《云计算》lunix中 扩展匹配

最新推荐文章于 2024-10-02 10:53:34 发布
最新推荐文章于 2024-10-02 10:53:34 发布
阅读量323 收藏
点赞数
分类专栏： 云计算
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xiaozhedeitzhilu/article/details/90291342
版权

其他扩展匹配
 问题
本案例要求熟悉针对MAC地址、多端口匹配、IP范围等扩展条件的防火墙规则设置，完成以下任务操作：

  1. 根据MAC地址封锁内网中指定的一些主机
  2. 通过一条防火墙规则开放多个TCP服务，提高规则编写效率
  3. 根据指定的IP地址范围设置封锁或放行规则
     方案
    采用三台RHEL6虚拟机svr5、gw1、pc120，如图-1所示。其中，虚拟机svr5作为局域网络的测试机，接入NAT网络（virbr0）；虚拟机pc120作为Internet的测试机，接入隔离网络（virbr1）；虚拟机gw1作为网关/路由器，配置eth0、eth1两块网卡，分别接入两个网络virbr0、virbr1。

图-1在这里插入图片描述
内网测试机svr5还需要将默认网关指向Linux网关的内网接口192.168.4.1：
[root@svr5 ~]# route -n | grep UG
0.0.0.0 192.168.4.1 0.0.0.0 UG 0 0 0 eth0
网关gw1上开启路由转发：
[root@gw1 ~]# vim /etc/sysctl.conf
net.ipv4.ip_forward = 1
[root@gw1 ~]# sysctl -p
net.ipv4.ip_forward = 1
… …
 步骤
实现此案例需要按照如下步骤进行。
步骤一：根据MAC地址封锁内网中指定的一些主机
1）整理测试环境
为外网测试机pc120添加到192.168.4.0/24网段的路由：
[root@pc120 ~]# route add default gw 174.16.16.1
[root@pc120 ~]# route -n | grep UG
0.0.0.0 174.16.16.1 0.0.0.0 UG 0 0 0 eth0
清理网关gw1的防火墙，恢复为零规则状态：
[root@gw1 ~]# service iptables stop
iptables：将链设置为政策 ACCEPT：raw filter [确定]
iptables：清除防火墙规则： [确定]
iptables：正在卸载模块： [确定]
[root@gw1 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
2）在内网机svr5测试ping外网机pc120，能够正常连通
[root@svr5 ~]# ping -c4 -W2 174.16.16.120
PING 174.16.16.120 (174.16.16.120) 56(84) bytes of data.
64 bytes from 174.16.16.120: icmp_seq=1 ttl=63 time=2.29 ms
64 bytes from 174.16.16.120: icmp_seq=2 ttl=63 time=0.764 ms
64 bytes from 174.16.16.120: icmp_seq=3 ttl=63 time=0.887 ms
64 bytes from 174.16.16.120: icmp_seq=4 ttl=63 time=1.12 ms

— 174.16.16.120 ping statistics —
4 packets transmitted, 4 received, 0% packet loss, time 3004ms
rtt min/avg/max/mdev = 0.764/1.268/2.299/0.608 ms
3）在gw1上添加MAC地址限制，禁止转发内网机svr5的ping数据包
获得主机svr5的MAC地址（00:0c:29:65:21:3c）：
[root@gw1 ~]# ping -c2 192.168.4.5 &> /dev/null //做一次网络访问
[root@gw1 ~]# arp -an | grep 192.168.4.5 //从ARP缓存提取MAC
? (192.168.4.5) at 00:0c:29:65:21:3c [ether] on eth0
添加限制MAC地址的防火墙规则：
[root@gw1 ~]# iptables -A FORWARD -p icmp -m mac --mac-source 00:0c:29:65:21:3c -j DROP

[root@gw1 ~]# iptables -nL FORWARD
Chain FORWARD (policy ACCEPT)
target prot opt source destination
DROP icmp – 0.0.0.0/0 0.0.0.0/0 MAC 00:0C:29:65:21:3C
4）在内网机svr5再测试ping外网机pc120，将会被阻止
[root@svr5 ~]# ping -c4 -W2 174.16.16.120
PING 174.16.16.120 (174.16.16.120) 56(84) bytes of data.

— 174.16.16.120 ping statistics —
4 packets transmitted, 0 received, 100% packet loss, time 5000ms
步骤二：通过一条防火墙规则开放多个TCP服务，提高规则编写效率
1）在外网测试机pc120上开放多个端口
允许访问本机的SSH、FTP（配置的被动端口范围为16501:16800）、邮件、网站服务：
[root@pc120 ~]# iptables -A INPUT -p tcp -m multiport --dport 20:22,25,80,110,143,16501:16800 -j ACCEPT
拒绝对其他TCP端口的访问时，可以对上一条规则利用!取反，操作改为REJECT（方便查看效果）：
[root@pc120 ~]# iptables -A INPUT -p tcp -m multiport ! --dport 20:22,25,80,110,143,16501:16800 -j REJECT
确认规则结果：
[root@pc120 ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 multiport dports 20:22,25,80,110,143,16501:16800
REJECT tcp – 0.0.0.0/0 0.0.0.0/0 multiport dports ! 20:22,25,80,110,143,16501:16800 reject-with icmp-port-unreachable
2） 测试外网机pc120上的Web服务
将主机pc120上的httpd服务端口改为81：
[root@pc120 ~]# vim /etc/httpd/conf/httpd.conf
Listen 81 //修改监听端口
… …
[root@pc120 ~]# service httpd restart //重启服务
… …
[root@pc120 ~]# netstat -anpt | grep httpd //确认监听状态
tcp 0 0 :::81 ::? LISTEN 8425/httpd
由于pc120的防火墙规则并未开放81端口，因此从其他主机（比如gw1）访问此Web服务将会失败：
[root@gw1 ~]# elinks --dump http://174.16.16.120:81
ELinks: 拒绝连接
将主机pc120上的httpd服务端口重新改为80：
[root@pc120 ~]# vim /etc/httpd/conf/httpd.conf
Listen 80 //修改监听端口
… …
[root@pc120 ~]# service httpd restart //重启服务
… …
[root@pc120 ~]# netstat -anpt | grep httpd //确认监听状态
tcp 0 0 :::80 ::? LISTEN 8499/httpd
从网关gw1可成功访问pc120上的Web网页：
[root@gw1 ~]# elinks --dump http://174.16.16.120
Test Page 120.
步骤三：根据指定的IP地址范围设置封锁或放行规则
1）在外网机pc120上添加IP范围封锁
在INPUT链的最前面插入一条规则，禁止IP地址位于174.16.16.240~172.16.16.254范围的主机访问本机的Web服务：
[root@pc120 ~]# iptables -I INPUT -p tcp --dport 80 -m iprange --src-range 174.16.16.240-174.16.16.1 -j REJECT

[root@pc120 ~]# iptables -nL INPUT --line-numbers
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 REJECT tcp – 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 source IP range 174.16.16.240-174.16.16.1 reject-with icmp-port-unreachable
2 ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 multiport dports 20:22,25,80,110,143,16501:16800
3 REJECT tcp – 0.0.0.0/0 0.0.0.0/0 multiport dports ! 20:22,25,80,110,143,16501:16800 reject-with icmp-port-unreachable
[root@pc120 ~]#
2）测试从网关gw1上访问pc120的Web服务，将会失败（地址受限）
[root@gw1 ~]# elinks --dump http://174.16.16.120
ELinks: 拒绝连接
3）测试从内网机svr5上访问pc120的Web服务，可成功浏览（地址未受限）
[root@svr5 ~]# elinks --dump http://174.16.16.120
Test Page 120.
2. 配置SNAT实现共享上网
 问题
本案例要求熟悉SNAT策略的典型应用场景，完成以下任务：

  1. 搭建一套“局域网-Linux网关-互联网”的案例环境
  2. 在Linux网关上配置SNAT策略，实现局域网主机的共享上网
  3. 修改现有的SNAT策略，验证MASQUERAD伪装的有效性
     方案
    采用三台RHEL6虚拟机svr5、gw1、pc120，如图-2所示。其中，虚拟机svr5作为局域网络的测试机，接入NAT网络（virbr0）；虚拟机pc120作为Internet的测试机，接入隔离网络（virbr1）；虚拟机gw1作为网关/路由器，配置eth0、eth1两块网卡，分别接入两个网络virbr0、virbr1。

图-2在这里插入图片描述
内网测试机svr5还需要将默认网关指向Linux网关的内网接口192.168.4.1：
[root@svr5 ~]# route -n | grep UG
0.0.0.0 192.168.4.1 0.0.0.0 UG 0 0 0 eth0
网关gw1上开启路由转发：
[root@gw1 ~]# vim /etc/sysctl.conf
net.ipv4.ip_forward = 1
[root@gw1 ~]# sysctl -p
net.ipv4.ip_forward = 1
… …
 步骤
实现此案例需要按照如下步骤进行。
步骤一：搭建一套基于“局域网-Linux网关-互联网”的案例环境
沿用练习一的环境，稍作调整。
停用虚拟机svr5、gw1、pc120上的iptables服务，清空防火墙规则：
[root@gw1 ~]# service iptables stop
iptables：将链设置为政策 ACCEPT：filter [确定]
iptables：清除防火墙规则： [确定]
iptables：正在卸载模块： [确定]
去掉外网测试机pc120的路由设置：
[root@pc120 ~]# route del default gw 174.16.16.1
[root@pc120 ~]# route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
174.16.16.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
步骤二：在Linux网关上配置SNAT策略，实现局域网主机的共享上网
1）在网关启用SNAT转换之前，内网无法访问外网
比如从内网机svr5尝试访问外网机pc120时，因为pc120缺少到svr5所在私网网段的路由记录，所以访问会失败。这个与正常的互联网寻址情况是相吻合的，即私网地址不在互联网中路由。
使用elinks测试Web访问的情况如下：
[root@svr5 ~]# elinks --dump http://174.16.16.120
… …
^C //长时间无响应，按Ctrl+c键中止
[root@svr5 ~]#
2）在gw1上添加SNAT转换规则
添加的规则应该在nat表内，将来自局域网段192.168.4.0/24、将要从外网接口eth1出去的数据包，在路由选择之后将数据包的源IP地址修改为网关gw1的外网接口的IP地址174.16.16.120：
[root@gw1 ~]# iptables -t nat -A POSTROUTING -s 192.168.4.0/24 -o eth1 -j SNAT --to-source 174.16.16.1

[root@gw1 ~]# iptables -t nat -nL POSTROUTING
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT all – 192.168.4.0/24 0.0.0.0/0 to:174.16.16.1
3）再次测试从内网访问外网
从内网机svr5上访问外网机pc120的网站，可以成功看到网页：
[root@svr5 ~]# elinks --dump http://174.16.16.120
Test Page 120.
但是在检查pc120的Web访问日志时，可以看到来访的客户机地址其实是网关gw1的外网地址，说明网关已经通过SNAT规则把Web请求包的源地址192.168.4.5改成了174.16.16.1，实现了局域网主机共享网关的公网IP地址上网：
[root@pc120 ~]# tail -1 /var/log/httpd/access_log
174.16.16.1 - - [19/May/2015:14:14:05 +0800] “GET / HTTP/1.1” 200 15 “-” “ELinks/0.12pre5 (textmode; Linux; -)”
步骤三：修改现有的SNAT策略，验证MASQUERAD伪装的有效性
1） 确认网关gw1上现有的SNAT策略
[root@gw1 ~]# iptables -t nat -nL POSTROUTING
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT all – 192.168.4.0/24 0.0.0.0/0 to:174.16.16.1
2） 将网关gw1上的SNAT策略替换为MASQUERADE伪装策略
可以删除原策略，重新设置新策略，匹配条件与SNAT差不多，但是处理方式修改为MASQUERADE即可：
[root@gw1 ~]# iptables -t nat -D POSTROUTING 1
[root@gw1 ~]# iptables -t nat -A POSTROUTING -s 192.168.4.0/24 -o eth1 -j MASQUERADE

[root@gw1 ~]# iptables -t nat -nL POSTROUTING
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all – 192.168.4.0/24 0.0.0.0/0
3）再次测试从内网访问外网
从内网机svr5上访问外网机pc120的网站，还是可以成功看到网页：
[root@svr5 ~]# elinks --dump http://174.16.16.120
Test Page 120.
3. 配置DNAT发布内网服务器
 问题
本案例要求熟悉DNAT策略的典型应用场景，完成以下任务：

  1. 通过DNAT策略发布内网的Web服务器
  2. 通过DNAT策略发布内网的SSH服务器
  3. 通过DNAT策略发布内网的FTP服务器
     方案
    沿用练习二，采用三台RHEL6虚拟机svr5、gw1、pc120，如图-3所示。其中，虚拟机svr5作为局域网络的测试机，接入NAT网络（virbr0）；虚拟机pc120作为Internet的测试机，接入隔离网络（virbr1）；虚拟机gw1作为网关/路由器，配置eth0、eth1两块网卡，分别接入两个网络virbr0、virbr1。

图-3在这里插入图片描述
内网测试机svr5还需要将默认网关指向Linux网关的内网接口192.168.4.1：
[root@svr5 ~]# route -n | grep UG
0.0.0.0 192.168.4.1 0.0.0.0 UG 0 0 0 eth0
 步骤
实现此案例需要按照如下步骤进行。
步骤一：通过DNAT策略发布内网的Web服务器
Web服务器的IP地址192.168.4.5为私有地址，从互联网无法直接访问；而企业站点的域名www.tedu.cn对外只能解析为公有地址（比如网关gw1外网接口的地址174.16.16.1）。
1）未启用DNAT策略时，外网无法访问私网Web服务器
启用svr5的httpd服务：
[root@svr5 ~]# service httpd restar
… …
[root@svr5 ~]# echo “Test Page 5.” > /var/www/html/index.html //部署测试网页
关闭gw1的httpd服务：
[root@gw1 ~]# service httpd stop
… …
从外网机pc120尝试访问http://174.16.16.1会失败：
[root@pc120 ~]# elinks --dump http://174.16.16.1
ELinks: 拒绝连接
2）在网关gw1上添加DNAT规则
添加的规则应该在nat表内，将从外网接口eth1进来、目标地址为174.16.16.1、目标端口为TCP 80的数据包，在路由选择之前将数据包的目标IP地址修改为内网实际Web服务器svr5的IP地址192.168.4.5：
[root@gw1 ~]# service iptables stop //排除其他规则干扰
iptables：将链设置为政策 ACCEPT：nat [确定]
iptables：清除防火墙规则： [确定]
iptables：正在卸载模块： [确定]

[root@gw1 ~]# iptables -t nat -A PREROUTING -i eth1 -d 174.16.16.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.4.5

[root@gw1 ~]# iptables -t nat -nL PREROUTING //查看结果
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
DNAT tcp – 0.0.0.0/0 174.16.16.1 tcp dpt:80 to:192.168.4.5
[root@gw1 ~]#
3）再次测试从外网访问内网
从外网机pc120尝试访问http://174.16.16.1，可以看到svr5的Web页面：
[root@pc120 ~]# elinks --dump http://174.16.16.1
Test Page 5.
检查内网机svr5的Web访问日志，发现确实是外网机174.16.16.120在访问：
[root@svr5 ~]# tail -1 /var/log/httpd/access_log
174.16.16.120 - - [19/May/2015:14:59:23 +0800] “GET / HTTP/1.1” 200 13 “-” “ELinks/0.12pre5 (textmode; Linux; -)”
步骤二：通过DNAT策略发布内网的SSH服务器
1）未启用DNAT策略时，外网无法以SSH方式远程管理私网Web服务器
如果网关gw1开启默认的SSH服务、且允许进站访问，那么当从外网机pc120远程SSH连接174.16.16.1时，登入的是gw1的Shell环境：
[root@pc120 ~]# ssh root@174.16.16.1 “hostname” //SSH执行远程主机上的命令
root@174.16.16.1’s password: //验证gw1的root口令
gw1.tedu.cn //连接的是gw1
[root@pc120 ~]#
2）在网关gw1上添加DNAT规则
准备映射端口2345，当从外网接口eth1进来、目标IP地址为174.16.16.1、目标端口为TCP 2345时，在路由选择之前将数据包的目标IP地址改为192.168.4.5、目标端口改为22：
[root@gw1 ~]# iptables -t nat -A PREROUTING -i eth1 -d 174.16.16.1 -p tcp --dport 2345 -j DNAT --to-destination 192.168.4.5:22

[root@gw1 ~]# iptables -t nat -nL PREROUTING
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
DNAT tcp – 0.0.0.0/0 174.16.16.1 tcp dpt:80 to:192.168.4.5
DNAT tcp – 0.0.0.0/0 174.16.16.1 tcp dpt:2345 to:192.168.4.5:22
3）测试针对SSH服务的DNAT转换
从外网机pc120以SSH连接174.16.16.1的2345端口，实际登入的是内网机svr5：
[root@pc120 ~]# ssh -p 2345 root@174.16.16.1 “hostname”
root@174.16.16.1’s password: //实际需验证svr5的root口令
svr5.tedu.cn //实际访问的是svr5
[root@pc120 ~]#
步骤三：通过DNAT策略发布内网的FTP服务器
1）准备测试环境
在内网机svr5上开启vsftpd服务：
[root@svr5 ~]# yum -y install vsftpd
… …
[root@svr5 ~]# service vsftpd restart
… …
[root@svr5 ~]# echo “FTP Test 5.” > /var/ftp/a.txt //部署FTP测试文件
关闭网关gw1上的vsftpd服务：
[root@gw1 ~]# service vsftpd stop
关闭 vsftpd： [确定]
2）未启用DNAT策略时，外网无法访问私网FTP服务器
尝试访问gw1的FTP端口时，因服务不可用而拒绝：
[root@pc120 ~]# ftp 174.16.16.1
ftp: connect: 拒绝连接
ftp> quit
[root@pc120 ~]#
尝试访问svr5的FTP端口时，因目标地址为私网地址而不可达：
[root@pc120 ~]# ftp 192.168.4.5
ftp: connect: 网络不可达
ftp> quit
[root@pc120 ~]#
3）在网关gw1上添加DNAT规则
添加的规则应该在nat表内，将从外网接口eth1进来、目标地址为174.16.16.1、目标端口为TCP 20或21的数据包，在路由选择之前将数据包的目标IP地址修改为内网实际FTP服务器svr5的IP地址192.168.4.5：
[root@gw1 ~]# iptables -t nat -A PREROUTING -i eth1 -d 174.16.16.1 -p tcp --dport 20:21 -j DNAT --to-destination 192.168.4.5

[root@gw1 ~]# iptables -t nat -nL PREROUTING
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
DNAT tcp – 0.0.0.0/0 174.16.16.1 tcp dpt:80 to:192.168.4.5
DNAT tcp – 0.0.0.0/0 174.16.16.1 tcp dpt:2345 to:192.168.4.5:22
DNAT tcp – 0.0.0.0/0 174.16.16.1 tcp dpts:20:21 to:192.168.4.5
4）测试从外网访问内网的FTP服务
从外网机pc120访问174.16.16.1的FTP端口，实际上连接到内网机svr5的vsftpd服务，经DNAT转换后，能够成功登录，但是无法下载数据：
[root@pc120 ~]# ftp 174.16.16.1
Connected to 174.16.16.1 (174.16.16.1).
220 (vsFTPd 2.2.2)
Name (174.16.16.1:root): ftp
331 Please specify the password.
Password:
230 Login successful. //成功登入
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls //获取目录列表失败
227 Entering Passive Mode (192,168,4,5,204,144).
ftp: connect: 网络不可达
ftp> quit
221 Goodbye.
[root@pc120 ~]#
4）在网关gw1上加载FTP相关模块
[root@gw1 ~]# modprobe nf_nat_ftp nf_conntrack_ftp //加载内核模块

[root@gw1 ~]# lsmod | grep nat_ftp //确认结果
nf_nat_ftp 3507 0
nf_conntrack_ftp 12913 1 nf_nat_ftp
nf_nat 22759 2 nf_nat_ftp,iptable_nat
nf_conntrack 79758 7 nf_nat_ftp,nf_conntrack_ftp,iptable_nat,nf_nat,nf_conntrack_ipv4,nf_conntrack_ipv6,xt_state
5）再次测试从外网访问内网的FTP服务
从外网机pc120访问174.16.16.1的FTP端口，实际上连接到内网机svr5的vsftpd服务，可以成功登录，也可以下载数据：
[root@pc120 ~]# ftp 174.16.16.1
Connected to 174.16.16.1 (174.16.16.1).
220 (vsFTPd 2.2.2)
Name (174.16.16.1:root): ftp
331 Please specify the password.
Password:
230 Login successful. //成功登入
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls //获取目录列表成功
227 Entering Passive Mode (174,16,16,1,237,199).
150 Here comes the directory listing.
drwxr-xr-x 3 14 0 4096 Apr 11 06:53 pub
drwxr-xr-x 2 0 0 4096 Apr 27 02:13 rhel6
… …
226 Directory send OK.
ftp> quit
221 Goodbye.
[root@pc120 ~]#
4. 防火墙脚本设计
 问题
本案例要求熟悉防火墙脚本的典型构成，完成以下任务：

  1. 针对Linux网关编写脚本，提供SNAT共享上网策略、DNAT发布Web、FTP服务的策略
  2. 编写网络型、主机型防护规则
  3. 使用IP地址黑/白名单
     方案
    Linux防火墙脚本的典型构成：
  4. 定义基本环境变量
  5. 必要的内核模块和 /proc 参数调整
  6. 具体的防火墙策略设计，包括各链的默认规则，按表、链组织的规则
    沿用练习三，采用三台RHEL6虚拟机svr5、gw1、pc120，如图-4所示。其中，虚拟机svr5作为局域网络的Web服务器，接入NAT网络（virbr0）；虚拟机pc120作为Internet的测试机，接入隔离网络（virbr1）；虚拟机gw1作为网关/路由器，配置eth0、eth1两块网卡，分别接入两个网络virbr0、virbr1。

图-4在这里插入图片描述
编写网络型脚本时，在网关gw1上来做；
编写主机型脚本时，在内网机svr5上来做。
 步骤
实现此案例需要按照如下步骤进行。
步骤一：编写典型的Linux网关防火墙脚本
1）编写脚本文件/opt/ipfw-gw.sh
[root@gw1 ~]# vim /opt/ipfw-gw.sh
#!/bin/bash

2015.05.20 TsengYia.

1. 定义方便移植的环境变量

INET_IF=“eth1”
INET_IP=“174.16.16.1”
LAN_NET=“192.168.4.0/24”
LAN_WWW_IP=“192.168.4.5”
IPT="/sbin/iptables"

2. 内核参数、相关模块调整

/sbin/modprobe nf_nat_ftp
/sbin/sysctl -w net.ipv4.ip_forward=1
/sbin/sysctl -w net.ipv4.ip_default_ttl=128
/sbin/sysctl -w net.ipv4.icmp_echo_ignore_all=1
/sbin/sysctl -w net.ipv4.icmp_echo_ignore_broadcasts
/sbin/sysctl -w net.ipv4.tcp_syncookies=1
/sbin/sysctl -w net.ipv4.tcp_syn_retries=3
/sbin/sysctl -w net.ipv4.tcp_synack_retries=3
/sbin/sysctl -w net.ipv4.tcp_fin_timeout=60
/sbin/sysctl -w net.ipv4.tcp_max_syn_backlog=3200

3. 清空旧规则，并设置各链的默认规则

#/etc/init.d/iptables stop
$IPT -t filter -X
$IPT -t nat -X
$IPT -t mangle -X
$IPT -t raw -X
$IPT -t filter -F
$IPT -t nat -F
$IPT -t mangle -F
$IPT -t raw -F
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT

4. 自定义规则 …
4.1 nat表的详细策略

$IPT -t nat -A POSTROUTING -s $LAN_NET -o $INET_IF -j SNAT --to-source $INET_IP
$IPT -t nat -A PREROUTING -i $INET_IF -d $INET_IP -p tcp --dport 80 -j DNAT --t
o-destination $LAN_WWW_IP

4.2 filter表的详细策略

$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
$IPT -A FORWARD -s $LAN_NET -o $INET_IF -p udp --dport 53 -j ACCEPT
$IPT -A FORWARD -s $LAN_NET -o $INET_IF -p tcp -m multiport --dport 20:22,25,80
,110,143,443,993,995 -j ACCEPT
$IPT -A FORWARD -d $LAN_NET -i $INET_IF -m state --state ESTABLISHED,RELATED -j
ACCEPT
$IPT -A FORWARD -d $LAN_WWW_IP -p tcp --dport 80 -j ACCEPT
$IPT -A FORWARD -s $LAN_WWW_IP -p tcp --sport 80 -j ACCEPT

[root@gw1 ~]# chmod +x /opt/ipfw-gw.sh
2）根据需要将ipfw-gw.sh脚本设置为开机自动运行
[root@gw1 ~]# vim /etc/rc.local
#!/bin/sh
… …
touch /var/lock/subsys/local
/opt/ipfw-gw.sh
步骤二：编写网络型、主机型防护规则
1）主机型脚本
控制的数据包侧重于本机与其他主机之间的访问，因此iptables防火墙规则以 filter 表的 INPUT 链为主，OUTPUT 链其次。
比如为网站服务器svr5编写防火墙脚本：
[root@svr5 ~]# vim /opt/ipfw-host.sh
#!/bin/bash

2015.05.20 TsengYia.

1. 定义方便移植的环境变量

INET_IF=“eth0”
INET_IP=“192.168.4.5”
IPT="/sbin/iptables"

2. 内核参数、相关模块调整

/sbin/sysctl -w net.ipv4.ip_forward=0
/sbin/sysctl -w net.ipv4.ip_default_ttl=128
/sbin/sysctl -w net.ipv4.icmp_echo_ignore_all=1
/sbin/sysctl -w net.ipv4.icmp_echo_ignore_broadcasts
/sbin/sysctl -w net.ipv4.tcp_syncookies=1
/sbin/sysctl -w net.ipv4.tcp_syn_retries=3
/sbin/sysctl -w net.ipv4.tcp_synack_retries=3
/sbin/sysctl -w net.ipv4.tcp_fin_timeout=60
/sbin/sysctl -w net.ipv4.tcp_max_syn_backlog=3200

3. 清空旧规则，并设置各链的默认规则

#/etc/init.d/iptables stop
$IPT -t filter -X
$IPT -t nat -X
$IPT -t mangle -X
$IPT -t raw -X
$IPT -t filter -F
$IPT -t nat -F
$IPT -t mangle -F
$IPT -t raw -F
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT

4. 自定义规则 …

$IPT -A INPUT -p tcp -m multiport --dport 22,25,80,110,143,443,993,995,2150:2750 -j ACCEPT
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

[root@svr5 ~]# chmod +x /opt/ipfw-host.sh //添加执行权限
[root@svr5 ~]# vim /etc/rc.local //设置开机自运行
#!/bin/sh
… …
touch /var/lock/subsys/local
/opt/ipfw-host.sh
2）网络型脚本
控制的数据包侧重于内网、外网之间的访问，因此iptables防火墙规则以 filter 表的 FORWRD 链为主，需要地址转换时还会用到nat表。
比如步骤一中的网关防火墙脚本ipfw-gw.sh：
[root@gw1 ~]# cat /opt/ipfw-gw.sh
… …
$IPT -t nat -A POSTROUTING -s $LAN_NET -o $INET_IF -j SNAT --to-source $INET_IP
$IPT -t nat -A PREROUTING -i $INET_IF -d $INET_IP -p tcp --dport 80 -j DNAT --to-destination $LAN_WWW_IP
… …
$IPT -A FORWARD -d $LAN_NET -i $INET_IF -m state --state ESTABLISHED,RELATED -j ACCEPT
… …
步骤三：使用IP地址黑/白名单
1）编写IP地址黑名单、白名单
定义白名单，来自这些地址（比如远程管理机）的数据包将会无条件放行：
[root@gw1 ~]# vim /opt/ipfw.wlist

the SSH-Station for administrators

192.168.4.110
220.121.72.85
定义黑名单，来自这些地址的数据包将会无条件丢弃：
[root@gw1 ~]# cat /opt/ipfw.blist
61.45.135.29
121.113.79.81
2）修改ipfw-gw.sh网关防火墙脚本，启用黑、白名单
[root@gw1 ~]# vim /opt/ipfw-gw.sh
… …

5. White & Black List …

WHITE_LIST="/opt/ipfw.wlist"
for i in $(grep -v “^#” $WHITE_LIST) //遍历设置白名单规则
do
$IPT -I INPUT -s $i -j ACCEPT
$IPT -I OUTPUT -d $i -j ACCEPT
$IPT -I FORWARD -s $i -j ACCEPT
$IPT -I FORWARD -d $i -j ACCEPT
done
BLACK_LIST="/opt/ipfw.blist"
for i in $(grep -v “^#” $BLACK_LIST) //遍历设置黑名单规则
do
$IPT -I INPUT -s $i -j DROP
$IPT -I OUTPUT -d $i -j DROP
$IPT -I FORWARD -s $i -j DROP
$IPT -I FORWARD -d $i -j DROP
done
3）执行ipfw-gw.sh脚本，确认防火墙规则
[root@gw1 ~]# iptables -nL
Chain INPUT (policy DROP)
target prot opt source destination
DROP all – 218.29.30.131 0.0.0.0/0
DROP all – 121.113.79.81 0.0.0.0/0
DROP all – 61.45.135.29 0.0.0.0/0
ACCEPT all – 220.121.72.85 0.0.0.0/0
ACCEPT all – 192.168.4.110 0.0.0.0/0
ACCEPT all – 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT tcp – 0.0.0.0/0 0.0.0.0/0 tcp dpt:22

Chain FORWARD (policy DROP)
target prot opt source destination
DROP all – 0.0.0.0/0 218.29.30.131
DROP all – 218.29.30.131 0.0.0.0/0
DROP all – 0.0.0.0/0 121.113.79.81
DROP all – 121.113.79.81 0.0.0.0/0
DROP all – 0.0.0.0/0 61.45.135.29
DROP all – 61.45.135.29 0.0.0.0/0
ACCEPT all – 0.0.0.0/0 220.121.72.85
ACCEPT all – 220.121.72.85 0.0.0.0/0
ACCEPT all – 0.0.0.0/0 192.168.4.110
ACCEPT all – 192.168.4.110 0.0.0.0/0
ACCEPT udp – 192.168.4.0/24 0.0.0.0/0 udp dpt:53
ACCEPT tcp – 192.168.4.0/24 0.0.0.0/0 multiport dports 20:22,25,80,110,143,443,993,995
ACCEPT all – 0.0.0.0/0 192.168.4.0/24 state RELATED,ESTABLISHED
ACCEPT tcp – 0.0.0.0/0 192.168.4.5 tcp dpt:80
ACCEPT tcp – 192.168.4.5 0.0.0.0/0 tcp spt:80

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
DROP all – 0.0.0.0/0 218.29.30.131
DROP all – 0.0.0.0/0 121.113.79.81
DROP all – 0.0.0.0/0 61.45.135.29
ACCEPT all – 0.0.0.0/0 220.121.72.85
ACCEPT all – 0.0.0.0/0 192.168.4.110

刘 喆
关注
专栏目录
DTCloud4快速开发平台源代码
01-27
通过这些插件，开发者可以在DTCloud4的基础上快速实现各种功能，减少重复劳动，专注于核心业务逻辑的编写。 总结起来，DTCloud4快速开发平台是一个强大且高效的工具，它的出现降低了开发成本，提高了开发速度，同时...
DTCloud-crx插件
03-14
云的真实面貌 Le vrai面貌云。 克隆法语国家的Cloud2Butt。 支持语言:Français
DTCloud 序列号
DTCloud
04-11 167
序列是dtcloud中用来获取单据序号的对象，技术模型为ir.sequence。序列的使用在dtcloud中是非常广泛的，典型的使用场景各个单据的单号。 新建序列 因为序列也是dtcloud中的对象，因此新建的方法同普通的odoo模型创建的方法一致。通常一个序列包含如下的关键项： name: 序列名称 code: 序列代码，通常为实现的模型名称 implemetiton: 实现方式。序列有两种实现方式，一种为标准方式(Strandard）,另外一种为非间断式(No gap)。两者的区别在于，标准方式允许中
DTCloud 开发技巧
DTCloud
08-30 233
激活开发者模式（使用资源测试）：debug=assets,tests。激活开发者后可以很容易通过浏览器调度你的js。在开发者工具内也可以加载演示数据。激活开发者模式：debug=1。取消开发者模式：debug=0。主要用于界面信息查看，调试等。...
DTCloud模块开发规范
DTCloud
01-13 197
DTCloud开发者社区，赋能开发者，共建企业应用市场。个人开发者，可在开源市场下载安装模块，也可将自己开发的模块，上传开源市场。
带你了解如何运用DTCloud中台开发智慧工地平台
DTCloud
08-23 206
召集DTCloud 开发者社区运营建议，愿意一起参与社区共建的我们安排相应的职位，社区管理员，行业顾问，开发专家，并提供项目支持。Amos与您分享智慧工地平台搭建路径。
DTCloud 模块、命令行dtcloud-bin
DTCloud
05-10 1794
manifest文件用于将python包定义成dtcloud的模块，并且声明模块的元数据，文件名为__ manifest __.py并包含一个python格式的数据字典 { 'name': "A Module", 'version': '1.0', 'depends': ['base'], 'author': "Author Name", 'category': 'Category', 'description': """ Description te
DTCloud Ubuntu 20.04 64位 服务器运行环境安装
01-17
昆山一百计算机有限公司的DTCloud数字中台是一个面向数字孪生企业和工业物联网的快速应用开发平台。该平台采用BIM/CIM+AIoT的技术架构和数据管理技术，旨在实现可视数化的数字孪生管理，助力打造智能企业的实施及...
DTCloud4 ubuntu 22.04 64 位 阿里云安装手册
01-17
在本篇阿里云DTCloud4在Ubuntu 22.04 64位系统的安装手册中，我们将详细探讨如何在Linux环境中部署这个数字孪生数据中台。DTCloud是Digital Twin Cloud的缩写，它是一个专门为企业数字化转型设计的开发平台，旨在...
DTCloud中台包括（文档管理，BIM管理，IOT管理）
11-13
DTCloud中台包括（文档管理，BIM管理，IOT管理）， 微信服务号， 钉钉应用集成，微信小程序商城， 中国城市数据，无码开发平台，报表设计器，权限设计器， DTCloud Python API， CMS新闻发布系统，可视化大屏设计器...
DTCloud 动作介绍
DTCloud
04-11 1372
dtcloud中的动作，指的是一系列点击的操作，对应不同的应用场景。最常见的就是act_window这个动作，像我们打开form视图、tree视图和search视图的操作都是act_window动作。 dtcloud中的动作可以分为如下几类： act_window: 与视图相关的工作，常见的有form\tree\search\kanban等等。 act_window_close: 与act_widnow配合使用，用于关闭窗口。 act_url： 页面跳转相关的动作 server： 触发服务器动作 todo
DTCloud 实时数据解决方案 WebSocket应用于大屏，移动端，报表等
DTCloud
05-14 2549
# -*- coding: utf-8 -*- # &&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&
一键安装DTCloud2.0
DTCloud
10-14 912
根据项目情况，依次填入配置信息，等待5-10分钟，即可安装完成。物联终端实时采集数据为数据源，生成数字孪生模型，对工程建设和运维、企业运行和管理，提供实时智能决策。当前方法中，代码和数据库安装在同一台服务器中。如果想分离的话，请修改脚本中数据库相关代码。是智能物联网技术，将物联网系统与智能数据分析融合，提供物联采集和智能分析服务；注意： url地址，即输入的ip:端口号。在安装完成时，命令行也会给出提示。注意： 请用 bash 执行，这里不支持shell。是建筑信息模型，是空间数字化的技术；
DTCloud 视图文件结构
DTCloud
06-24 1688
案例 模块名: eval_form （hr_eval.xml）下载地址：https://gitee.com/dtcloud360/dtcloud.git
DaleCloud（原NFine）介绍一：开发框架源代码解决方案结构介绍
小小德尔(C#)
12-25 5768
目录 前言 开发框架解决方案结构 开发框架后台技术应用 前言 言归正传，众所周知NFine框架是NFine团队出品的一款.NET MVC框架，前端用的Bootstrap。但是由于NFine框架夭折了，团队也没出过什么教程文档之类的。于是我拿来改了改，改成了现在的DaleCloud框架，前端主框架依然沿用Bootstrap，表单和表格用了easyUI。 很多人拿到这套框架不知道怎么用，我...
odoo模型内置函数（增删改查）细解
Htojk的博客
03-25 1722
odoo模型内置函数（增删改查）细解
（笔记）第三期书生·浦语大模型实战营（十一卷王场）--书生入门岛通关第2关Python 基础知识
最新发布
haidizym的博客
10-02 456
学员闯关手册：https://aicarrier.feishu.cn/wiki/ZcgkwqteZi9s4ZkYr0Gcayg1n1g?课程视频：https://www.bilibili.com/video/BV1mS421X7h4/课程文档：https://github.com/InternLM/Tutorial/tree/camp3/docs/L0/Python。
遥感影像-实例分割数据集：iSAID 从切图到YOLO格式数据集制作详细介绍
GIS潮流
09-30 1137
开源数据集isaid标注包含实例分割，但是原始影像太大，很吃显存，一般显卡无法用原始影像直接训练，所以需要对影像进行裁剪，并生成对应的标签，因为想用yolo系列跑模型，所以将标签需要转为txt格式。
酷炫音乐盒: 使用Python和Tkinter配合Pygame打造自己的音乐播放器
宇宙第一小趴菜的博客
09-29 1220
Tkinter是一个功能强大且简单易用的库，适合构建轻量级的GUI应用程序。它在不同的操作系统上具有相同的外观和行为，因此可以实现跨平台的应用程序。当然，Tkinter还有更多的功能和细节，通过阅读官方文档和教程，你可以更深入地了解和学习如何运用Tkinter来创建各种GUI应用程序。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值