Iptables实例应用分析

Iptables实例分析
1．单服务器的防护
2．如何做网关
3．如何限制内网用户
4．内网如何做对外服务器
5．如何使用连接追踪模块

1 单服务器的防护
弄清对外服务对象
书写规则
网络接口lo 的处理
状态监测的处理
协议+ 端口的处理
实例：一个普通的web 服务器

Iptables -A INPUT -i lo -j ACCEPT
Iptables -A INPUT -p tcp-m multiport--dports22,80 -j ACCEPT
Iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
Ptables -P INPUT DROP

注意：确保规则顺序正确，弄清逻辑关系，学会时刻使用-vnL

2 如何做网关
弄清网络拓扑
本机上网
设置nat
启用路由转发
地址伪装SNAT/MASQUERADE
实例：ADSL 拨号上网的拓扑

echo "1" > /proc/sys/net/ipv4/ip_forward
Iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE

3 如何限制内网用户
过滤位置filer 表FORWARD链
匹配条件-s -d -p --s/dport
处理动作ACCEPT DROP
实例：

Iptables -A FORWARD -s 192.168.0.3 -j DROP
Iptables -A FORWARD -m mac--mac-source 11:22:33:44:55:66  -j DROP
Iptables -A FORWARD -d bbs.chinaunix.net -j DROP

4 内网如何做对外服务器
服务协议（TCP/UDP）
对外服务端口
内部服务器私网IP
内部真正服务端口
实例：

Iptables -t nat -A PREROUTING -i ppp0 -p tcp--dport 80 -j DNAT --to 192.168.1.1
Iptables -t nat -A PREROUTING -i ppp0 -p tcp--dport 81 -j DNAT --to 192.168.1.2:80

5 如何使用连接追踪模块

modprobeip_nat_ftp
iptables-A INPUT-p tcp--dport21 -j ACCEPT
iptables-A INPUT-m state --state  RELATED,ESTABLISHED -j ACCEPT
iptables-P INPUTDROP

6 如何将本地80 端口的请求转发到8080 端口，当前主机IP 为192.168.2.1

iptables -A PREROUTING -d 192.168.2.1 -p tcp -m tcp -dport 80 -j DNAT-to-destination 192.168.2.1:8080