Linux关于iptables防火墙的配置

最新推荐文章于 2024-06-01 07:38:55 发布
最新推荐文章于 2024-06-01 07:38:55 发布
阅读量660 收藏 2
点赞数 1
文章标签： linux 网络 服务器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_55517245/article/details/131093383
版权
iptables防火墙
  • netfilter/iptables：工作在主机或网络的边缘，对于进出本主机或网络的报文根据事先定义好的检查规则作匹配检测，对于能够被规则所匹配到的报文做出相应的处理
iptables框架

  • iptables的4表

    • filter：数据过滤表
      • 包含三个链：INPUT，UOTPUT，FORWARD
    • nat：地址转换表，不能过滤数据包，仅仅修改数据包中的IP和端口
      • 包含三个链：PREROUTING，POSTROUTING，OUTPUT
    • raw：状态跟踪表，决定是否跟踪数据包
      • 包含两个链：OUTPUT，PREROUTING
    • mangle：包标记表，不能过滤也不能修改数据包
      • 包含五个链：PREROUTING，FORWARD，POSTROUTING，INPUT，OUTPUT

  • iptables的5链

    • PREROUTING链：路由前规则，防火墙在刚刚接收到数据包，对数据包进行路径选择之前所需要的链
    • FORWARD链：转发规则，将数据包从一个网络转发到另外一个网络所需要的链
    • POSTROUTING链：路由后规则，对数据包进行路径选择后，并在防火墙即将把数据包转发出去之前，所要需要的链
    • INPUT链：入站规则，限制客户端数据包目地地址是防火墙主机的上层应用所需要的链
    • OUTPUT链：出站规则，限制防火墙主机上层应用产生的数据包是否可以出站需要的链

  • 目标操作

    • ACCEPT：允许通过/放行
    • DROP：直接丢弃，不给出任何回应
    • REJECT：拒绝通过，有明确回应
    • LOG：记录日志，然后传给下一条规则
iptables命令格式

  • 命令格式：Iptables [-t 表名] 选项 [链名] [条件] [-j 目标操作]

  • 添加规则：

    • -A #追加一条防火墙规则至链的末尾
    • -I #插入一条防火墙规则至链的开头

  • 查看规则：

    • -L #查看iptables所有规则，与-n连用
    • -n #以数字形式显示地址、端口等信息，与-L连用
    • –line-numbers #查看规则时，显示规则的行号

  • 删除规则：

    • -D #删除链内指定的序号（或内容）的一条规则
    • -F #清空所有规则

  • 默认规则：

    • -P #为指定的链设置默认规则
iptables防火墙规则的条件

  • 通用匹配：

    • 协议匹配：-p #协议名称

    • 地址匹配：-s 源地址、-d 目标地址

    • 接口匹配：-i 接受数据的网卡、-o 发送数据的网卡

    • 端口匹配：–sport 源端口号、–dport 目标端口号

    • ICMP类别匹配：–icmp-type ICMP 类型

  • 创建规则注意事项

  1. 可以不指定表，默认为filter表
  2. 如果没有找到匹配条件，执行防火墙默认规则
主机型防火墙规则配置
#安装iptables服务
[root@master ~]# yum -y install iptables-services
[root@master ~]# systemctl start iptables

#拒绝icmp访问
[root@master ~]# iptables -t filter -I INPUT -p icmp -j REJECT

#查看规则
[root@master ~]# iptables -L -n --line-numbers

#测试icmp访问
[root@slave ~]# ping 192.168.0.10
PING 192.168.0.10 (192.168.0.10) 56(84) bytes of data.
From 192.168.0.10 icmp_seq=1 Destination Port Unreachable

[root@master ~]# iptables -t filter -I INPUT -p icmp -j DROP
[root@master ~]# iptables -t filter -I INPUT -p icmp -j ACCEPT

#清空某一条规则（默认为filter表）
[root@iptables ~]# iptables -t filter -D  INPUT  8 

#清空所有规则（默认为filter表所有规则）
[root@master ~]# iptables -F

#清空其他表所有规则
[root@master ~]# iptables -t nat -F
[root@master ~]# iptables -t raw -F
[root@master ~]# iptables -t mangle -F

#为filter表INPUT链添加规则，允许任何人使用TCP协议访问本机
[root@master ~]# iptables -t filter -I INPUT -p tcp -j ACCEPT

#为filter表INPUT链添加规则至第一行，允许任何人使用UDP协议访问本机
[root@master ~]# iptables -t filter -I INPUT -p udp -j ACCEPT

#为filter表INPUT链添加规则至第二行，允许任何人使用ICMP协议访问本机
[root@master ~]# iptables -t filter -I INPUT 2 -p icmp -j ACCEPT

[root@master ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0

#查看INPUT链规则
[root@master ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0

#清空filter表所有规则
[root@master ~]# iptables -F

**

设置防火墙默认规则

**

#查看filter表
[root@master ~]# iptables -t filter -nL
Chain INPUT (policy ACCEPT)  //默认规则
target     prot opt source               destination         
 
Chain FORWARD (policy ACCEPT) //默认规则
target     prot opt source               destination         
 
Chain OUTPUT (policy ACCEPT)  //默认规则
target     prot opt source               destination

#允许22号端口被访问
[root@master ~]# iptables -t filter -I INPUT -p tcp --dport 22 -j ACCEPT

[root@master ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22

#将filter表INPUT链默认规则修改为DROP
[root@master ~]# iptables -t filter -P INPUT DROP 

[root@master ~]# iptables -nL
Chain INPUT (policy DROP)   #默认为拒绝
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22  #只允许22端口访问，其他全部拒绝

#将默认规则修改为ACCEPT
[root@master ~]# iptables -t filter -P INPUT ACCEPT

#清空防火墙规则
[root@master ~]# iptables -F

#设置防火墙拒绝所有80端口的访问
[root@master ~]# iptables -t filter -I INPUT -p tcp --dport 80 -j REJECT

#查看规则
[root@master ~]# iptables -nL

#安装httpd服务
[root@master ~]# yum -y install httpd

#启动服务
[root@master ~]# systemctl start httpd

#修改默认首页
[root@master ~]# echo xxoo > /var/www/index.html

#访问测试
[root@slave ~]# curl http://192.168.0.10

[root@master ~]# iptables -F

#单独拒绝某个IP
[root@master ~]# iptables -t filter -I INPUT  -s 192.168.0.20 -j REJECT

#单独拒绝某个IP不允许访问本机的某个服务（端口）
[root@iptables-server ~]# iptables -I INPUT -s 192.168.0.27 -p tcp --dport 80 -j REJECT

#查看规则
[root@master ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  192.168.0.20         0.0.0.0/0            reject-with icmp-port-unreachable

192.168.0.20访问测试
[root@slave ~]# curl http://192.168.0.10
curl: (7) Failed connect to 192.168.0.10:80; 拒绝连接

#拒绝客户端访问本机网卡的80端口
[root@master ~]# iptables -t filter -I INPUT -i ens32 -p tcp --dport 80 -j REJECT

#客户端测试
[root@agent ~]# curl http://192.168.0.10
curl: (7) Failed connect to 192.168.0.10:80; 拒绝连接

[root@master ~]# iptables -F

#设置防火墙拒绝某个网段
[root@master ~]# iptables -t filter -I INPUT -s 192.168.1.0/24 -j REJECT

#查看规则
[root@master ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  192.168.1.0/24       0.0.0.0/0
网络型防火墙规则配置
  • 通过路由转发配置网络型防火墙
主机名网卡、IP地址、网关设置
client28ens32：192.168.1.28，网关指向防火墙外网IP：192.168.1.100
proxyens32内网IP：192.168.0.26，ens34外网IP：192.168.1.100
web27ens32：192.168.0.27，网关指向防火墙内网IP：192.168.0.26
  • 防火墙主机添加网卡并设置IP，IP设置为：192.168.0.100/24
#开启路由转发功能
[root@proxy ~]# echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf 

[root@proxy ~]# sysctl -p   //加载配置立即生效
net.ipv4.ip_forward = 1
 
#查看路由转发
[root@proxy ~]# cat /proc/sys/net/ipv4/ip_forward
1
  • 第二台服务器提供网站服务：web27将网关指向1192.168.0.26
#安装httpd服务
[root@web1 ~]# yum -y install httpd
 
#修改默认首页
[root@web1 ~]# echo  web27 > /var/www/html/index.html
[root@web1 ~]# systemctl start httpd
[root@web1 ~]# systemctl status httpd

  • 第三台为客户端：client将IP修改为192.168.1.30网段，将网关指向防火墙主机的第二块网卡：192.168.0.100

  • 访问测试：curl http://192.168.0.20

  • 防火墙主机配置规则：拒绝192.168.1.30访问80端口

[root@proxy ~]# iptables -I FORWARD -s 192.168.1.28 -p tcp --dport 80 -j DROP

#客户端192.168.1.30访问测试：
curl http://192.168.0.20

#拒绝所有客户端地址访问内网80端口
[root@iptables ~]# iptables -t filter -I FORWARD -p tcp --dport 80 -j REJECT

[root@proxy ~]# iptables -F
防火墙扩展
  • 命令格式：iptables 选项 链名 -m 扩展模块 --具体扩展条件 -j 动作
#根据MAC地址封锁主机,安装nmap扫描获取地方IP的MAC地址
[root@proxy ~]# yum -y install nmap

#扫描对方主机IP
[root@proxy ~]# nmap 192.168.28 
Starting Nmap 6.40 ( http://nmap.org ) at 2020-09-25 17:12 CST
Nmap scan report for 192.168.0.111
Host is up (0.00044s latency).                        //当前主机状态
MAC Address: 00:0C:29:CA:87:81 (VMware)   //MAC地址
Nmap done: 1 IP address (1 host up) scanned in 4.05 seconds

#通过MAC地址限制对方访问
[root@proxy ~]# iptables -t filter -I FORWARD -p tcp --dport 80 -m mac --mac-source 00:0C:29:D5:29:0F -j REJECT
  • 基于多端口设置过滤规则
[root@proxy ~]# iptables -t filter -I FORWARD -p tcp -m multiport --dports 20,21,80,443 -j ACCEPT
#multiport ：多端口模块

#根据IP范围设置封锁规则
[root@proxy ~]# iptables -t filter -I FORWARD -p tcp --dport 80 -m iprange --src-range 192.168.1.20-192.168.1.30 -j REJECT
#iprange模块：ip范围模块
#--src-range：源IP
#--dst-range：目标IP
配置SNAT实现共享上网
  • 通过防火墙规则，允许局域网中的主机访问外网
主机名网卡、IP地址、网关
内部主机：host28ens32：192.168.1.28，网关：192.168.1.100
内部防火墙：proxyens32外网IP：192.168.0.26，ens34内网IP：192.168.1.100
外部主机：web27ens32：192.168.0.27，网关：192.168.0.26
#实现192.168.1.28转换为192.168.0.26
[root@proxy ~]# iptables -t nat -I POSTROUTING -s 192.168.1.0/24 -p tcp  -j SNAT --to-source 192.168.0.26
#POSTROUTING：路由后链
#-s：指定源地址为192.168.1.0网段的地址
#-p：想要通过tcp协议
#--dport：访问目标的80端口时
#-j：SNAT转换
#--to-source：转换源地址为192.168.0.26

#web1动态查看访问日志
[root@web1 ~]# tail -f /var/log/httpd/access_log


client 192.168.1.30访问网站
curl  http://192.168.0.27

#所有iptables规则都是临时规则，如果需要永久保留规则需要执行如下命令
[root@proxy ~]# service iptables save
Palptate
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
iptables 配置
qq_42158153的博客
07-11 4747
1）保存防火墙配置文件信息 cp /etc/sysconfig/iptables{,.bak} 　 2）清除配置规则 iptables -F <- 清空iptables所有规则信息（清除filter） iptables -X <- 清空iptables自定义链配置（清除filter） iptables -Z <- 清空iptables计数器信息（清除filter） 　 3）别把自己踢出到门外 iptables -A INPUT ...
Linux系统的iptables防火墙
SHENxuehebinghua的博客
05-10 240
目录 一、iptables概述 1.netfilter/iptables关系 netfilter： iptables： 2.四表五链 四表: 五链: 规则表之间的优先顺序 规则链之间的匹配顺序 二、iptables的安装 iptables防火墙的配置方法 iptables命令行配置方法 常用的管理选项 三、iptables的使用方法 1.添加新的规则 2.查看规则列表 3.设置默认策略 4.删除规则 5.清空规则 四、规则的匹配 1.通用匹配 2.隐含匹配 五、
【iptables 防火墙设置】
DiKL_Y的博客
05-21 6830
iptables 防火墙的设置，网络的禁止进入和允许放通
Linux下iptables防火墙配置
asdfg___xiaobai的博客
11-02 6465
1. NEW：主机连接目标主机，在目标主机上看到的第一个想要连接的包 2. ESTABLISHED：主机已与目标主机进行通信，判断标准只要目标主机回应了第一个包，就进 入该状态
Linux安全防火墙（iptables）配置策略
最新发布
qq_53058639的博客
06-01 912
这条规则将禁止192.168.1.0/24网段的访问，丢弃源地址的流量。可以使用类似的命令来添加更多规则到自定义链中，根据需求进行配置。如果想要删除自定义链，确保满足以下条件：自定义链没有被任何默认链引用，即自定义链的引用计数为0。自定义链中没有任何规则，即自定义链为空。可以使用-x示例自定义链使用自定义链添加：iptables -N custom(链名) 创建链自定义链改名：iptables -E custom(原来名称) ky29(新名称) 自定义链改名。
iptables 防火墙配置
来日可期的博客
09-15 3950
iptables ：包过滤防火墙，是内核防火墙netfilter的管理工具。它可以让系统管理员根据自己的需求定义网络流量的过滤规则，以保护服务器和网络免受潜在的安全威胁。
【Linux安全管理】iptables配置与iptables基本用法
Linux小白一只~正处于学习阶段，觉得我写的还好的请多多给我点赞呀,谢谢大家！！(๑＞ڡ＜)☆
11-22 4045
iptables介绍 1、防火墙分类 2、iptables的启动 ①在开机时禁用firewalld服务： ②安装iptables-services ③将它设置为开机自启 3、iptables 四表五链详解
Linux防火墙之iptables详解
qq_50685659的博客
05-15 6631
防火墙分类 从逻辑上分类 主机防火墙：针对单个主机防护 网络防火墙：出于网络入口或边缘，针对网络入口防护，服务于防火墙背后的本地局域网 从物理上分类 软件防火墙 硬件防火墙 iptables包过滤防火墙 （在用户空间） netfilter（真正意义上防火墙）在内核空间的 内核空间：也叫内核态，操作系统占据的内核区域 用户空间：也叫用户态，用户进程所在的内存区域 iptables四表五链 防火墙是按照规则办事的，我们就来说说规则 （rules） ，规则其实就是网络管理员预定义的条件，规则一般的定义为"如果数据
Linux Ubuntu系统iptables防火墙配置
11-11
配置iptables防火墙的主要目的是保护服务器安全，防止未经授权的访问和恶意攻击，以及避免不必要的服务暴露，提高系统的稳定性和安全性。通过制定精确的规则，可以阻止非法探测，确保只有指定的主机能够访问特定的...
linux iptables防火墙配置
03-15
linux 防火墙配置 iptables
Linux iptables防火墙实用模板
06-22
Linux iptables防火墙实用模板
linux iptables防火墙黑名单(封IP) Connection reset by peer
01-11
linux iptables防火墙黑名单(封IP) Connection reset by peer
iptables防火墙配置
04-02
Linux防火墙配置
Linux系统防火墙iptables
wlc1213812138的博客
06-10 3499
Linux系统的防火墙: IP信息包过滤系统，它实际上由两个组件netfilter和iptables组成。主要工作在网络层，针对IP数据包。针对 TCP/IP 数据包实施过滤和限制，属于典型的包过滤防火墙（或称为网络层防火墙）
Linux iptables防火墙详解（二）——iptables基本配置
永远是少年
12-04 4106
本文主要内容是Linux iptables防火墙的基本配置。 1、iptables基本参数。 2、iptables参数使用示例。
Linux防火墙
04-05 1322
iptables iptables 是一个Linux内核中的强大防火墙。 查看iptables的配置文件内容 vi /etc/sysconfig/iptables 如果这个文件还不存在，可能是还没有配置规则。 下列命令添加一些开放端口 /sbin/iptables -I INPUT -p tcp --dport 80 -j ACCEPT /sbin/iptables -I INPUT -p tcp --dport 22 -j ACCEPT /sbin/iptables -I INPUT
Linux安装Iptables
Peter_paker的博客
07-19 3069
Iptables的安装方法
linux防火墙iptables配置
08-09
- *3* [Linux下iptables防火墙配置](https://blog.csdn.net/asdfg___xiaobai/article/details/127651533)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Palptate

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值