传输，在传输过程中可实现断点续传和队列管理功能，便于大规模文件传输且稳定可靠。用户界面简单直观，可以自定义设置，支持多个站点登录，可以在本地和远程服务器之间传输文件和修改文件名、删除文件等功能。此版本还包含了一些新的特性和 Bug 修复，使得软件更加稳定和高效。总之，Filezilla 是一款强大可靠的文件传输和管理软件，Filezilla_3.4.0_win64-setup 版本是适用于 64 位 Windows 操作系统的安装包，用户可根据需要选择适合自己的下载版本进行使用。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值