iptables策略的一些题……（中职生参考）

前言

这是通过做了几套不同省赛和市赛题总结出来的一些相关的防火墙策略题，只供参考，如有侵犯联系即删。

---

一、iptables结构及基本命令

首先查看iptables 是否安装执行命令：#iptables --version

然后查看iptables 命令的位置#which iptables

 首次使用iptables

查看iptables的四张表

查看iptables nat表中的规则（nat表用来做端口映射、地址映射）

 查看iptables mangle表中的规则（mangle表主要作用是可以修改封包内容）

查看iptables raw表中的规则 （raw表只使用在PREEOUTING链和OUTPUT链上，可以应用在那些不需要做nat的情况下，以提高性能）

查看iptables filter表中的规则（filter表是用来设置包过滤规则）

 

查看iptables 的缺省规则

 

二、题目及解答

 

1.只允许转发来自172.16.0.0/24局域网的DNS解析请求数据包；

代码如下：

iptables -A FORWARD -p udp --dport 53 -s 172.16.0.0/24 -j ACCEPT

2.禁止任何机器ping本机；

代码如下：

iptables -A INPUT -p icmp --icmp-type 8 -j DROP

3.禁止本机ping任何机器；

代码如下：

iptables -A OUTPUT -p icmp --icmp-type echo-reply -j DROP

4.禁用23端口；

代码如下：

iptables -A INPUT -p tcp --dport 23 -j DROP
iptables -A INPUT -p udp --dport 23 -j DROP

5.禁止转发来自MAC地址为29:0E:29:27:65:EF主机的数据包；

代码如下：

iptables -A FORWARD -m mac --mac-source 29:0E:29:27:65:EF -j DROP

6.linux系统为确保安全禁止所有人连接SSH除了172.16.1.1这个ip；

代码如下：

iptables -A INPUT -p tcp --dport 22 -s 172.16.1.1 -j ACEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

7.在工作时间，即周一到周五的8:30-18:00，开放本机的ftp给192.168.1.0/24网络中的主机访问；

代码如下：

iptables -A INPUT -p tcp --dport 21 -s 192.168.1.0/24 -m time --weekdays 1,2,3,4,5 --timestart 08:30 --timestop 18:00 -j ACCEPT

8.允许转发除ICMP协议以外所有的数据包；

代码如下：

iptables -A INPUT -p icmp -j REJECT
                或者
iptables -A FORWARD -p ! icmp -j ACCEPT

9.设置防火墙允许本机对外开放TCP端口21以及被动模式FTP端口1250-1280；

代码如下：

iptables -A INPUT -p tcp -m multiport --dport 21,1250:1280 -j ACCEPT

10.防御IP碎片攻击，限制IP碎片的数量，仅允许每秒处理1000个；

代码如下：

iptables -A FORWARD -f -m limit --limit 1000/s --limit-burst 1000 -j ACCEPT

11.禁止 IP 为 10.10.8.5 的主机从 eth0 访问本机；

代码如下：

iptables -t filter -A INPUT -s 10.10.8.5 -i eth0 -j DROP

12.清除已有 iptables 规则；

代码如下：

iptables –F
iptables –X

13.拒绝进入防火墙的所有ICMP协议数据包；

代码如下：

iptables -I INPUT -p icmp -j REJECT

14.禁止转发源IP地址为192.168.1.20-192.168.1.99的TCP数据包。

代码如下：

iptables -A FORWARD -p tcp -m iprange --src-range 192.168.1.20-192.168.1.99 -j DROP

---

总结

iptables命令的管理控制选项

-A 在指定链的末尾添加（append）一条新的规则
-D 删除（delete）指定链中的某一条规则，可以按规则序号和内容删除
-I 在指定链中插入（insert）一条新的规则，默认在第一行添加
-R 修改、替换（replace）指定链中的某一条规则，可以按规则序号和内容替换
-L 列出（list）指定链中所有的规则进行查看
-E 重命名用户定义的链，不改变链本身
-F 清空（flush）
-N 新建（new-chain）一条用户自己定义的规则链
-X 删除指定表中用户自定义的规则链（delete-chain）
-P 设置指定链的默认策略（policy）
-Z 将所有表的所有链的字节和数据包计数器清零
-n 使用数字形式（numeric）显示输出结果
-v 查看规则表详细信息（verbose）的信息
-V 查看版本(version)
-h 获取帮助（help）

防火墙处理数据包的四种方式
ACCEPT 允许数据包通过
DROP 直接丢弃数据包，不给任何回应信息
REJECT 拒绝数据包通过，必要时会给数据发送端一个响应的信息。
LOG在/var/log/messages文件中记录日志信息，然后将数据包传递给下一条规则

版权声明：本总结为CSDN博主「董筱杰」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/weixin_44792344/article/details/109674599

最后也是一些防火墙策略的基本命令，我就照办网上某位兄台的啦，多做题方能记住命令。