WEB服务器安全：基本配置(1)

#!/bin/sh
# iptable 防火墙针对服务器的配置脚本
# -F清除默认链所有的规则
iptables -F
#清除所以自定义链
iptables -X
#计数器归零
iptables -Z
#数据出口要开启
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -P INPUT DROP
#开启22端口以便能远程连接,指定公司IP才可以访问
iptables -A INPUT -s 192.168.1.14 -p tcp --dport 22 -j ACCEPT
#开启WEB端口，以便用户能访问网站
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#允许本地环回数据
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
#允许DNS
iptables  -A  INPUT  -p  udp  --dport  53  -j ACCEPT
iptables  -A  INPUT  -p  udp  --sport  53  -j  ACCEPT
#建立主从服务器的相互信任，因为他们通讯时有时有些端口是随机的，而本身他们相互就是可以信任的
iptables -A INPUT -s 119.129.54.204 -p tcp -j ACCEPT
#后台项目之允许公司IP访问
iptables -A INPUT -s 192.168.1.14 -p tcp --dport 8200 -j ACCEPT
#允许公司IP访问数据库
iptables -A INPUT -s 192.168.1.14 -p tcp --dport 3306 -j ACCEPT
#设置ping的功能不要太频繁以免发生ping洪水攻击,限制每秒不能超过10个数据包
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -limit-burst 10 -j ACCEPT
#防止syn,rst,ack syn洪水攻击，把这种连接的每秒并发数设置200
iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -m limit --limit 20/sec --limit-burst 200 -j ACCEPT
#允许稳定的tcp链接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
处理IP碎片数量,防止攻击,允许每秒200个
iptables -A FORWARD -f -m limit --limit 200/s --limit-burst 200 -j ACCEPT

#永久保存规则
/etc/rc.d/init.d/iptables save
#启动防火墙
service iptables restart