2018Linux防火墙iptables配置详解
Linux命令高级技巧使用iptables命令进行防火墙配置
Linux命令高级技巧使用iptables命令进行防火墙配置Linux系统中，iptables是一个非常常用的命令，用于配置Linux操作系统的防火墙规则。
掌握iptables的高级技巧，可以帮助我们更好地保护系统安全和网络通信。
本文将介绍使用iptables命令进行防火墙配置的一些高级技巧，以帮助读者更好地理解和运用这个强大的工具。
一、什么是iptables命令iptables是一个在Linux内核中实现的防火墙工具，用于管理网络通信规则。
它允许我们定义输入、输出和转发数据包的规则，从而控制网络流量。
使用iptables命令，我们可以过滤和转发数据包，以及进行网络地址转换和端口转发等操作。
二、iptables配置文件在开始使用iptables命令之前，了解iptables的配置文件将有助于更好地理解和调整防火墙规则。
iptables的配置文件位于"/etc/sysconfig/iptables"路径下，可以使用文本编辑器打开进行编辑。
三、基本的iptables规则1. 允许特定IP地址访问若想允许特定IP地址访问服务器的某个端口，可以使用如下命令：```iptables -A INPUT -p tcp -s IP地址 --dport 端口号 -j ACCEPT```例如，若要允许IP地址为192.168.1.100的主机访问SSH端口（22），可以使用以下命令：```iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -j ACCEPT```2. 允许特定IP地址范围访问如果要允许一个IP地址范围访问特定端口，可以通过指定源IP范围来实现。
例如，要允许192.168.1.0/24子网段中的主机访问SSH端口，可以执行如下命令：```iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 22 -j ACCEPT```此规则将允许192.168.1.0/24网段中的所有主机访问SSH端口。
Linux命令高级技巧使用iptables配置防火墙规则
Linux命令高级技巧使用iptables配置防火墙规则iptables是Linux系统上一款用于配置网络防火墙的工具。
通过使用iptables，可以实现对传入和传出网络数据包的过滤和转发，以保护服务器和网络的安全。
本文将介绍一些使用iptables配置防火墙规则的高级技巧。
一、iptables概述iptables是Linux系统上的一个基于内核模块netfilter的防火墙软件。
通过对数据包进行过滤和转发，可以实现网络安全的保护。
其主要功能包括：过滤、NAT和转发。
二、iptables基本命令1. 查看当前iptables规则iptables -L2. 清除当前iptables规则iptables -F3. 允许来自指定IP的数据包通过iptables -A INPUT -s 192.168.1.100 -j ACCEPT4. 阻止来自指定IP的数据包通过iptables -A INPUT -s 192.168.1.100 -j DROP5. 允许某一特定端口的数据包通过iptables -A INPUT -p tcp --dport 80 -j ACCEPT6. 允许所有已建立的连接通过iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT7. 阻止所有其他数据包通过iptables -A INPUT -j DROP三、iptables高级技巧1. 使用iptables实现端口转发在实际应用中，经常需要将某一端口的访问请求转发到另一台服务器上。
通过iptables可以轻松实现该功能。
例如，将来自本地端口8080的访问请求转发到内网服务器192.168.1.100的80端口：iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:802. 使用iptables实现负载均衡通过使用iptables和SNAT，可以实现对多台服务器的负载均衡。
使用iptables命令在Linux中配置和管理防火墙规则
使用iptables命令在Linux中配置和管理防火墙规则防火墙是计算机网络安全的重要组成部分，用于保护计算机免受恶意攻击和未经授权的访问。
在Linux系统中，可以使用iptables命令进行防火墙的配置和管理。
本文将介绍如何使用iptables命令来配置和管理防火墙规则。
一、iptables概述iptables是Linux系统中的一个用于配置和管理防火墙规则的命令行工具。
它可以通过定义规则集来限制、修改和重定向进出系统的网络数据流量。
二、iptables命令基本用法1. 查看当前的iptables规则使用以下命令可以查看当前系统上的iptables规则：```bashiptables -L```该命令将显示当前系统上的所有iptables规则，包括过滤规则、NAT规则和Mangle规则。
2. 清除所有的iptables规则使用以下命令可以清除当前系统上的所有iptables规则：```bashiptables -F```该命令会将所有的iptables规则删除，恢复到默认的配置。
3. 添加一条iptables规则使用以下命令可以添加一条iptables规则：```bashiptables -A [chain] -p [protocol] [--dport] [port] -j [target]```其中，[chain]是要添加规则的链的名称，常见的链包括INPUT、OUTPUT和FORWARD；[protocol]是要过滤的协议，如TCP、UDP或ICMP；[--dport]和[port]用于指定要过滤的端口；[target]是规则的动作，如ACCEPT、DROP或REJECT。
4. 删除一条iptables规则使用以下命令可以删除一条iptables规则：```bashiptables -D [chain] [rule number]```其中，[chain]是要删除规则的链的名称，[rule number]是要删除的规则的序号。
Linux命令高级技巧使用iptables命令进行网络防火墙配置
Linux命令高级技巧使用iptables命令进行网络防火墙配置随着互联网的迅速发展和大规模应用，网络安全问题也变得愈发重要。
作为保障网络安全的重要手段，网络防火墙在服务器配置中占据了重要的位置。
Linux系统中，我们可以使用iptables命令进行网络防火墙的配置和管理。
一、什么是iptables命令iptables是Linux系统中用于配置和管理网络防火墙的命令行工具。
它的作用是根据预设的规则集来过滤、转发和修改数据包。
通过iptables命令的灵活配置，我们可以实现各种复杂的网络安全策略。
二、iptables命令的基本结构和用法iptables命令的基本结构如下：```shelliptables [-t 表名] 命令 [链名] [规则参数]```其中，-t 表名用于指定具体的表，有filter、nat和mangle三种表，filter表用于数据包过滤，nat表用于网络地址转换，mangle表用于数据包修改。
命令可以为-A（追加规则）、-D（删除规则）、-I（插入规则）、-R（替换规则）等。
链名指定了规则要应用到的具体链，常见的链有INPUT、OUTPUT和FORWARD。
规则参数为具体的规则内容，如源地址、目标地址、端口等。
下面以实际例子来介绍iptables命令的使用。
1. 添加规则要添加一条规则，可以使用-A选项，并指定表名、链名和规则参数。
```shelliptables -t filter -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT```以上命令表示在filter表的INPUT链上添加一条规则，允许来自192.168.1.0/24网段的TCP协议的22端口的数据包通过。
2. 删除规则要删除一条规则，可以使用-D选项，并指定表名、链名和规则参数。
```shelliptables -t filter -D INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT```以上命令表示在filter表的INPUT链上删除一条规则，该规则与添加规则的例子相同。
Linux下的网络防火墙配置方法
Linux下的网络防火墙配置方法Linux操作系统提供了各种网络防火墙配置方法，以保护计算机系统和网络安全。
本文将介绍几种常用的Linux下的网络防火墙配置方法，帮助您增强系统安全性。
一、iptables防火墙配置方法iptables是Linux系统下最常用的防火墙配置工具。
通过iptables，您可以定义和控制数据包的流动。
下面是一些常用的iptables命令：1. 启用iptables防火墙：```sudo iptables -F```2. 开放特定端口：```sudo iptables -A INPUT -p tcp --dport 端口号 -j ACCEPT```3. 封锁特定IP地址：```sudo iptables -A INPUT -s IP地址 -j DROP```二、ufw防火墙配置方法ufw是Linux系统下的一种简化防火墙配置的工具。
它基于iptables，在易用性方面进行了改进。
下面是一些常用的ufw命令：1. 启用ufw防火墙：```sudo ufw enable```2. 开放特定端口：```sudo ufw allow 端口号```3. 封锁特定IP地址：```sudo ufw deny from IP地址```三、firewalld防火墙配置方法firewalld是CentOS 7及以上版本中默认的防火墙配置工具，可以方便地管理网络规则。
下面是一些常用的firewalld命令：1. 启用firewalld防火墙：```sudo systemctl start firewalld```2. 开放特定端口：```sudo firewall-cmd --add-port=端口号/tcp --permanentsudo firewall-cmd --reload```3. 封锁特定IP地址：```sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="IP地址" reject'sudo firewall-cmd --reload```除了以上列出的配置方法，还有其他更高级的方法可以根据需要进行配置。
Linux命令高级技巧使用iptables命令配置防火墙
Linux命令高级技巧使用iptables命令配置防火墙Linux命令高级技巧：使用iptables命令配置防火墙防火墙是保护计算机网络安全的重要工具。
在Linux系统中，iptables是一款强大的防火墙管理工具，可以通过配置规则，限制网络访问和数据传输，提高系统的安全性。
本文将介绍如何使用iptables命令进行高级配置和技巧应用。
一、iptables命令简介iptables是Linux系统中的一个工具集，用于配置ipv4数据包的过滤，转发和网络地址转换（NAT）。
通过iptables命令，可以设置规则来控制数据包的流动，实现防火墙的功能。
iptables命令的主要参数包括：- A: 添加规则- D: 删除规则- I: 插入规则- L: 列出规则- F: 清空规则- P: 设置默认策略- S: 保存规则- R: 替换规则- N: 新建自定义链二、iptables配置基础1. 清空规则链在配置iptables之前，可以使用以下命令清空所有规则链，以确保开始时处于一个干净的状态：```shelliptables -Fiptables -Xiptables -Ziptables -t nat -F```2. 设置默认策略默认情况下，iptables会根据规则链上的规则来对数据包进行过滤，如果没有匹配到任何规则，则会根据默认策略来处理。
可以使用以下命令设置默认策略：```shelliptables -P INPUT DROPiptables -P FORWARD DROPiptables -P OUTPUT ACCEPT```3. 添加规则可以使用以下命令添加规则到指定的规则链，例如，添加允许SSH 访问的规则：```shelliptables -A INPUT -p tcp --dport 22 -j ACCEPT```4. 保存规则配置完iptables后，可以使用以下命令将规则保存到文件中，以便重启后自动加载：```shelliptables-save > /etc/iptables/rules.v4```三、高级配置和技巧1. 自定义链iptables支持用户自定义链，可以将一组规则封装到一个新链中，提高规则的可读性和管理性。
Linux命令高级技巧使用iptables命令配置和管理防火墙规则
Linux命令高级技巧使用iptables命令配置和管理防火墙规则Linux系统中有许多命令可以使用，其中iptables命令是用于配置和管理防火墙规则的重要工具。
本文将介绍一些使用iptables命令的高级技巧，帮助读者更好地理解和使用这个命令。
一、iptables命令简介iptables是一个用于IPv4包过滤和控制Linux内核防火墙服务的用户空间工具。
它可以进行网络地址转换（NAT）、数据包过滤、端口重定向等操作，是保护计算机系统免受恶意攻击的重要工具。
二、iptables命令基本语法iptables命令的基本语法如下所示：iptables [选项] [链] [规则规格]其中，选项是可选的，用于指定不同的功能；链用于指定规则要应用的链，例如INPUT、FORWARD、OUTPUT等；规则规格用于指定具体的防火墙规则。
三、iptables命令常用选项1. -A：追加一条规则到某个链的末尾2. -I：向某个链中的指定位置插入一条规则3. -D：从某个链中删除一条规则4. -P：设置某个链的默认策略5. -L：列出某个链中的所有规则6. -F：清除某个链中的所有规则四、iptables命令高级技巧1. 配置端口转发使用iptables命令可以轻松实现端口转发，将外部请求转发到内部服务器。
例如，要将外部的SSH请求转发到内部服务器的SSH端口，可以使用如下命令：iptables -t nat -A PREROUTING -p tcp --dport 22 -j DNAT --to-destination 内部服务器IP地址:22这样，外部用户连接到本机的22端口时，请求将被转发至内部服务器的22端口。
2. 过滤IP地址通过iptables命令，可以方便地过滤特定的IP地址或IP地址段。
例如，要拒绝来自某个IP地址的所有请求，可以使用如下命令：iptables -A INPUT -s 某个IP地址 -j DROP这样，来自该IP地址的请求将被直接拒绝。
Linux软件防火墙iptables基础语法与iptables扩展选项详细说明
Linux 软件防火墙iptables 基础语法与iptables 扩展选项详细说明filter 表(默认表)：最常用的表，用于过滤数据包的进出，其中又包含了3个规则链：INPUT ：负责过滤进入主机的数据包OUTPUT ：负责过滤主机发出的数据包FORWARD ：负责转发该主机的数据包到其他目标地址nat 表（网络地址转换）：多用于内外网地址转换，包含了3个链：PREROUTING ：实现DNAT 功能，改变数据包的目的地址，多用于局域网接收公网数据时将目标的地址转换为局域网的一个地址POSTROUTING ：实现SNAT 功能，改变数据包的源地址，多用于局域网向公网发送数据时将地址转换为公网地址OUTPUT ：同filtermangle 表与raw 表很少使用，这里略过iptables 语法规则：首先看一条命令，这条命令是给INPUT 链增加一条规则，当访问目标为tcp 协议的80端口则允许（其中的-t 选项可不加，因为默认就是filter 表）：查看源码打印?1 [root@iZ25aj1q2ovZ ~]# iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPTiptables 常用选项（注意大小写）：-A |-D |-I [CHAINS]：给指定的链增加或者删除或者插入一个规则查看源码打印?1 iptables -A INPUT -p tcp --dport 80 -j DROP #先定义一条规则用于测试2 iptables -L --line-numbers #加上--line-numbers 参数可以显示规则的编号，可以看到之前设置的编号为13 Chain INPUT (policy ACCEPT)4 num target prot opt source destination5 1 DROP tcp -- anywhere anywhere tcp dpt:http67 iptables -D INPUT 1 #删除编号为1的规则-L ：显示所有链下的所有规则，默认是filter 表，可以用-t 选项指定其他表。
Linux下防火墙iptables用法规则详及其防火墙配置
Linux下防⽕墙iptables⽤法规则详及其防⽕墙配置转：iptables规则规则--顾名思义就是规矩和原则，和现实⽣活中的事情是⼀样的，国有国法，家有家规，所以要遵纪守法的嘛。
当然在防⽕墙上的规则，在内核看来，规则就是决定如何处理⼀个包的语句。
如果⼀个包符合所有的条件，我们就⽤相应的处理动作来处理。
书写规则的语法格式为：iptables [-t table] command chains [creteria] -j action-t table就是表名，filter/nat/mangle三个表中的⼀个，默认是filter表command告诉程序如何做，⽐如：插⼊⼀个规则，还是删除等chains 链，有五个，PREROUTING POSTROUTING INPUT OUTPUT FORWARDaction 处理动作，有ACCEPT DENY DROP REJECT SNAT DNAT理⼀下思路下⾯⼀点点的说⼀、Tables选项-t⽤来指定⽤哪个表，它可以是下⾯的任何⼀个，默认的是filter表⼆、COMMANDScommand指定iptables对我们提交的规则要做什么样的操作。
这些操作可能是在某个表⾥增加或删除⼀些东西，或其他的动作。
⼀下是iptables可⽤的command（如不做说明，默认表是filter)和命令结合常⽤的选项三、chains简单说⼀下五个链的作⽤：PREROUTING 是在包进⼊防⽕墙之后、路由决策之前做处理POSTROUTING 是在路由决策之后，做处理INPUT 在包被路由到本地之后，但在出去⽤户控件之前做处理OUTPUT在去顶包的⽬的之前做处理FORWARD在最初的路由决策之后，做转发处理四、匹配条件4.1 基本匹配4.2 隐含扩展匹配这种匹配操作是⾃动的或隐含的装⼊内核的。
例如使⽤-p tcp时，不需要再装⼊任何东西就可以匹配只有IP包才有的特点。
隐含匹配针对三种不同的协议，即TCP UDP ICMP。
LINUX防火墙IPTABLES简明教程
前几天微魔部落再次遭受到个别别有用心的攻击者的攻击，顺便给自己充个电，复习了一下linux下常见的防火墙iptables的一些内容，但是无奈网上的很多教程都较为繁琐，本着简明化学习的目的，微魔为大家剔除了许多冗余的内容，提取出尽量多的精华部分成文，和大家共同学习，本文涉及的内容包括如下Linux防火墙iptables简明教程1.安装iptables2.查看现有的iptables规则3.删除某iptables规则4.清除现有iptables规则5.创建规则6.设置开机启动7.保存iptables规则8.iptables在手动防CC攻击中的简单应用1.安装iptables很多Linux已经默认安装iptables，可使用后文的查看命令测试是否安装CentOS/RedHat下执行：yum install iptablesDebian/Ubuntu下执行：apt-get install iptables2.查看现有的iptables规则命令后面的line-number为显示行号(将规则一则一则输出，并显示行号)，可选，方便后文的删除指令。
iptables -L -n --line-numbers3.删除某iptables规则例如，删除第12行的规则，行号可由之前的命令查看iptables -D INPUT 124.清除现有iptables规则iptables -Fiptables -Xiptables -Z5.创建规则a).开放端口命令iptables -A INPUT -j REJECT将屏蔽其他未授权的端口，因此请务必开放22端口以保障SSH连接正常~代码如下:#允许本机访问iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT# 允许已建立的或相关连的通行iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT#允许所有本机向外的访问iptables -A OUTPUT -j ACCEPT# 允许访问22端口iptables -A INPUT -p tcp --dport 22 -j ACCEPT#允许访问80端口iptables -A INPUT -p tcp --dport 80 -j ACCEPT#允许FTP服务的21和20端口iptables -A INPUT -p tcp --dport 21 -j ACCEPTiptables -A INPUT -p tcp --dport 20 -j ACCEPT#如果有其他端口的话，规则也类似，稍微修改上述语句就行#禁止其他未允许的规则访问iptables -A INPUT -j REJECTiptables -A FORWARD -j REJECTb).屏蔽ipiptables -I INPUT -s 123.123.123.123 -j DROP可通过更换上述ip为ip段来达到屏蔽ip段的目的~若需屏蔽整个ip段(123.0.0.1到123.255.255.254)则换为123.0.0.0/8若需屏蔽ip段123.123.0.1到123.123.255.254，则换为124.123.0.0/16若需屏蔽ip段123.123.123.1到123.123.123.254则换为123.123.123.0/246.设置开机启动一般在安装iptables完成后，开机启动会自动设置成功，但在个别CentOS系统上，貌似还有些问题，可以使用如下命令手动设置chkconfig --level 345 iptables on7.保存iptables规则service iptables save8.iptables在手动防CC攻击中的简单应用关于获取攻击者ip的方法，可以通过很多方法获取，如查看网站日志等，本文不再赘述。
Linux命令技巧使用iptables进行高级网络防火墙配置
Linux命令技巧使用iptables进行高级网络防火墙配置使用iptables进行高级网络防火墙配置在Linux系统中，iptables是一个非常强大的工具，它可以用于配置和管理网络防火墙。
通过使用iptables，我们可以实现高级的网络防火墙配置，以保护我们的计算机和网络资源免受潜在的安全威胁。
本文将介绍一些常用的Linux命令技巧，以帮助你更好地使用iptables进行高级网络防火墙配置。
1. 检查当前iptables规则使用以下命令可以查看当前的iptables规则：```shelliptables -L```该命令将显示当前生效的iptables规则列表，包括输入、输出和转发规则。
通过查看这些规则，可以了解当前系统的网络访问策略。
2. 添加规则可以使用以下命令添加iptables规则：```shelliptables -A <chain> <rule>```其中，`<chain>`表示规则要添加到的链，可以是输入链（INPUT）、输出链（OUTPUT）或转发链（FORWARD）等。
`<rule>`表示要添加的规则内容。
例如，如果要允许来自特定IP地址的HTTP访问，可以使用以下命令：```shelliptables -A INPUT -s <IP地址> -p tcp --dport 80 -j ACCEPT```该命令将添加一个在输入链中生效的规则，允许源IP地址为`<IP地址>`，目标端口为80的TCP连接。
3. 删除规则如果需要删除已添加的规则，可以使用以下命令：```shelliptables -D <chain> <rule_number>```其中，`<chain>`表示规则所在的链，`<rule_number>`表示规则在该链中的序号。
例如，如果要删除输入链中的第一条规则，可以使用以下命令：```shelliptables -D INPUT 1```该命令将删除输入链中的第一条规则。
Linux命令高级技巧使用iptables进行网络防火墙配置
Linux命令高级技巧使用iptables进行网络防火墙配置Linux命令高级技巧：使用iptables进行网络防火墙配置在网络安全领域，配置网络防火墙是一项关键任务。
为了保护网络免受未授权访问和恶意攻击，管理员需要掌握一些高级技巧来使用Linux命令iptables进行网络防火墙配置。
本文将介绍iptables的基本概念和使用方法，并提供一些高级技巧来加强网络防火墙的安全性。
1. iptables简介iptables是Linux系统中一款强大的防火墙工具，它能够根据管理员设定的规则筛选、修改和重定向网络数据。
iptables提供了一套规则集，允许管理员创建自定义的规则来控制数据包的流向和处理方式。
常用的iptables命令包括iptables、iptables-save、iptables-restore和iptables-apply等。
2. 基本用法iptables命令的基本语法如下：```bashiptables [-t 表名] 命令 [链名] [规则选项]```其中，表名可以是filter、nat或mangle，命令可以是-A（追加规则）、-D（删除规则）、-I（插入规则）等，链名可以是INPUT、FORWARD或OUTPUT等，规则选项包括-s（源IP地址）、-d（目标IP地址）、-p（协议类型）和-j（动作）等。
3. 添加规则为了保护网络，我们需要添加一些规则来控制数据包的流向和允许的服务。
例如，我们可以使用以下命令允许SSH连接： ```bashiptables -A INPUT -p tcp --dport 22 -j ACCEPT```上述命令在INPUT链中追加了一条规则，允许TCP协议的22端口的连接请求。
可以根据需要设置源IP地址或目标IP地址等其他规则选项。
4. 删除规则如果某条规则不再需要，可以使用iptables命令删除。
例如，我们可以使用以下命令删除上一节中添加的SSH规则：```bashiptables -D INPUT -p tcp --dport 22 -j ACCEPT```上述命令将从INPUT链中删除匹配的规则。
如何使用iptables命令在Linux中配置防火墙和网络转发
如何使用iptables命令在Linux中配置防火墙和网络转发由于网络安全的重要性日益凸显，配置防火墙和网络转发成为Linux系统管理员必备的技能之一。
在Linux系统中，iptables命令提供了灵活的方式来配置防火墙规则和网络转发设置。
本文将介绍如何使用iptables命令来完成这些任务。
一、什么是iptables命令iptables是Linux操作系统中一个非常强大的防火墙工具，它可以通过管理网络数据包的流动来控制网络访问权限。
iptables命令可以根据预先定义的规则集过滤网络数据包，拒绝无效或危险的连接，从而保护系统的安全性。
二、基本概念与术语在开始使用iptables命令之前，我们需要了解一些基本的概念和术语。
1. 表（Table）：iptables命令使用表来组织和管理规则。
常用的表有：filter、nat和mangle等。
2. 链（Chain）：每个表都包含多个链，链是规则的组合。
常用的链有：INPUT、FORWARD和OUTPUT等。
3. 规则（Rule）：规则是iptables命令的基本单位，它定义了针对网络数据包的动作和匹配条件。
4. 动作（Action）：动作定义了对匹配到的数据包的处理方式，常见的动作有：ACCEPT、DROP和REJECT等。
5. 匹配条件（Match）：匹配条件定义了规则在应用到数据包时需要满足的条件。
常见的匹配条件有：source、destination和protocol等。
三、配置防火墙规则配置防火墙规则是保护系统安全的第一步。
使用iptables命令可以轻松地添加、修改和删除防火墙规则。
1. 查看当前防火墙规则首先，我们需要查看当前的防火墙规则，可以使用以下命令：```iptables -L```该命令将列出当前的防火墙规则，包括表、链、规则和动作等信息。
2. 添加规则要添加一个防火墙规则，可以使用以下命令：```iptables -A INPUT -s 192.168.0.0/24 -p tcp --dport 22 -j ACCEPT```该命令将允许来自192.168.0.0/24网段的TCP连接访问本地的SSH 服务。
linux防火墙iptables参数详解
linux防⽕墙iptables参数详解先来看iptables 防⽕墙的⼀些常⽤设置:1. iptables-A INPUT -p tcp -s x.x.x.x/x --dport 22 -j ACCEPT // 允许源地址为x.x.x.x/x的主机通过22(ssh)端⼝.2. iptables -A INPUT -p tcp --dport 80 -j ACCEPT // 允许80(http)端⼝的数据包进⼊3. iptables -A INPUT -p tcp --dport 110 -j ACCEPT // 允许110(pop3)端⼝的数据包进⼊如果不加这规则，就只能通过web页⾯来收信(⽆法⽤OE或Foxmail等来收)4. iptables -A INPUT -p tcp --dport 25 -j ACCEPT // 允许25(smtp)端⼝的数据包进⼊,如果不加这规则，就只能通过web页⾯来发信(⽆法⽤OE或Foxmail等来发)5. iptables -A INPUT -p tcp --dport 21 -j ACCEPT // 允许21(ftp)端⼝的数据包进⼊(传数据)6. iptables -A INPUT -p tcp --dport 20 -j ACCEPT // 允许20(ftp)端⼝的数据包进⼊(执⾏ftp命令,如dir等)7. iptables -A INPUT -p tcp --dport 53 -j ACCEPT // 允许53(dns)端⼝的数据包进⼊(tcp)8. iptables -A INPUT -p udp --dport 53 -j ACCEPT // 允许53(dns)端⼝的数据包进⼊(udp)9. iptables -A INPUT -p icmp -j ACCEPT // 允许ICMP包通过10. iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT //利⽤ iptables 对连接状态的⽀持11. iptables -P INPUT DROP//把INPUT链的默认规则设置为DROPIptalbes 防⽕墙主要参数和设置说明:TARGETS防⽕墙的规则指定所检查包的特征，和⽬标。
Linux防火墙iptables命令详解
Linux防⽕墙iptables命令详解iptables -Fiptables -Xiptables -F -t mangleiptables -t mangle -Xiptables -F -t natiptables -t nat -X⾸先，把三个表清空，把⾃建的规则清空。
iptables -P INPUT DROPiptables -P OUTPUT DROPiptables -P FORWARD ACCEPT设定INPUT、OUTPUT的默认策略为DROP，FORWARD为ACCEPT。
iptables -A INPUT -i lo -j ACCEPTiptables -A OUTPUT -o lo -j ACCEPT先把“回环”打开，以免有不必要的⿇烦。
iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j ACCEPTiptables -A OUTPUT -o eth+ -p icmp --icmp-type 0 -j ACCEPT在所有⽹卡上打开ping功能，便于维护和检测。
iptables -A INPUT -i eth0 -s 192.168.100.250 -d 192.168.100.1 -p tcp --dport 22 -j ACCEPTiptables -A OUTPUT -o eth0 -d 192.168.100.250 -s 192.168.100.1 -p tcp --sport 22 -j ACCEPT打开22端⼝，允许远程管理。
（设定了很多的附加条件：管理机器IP必须是250，并且必须从eth0⽹卡进⼊）iptables -A INPUT -i eth0 -s 192.168.100.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth0 -d 192.168.100.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPTiptables -A INPUT -i eth1 -s 192.168.168.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth1 -d 192.168.168.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPTiptables -A INPUT -i eth2 -p tcp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth2 -p tcp --sport 32768:61000 -m state --state NEW,ESTABLISHED -j ACCEPTiptables -A OUTPUT -o eth2 -p udp --dport 53 -j ACCEPTiptables -A INPUT -i eth2 -p udp --sport 53 -j ACCEPT上⾯这⼏句是⽐较头痛的，我做逐⼀解释。
linux下IPTABLES配置详解
linux下IPTABLES配置详解-t<表>：指定要操纵的表；-A：向规则链中添加条⽬；-D：从规则链中删除条⽬；-i：向规则链中插⼊条⽬；-R：替换规则链中的条⽬；-L：显⽰规则链中已有的条⽬；-F：清楚规则链中已有的条⽬；-Z：清空规则链中的数据包计算器和字节计数器；-N：创建新的⽤户⾃定义规则链；-P：定义规则链中的默认⽬标；-h：显⽰帮助信息；-p：指定要匹配的数据包协议类型；-s：指定要匹配的数据包源地址；-j<⽬标>：指定要跳转的⽬标；-i<⽹络接⼝>：指定数据包进⼊本机的⽹络接⼝；-o<⽹络接⼝>：指定数据包要离开本机所使⽤的⽹络接⼝。
iptables命令选项输⼊顺序：iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o ⽹卡名> -p 协议名 <-s 源IP/源⼦⽹> --sport 源端⼝ <-d ⽬标IP/⽬标⼦⽹> --dport ⽬标端⼝ -j 动作表名包括：raw：⾼级功能，如：⽹址过滤。
mangle：数据包修改（QOS），⽤于实现服务质量。
net：地址转换，⽤于⽹关路由器。
filter：包过滤，⽤于防⽕墙规则。
规则链名包括：INPUT链：处理输⼊数据包。
OUTPUT链：处理输出数据包。
PORWARD链：处理转发数据包。
PREROUTING链：⽤于⽬标地址转换（DNAT）。
POSTOUTING链：⽤于源地址转换（SNAT）。
动作包括：：接收数据包。
DROP：丢弃数据包。
REDIRECT：重定向、映射、透明代理。
SNAT：源地址转换。
DNAT：⽬标地址转换。
MASQUERADE：IP伪装（NAT），⽤于ADSL。
LOG：⽇志记录。
实例清除已有iptables规则iptables -Fiptables -Xiptables -Z开放指定的端⼝iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT #允许本地回环接⼝(即运⾏本机访问本机)iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #允许已建⽴的或相关连的通⾏iptables -A OUTPUT -j ACCEPT #允许所有本机向外的访问iptables -A INPUT -p tcp --dport 22 -j ACCEPT #允许访问22端⼝iptables -A INPUT -p tcp --dport 80 -j ACCEPT #允许访问80端⼝iptables -A INPUT -p tcp --dport 21 -j ACCEPT #允许服务的21端⼝iptables -A INPUT -p tcp --dport 20 -j ACCEPT #允许FTP服务的20端⼝iptables -A INPUT -j #禁⽌其他未允许的规则访问iptables -A FORWARD -j REJECT #禁⽌其他未允许的规则访问屏蔽IPiptables -I INPUT -s 123.45.6.7 -j DROP #屏蔽单个IP的命令iptables -I INPUT -s 123.0.0.0/8 -j DROP #封整个段即从123.0.0.1到123.255.255.254的命令iptables -I INPUT -s 124.45.0.0/16 -j DROP #封IP段即从123.45.0.1到123.45.255.254的命令iptables -I INPUT -s 123.45.6.0/24 -j DROP #封IP段即从123.45.6.1到123.45.6.254的命令是查看已添加的iptables规则iptables -L -n -vChain INPUT (policy DROP 48106 packets, 2690K bytes)pkts bytes target prot opt in out source destination5075 589K ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0191K 90M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:221499K 133M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:804364K 6351M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED6256 327K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)pkts bytes target prot opt in out source destinationChain OUTPUT (policy ACCEPT 3382K packets, 1819M bytes)pkts bytes target prot opt in out source destination5075 589K ACCEPT all -- * lo 0.0.0.0/0 0.0.0.0/0删除已添加的iptables规则将所有iptables以序号标记显⽰，执⾏：iptables -L -n --line-numbers⽐如要删除INPUT⾥序号为8的规则，执⾏：iptables -D INPUT 8我们来配置⼀个filter表的防⽕墙.(1)查看本机关于IPTABLES的设置情况[root@tp ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destinationChain FORWARD (policy ACCEPT)target prot opt source destinationChain OUTPUT (policy ACCEPT)target prot opt source destinationChain RH-Firewall-1-INPUT (0 references)target prot opt source destinationACCEPT all -- 0.0.0.0/0 0.0.0.0/0ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 255ACCEPT esp -- 0.0.0.0/0 0.0.0.0/0ACCEPT ah -- 0.0.0.0/0 0.0.0.0/0ACCEPT udp -- 0.0.0.0/0 224.0.0.251 udp dpt:5353ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:631ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHEDACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited可以看出我在安装linux时,选择了有防⽕墙,并且开放了22,80,25端⼝.如果你在安装linux时没有选择启动防⽕墙,是这样的[root@tp ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destinationChain FORWARD (policy ACCEPT)target prot opt source destinationChain OUTPUT (policy ACCEPT)target prot opt source destination什么规则都没有.(2)清除原有规则.不管你在安装linux时是否启动了防⽕墙,如果你想配置属于⾃⼰的防⽕墙,那就清除现在filter的所有规则.[root@tp ~]# iptables -F清除预设表filter中的所有规则链的规则[root@tp ~]# iptables -X清除预设表filter中使⽤者⾃定链中的规则我们在来看⼀下[root@tp ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destinationChain FORWARD (policy ACCEPT)target prot opt source destinationChain OUTPUT (policy ACCEPT)target prot opt source destination什么都没有了吧,和我们在安装linux时没有启动防⽕墙是⼀样的.(提前说⼀句,这些配置就像⽤命令配置IP⼀样,重起就会失去作⽤),怎么保存. [root@tp ~]# /etc/rc.d/init.d/iptables save这样就可以写到/etc/sysconfig/iptables⽂件⾥了.写⼊后记得把防⽕墙重起⼀下,才能起作⽤.[root@tp ~]# service iptables restart现在IPTABLES配置表⾥什么配置都没有了,那我们开始我们的配置吧(3)设定预设规则[root@tp ~]# iptables -p INPUT DROP[root@tp ~]# iptables -p OUTPUT ACCEPT[root@tp ~]# iptables -p FORWARD DROP上⾯的意思是,当超出了IPTABLES⾥filter表⾥的两个链规则(INPUT,FORWARD)时,不在这两个规则⾥的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.我们要控制流⼊数据包⽽对于OUTPUT链,也就是流出的包我们不⽤做太多限制,⽽是采取ACCEPT,也就是说,不在着个规则⾥的包怎么办呢,那就是通过.可以看出INPUT,FORWARD两个链采⽤的是允许什么包通过,⽽OUTPUT链采⽤的是不允许什么包通过.这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,⽽且要写的规则就会增加.但如果你只想要有限的⼏个规则是,如只做WEB服务器.还是推荐三个链都是DROP.注:如果你是远程SSH登陆的话,当你输⼊第⼀个命令回车的时候就应该掉了.因为你没有设置任何规则.怎么办,去本机操作呗!(4)添加规则.⾸先添加INPUT链,INPUT链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链为了能采⽤远程SSH登陆,我们要开启22端⼝.[root@tp ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT[root@tp ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT (注:这个规则,如果你把OUTPUT 设置成DROP的就要写上这⼀部,好多⼈都是望了写这⼀部规则导致,始终⽆法SSH.在远程⼀下,是不是好了.其他的端⼝也⼀样,如果开启了web服务器,OUTPUT设置成DROP的话,同样也要添加⼀条链:[root@tp ~]# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT ,其他同理.)如果做了WEB服务器,开启80端⼝.[root@tp ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT如果做了邮件服务器,开启25,110端⼝.[root@tp ~]# iptables -A INPUT -p tcp --dport 110 -j ACCEPT[root@tp ~]# iptables -A INPUT -p tcp --dport 25 -j ACCEPT如果做了FTP服务器,开启21端⼝[root@tp ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT[root@tp ~]# iptables -A INPUT -p tcp --dport 20 -j ACCEPT如果做了DNS服务器,开启53端⼝[root@tp ~]# iptables -A INPUT -p tcp --dport 53 -j ACCEPT如果你还做了其他的服务器,需要开启哪个端⼝,照写就⾏了.上⾯主要写的都是INPUT链,凡是不在上⾯的规则⾥的,都DROP允许icmp包通过,也就是允许ping,[root@tp ~]# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT设置成DROP的话)[root@tp ~]# iptables -A INPUT -p icmp -j ACCEPT (INPUT设置成DROP的话)允许loopback!(不然会导致DNS⽆法正常关闭等问题)IPTABLES -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP)IPTABLES -A OUTPUT -o lo -p all -j ACCEPT(如果是OUTPUT DROP)下⾯写OUTPUT链,OUTPUT链默认规则是ACCEPT,所以我们就写需要DROP(放弃)的链.减少不安全的端⼝连接[root@tp ~]# iptables -A OUTPUT -p tcp --sport 31337 -j DROP[root@tp ~]# iptables -A OUTPUT -p tcp --dport 31337 -j DROP有些些特洛伊⽊马会扫描端⼝31337到31340(即⿊客语⾔中的 elite 端⼝)上的服务。
Linux防火墙Iptables设置
Linux防火墙Iptables设置导读：虽然我们并不能完全阻止攻击行为，但一些安全工作还是必须要做的。
在Linux系统中，我们可以通过配置Iptabels来加强服务器的安全，配置Iptables有些复杂，但通过本文的讲解一步一步配置就不是很困难了。
-虽然我们无法完全避免被攻击，但还是有必要对服务器进行一些安全设置。
就像在寒冷的冬天里，虽然穿一件衣服也无法完全抵御寒冷，但总比裸奔要好得多吧？在Linux下对防火墙的配置，事实上就是编辑/etc/sysconfig/iptables文件，下面珲珲详细介绍。
首先我们可以查看一下服务器各服务的端口是多少：netstat –apn检查Iptables是否安装：service iptables status如果提示为iptables：unrecognized service，则表示还没有安装，如果是Centos系统，请执行以下命令安装：yum install iptables如果是Debian系统，请执行以下命令安装：apt-get install iptables查看本机Iptables的设置情况：iptables -L -n如果提示：Chain INPUT (policy ACCEPT)target prot opt source destinationChain FORWARD (policy ACCEPT)target prot opt source destinationChain OUTPUT (policy ACCEPT)target prot opt source destination表示还没有设置Iptables，如果已经有设置规则，但需要重新设置过，可以通过以下命令清除旧的规则。
清除预设表filter中的所有规则链的规则：iptables -F清除预设表filter中使用者自定链中的规则：iptables -X将指定链中所有规则的包字节计数器清零：iptables –Z允许本地回环接口：iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT允许已建立的或相关连的通行：iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT允许访问22端口，即SSH端口，如果你的SSH端口有修改过，请将命令中的22替换成你的实际SSH端口号：iptables -A INPUT -p tcp --dport 22 -j ACCEPTiptables -A OUTPUT -p tcp --sport 22 -j ACCEPT对于Web服务器，我们应该允许访问80端口：iptables -A INPUT -p tcp --dport 80 -j ACCEPT允许访问数据库：iptables -A INPUT -p tcp --dport 3306 -j ACCEPT开启邮件服务端口：iptables -A INPUT -p tcp --dport 110 -j ACCEPTiptables -A INPUT -p tcp --dport 25 -j ACCEPT开启FTP端口：iptables -A INPUT -p tcp --dport 21 -j ACCEPTiptables -A INPUT -p tcp --dport 20 -j ACCEPT如果你想允许用户Ping服务器，需要添加：iptables -A INPUT -p icmp -j ACCEPT开启DNS服务器端口：iptables -A INPUT -p udp --dport 53 -j ACCEPT在做NAT时，如果FORWARD默认规则是DROP，必须开启转发功能：iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPTiptables -A FORWARD -i eth1 -o eh0 -j ACCEPT下面进行一些安全的设置，虽然只是轻量级的防攻击，但还是有必要设置一下。
linux防火墙过滤技术iptables的原理及操作命令详解
linux防火墙过滤技术iptables的原理及操作命令详解iptables其实不是真正的防火墙，我们可以把它理解成一个客户端代理，用户通过iptables这个代理，将用户的安全设定执行到对应的'安全框架'中，这个'安全框架'才是真正的防火墙，这个框架的名字叫netfilter。
Netfilter是Linux操作系统核心层内部的一个数据包处理模块，它具有如下功能：网络地址转换(Network Address Translate)，数据包内容修改以及数据包过滤的防火墙功能！iptables其实是一个命令行工具，位于用户空间，我们用这个工具操作真正的框架！netfilter/iptables（下文中简称为iptables）组成Linux平台下的包过滤防火墙，一般Linux系统是默认自带启动的。
查看是否启动：sysctl -p 从指定的文件加载系统参数，如不指定即从/etc/sysctl.conf中加载！iptables是按照规则来办事的，我们就来说说规则（rules），规则其实就是网络管理员预定义的条件，规则一般的定义为'如果数据包头符合这样的条件，就这样处理这个数据包'。
规则存储在内核空间的信息包过滤表中，这些规则分别指定了源地址、目的地址、传输协议（如TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP）等。
当数据包与规则匹配时，iptables就根据规则所定义的方法来处理这些数据包，如放行（accept）、拒绝（reject）和丢弃（drop）等。
配置防火墙的主要工作就是添加、修改和删除这些规则。
iptables传输数据包的过程当我们启用了防火墙功能时，报文需要经过如下关卡，而这些关卡在iptables中不被称为'关卡',而被称为'链'。
也就是说，根据实际情况的不同，报文经过'链'可能不同。
linux防火墙iptables配置（Linux下多网段Nat实现与应用）
linux防火墙iptables配置（Linux下多网段Nat实现与应用）Linux下多网段Nat实现与应用Iptables/netfilter是一个可以替代价格昂贵的商业防火墙的网络安全保护解决方案，能够实现数据包过滤、数据包重定向和网络地址转换（NAT）等多种功能。
准备：操作系统安装光盘：CentOS-6.1版本硬件要求：dell poweredge 410（需双网卡）实现功能：192.168.11.0/24、192.168.10.0/24网段通过防火墙NAT转换访问外网，并实现数据包过滤。
过程：步骤#1. 安装操作系统（最基本安装即可）步骤#2. 设置网卡地址外网eth0 IP:xx.xx.xx.xx内网eth1 IP:172.16.1.254网卡路径：/etc/sysconfig/network-scriptsDEVICE=eth0HWADDR=00:0e:0c:3a:74:c4NM_CONTROLLED=yesONBOOT=yesTYPE=EthernetBOOTPROTO=noneIPV6INIT=noUSERCTL=noIPADDR=xx.xx.xx.xxNETMASK=255.255.255.252DEVICE=eth1HWADDR=00:0e:0c:3a:74:c4NM_CONTROLLED=yesONBOOT=yesTYPE=EthernetBOOTPROTO=noneIPV6INIT=noUSERCTL=noIPADDR=172.16.1.254NETMASK=255.255.255.0步骤#3. 添加路由把路由写到/etc/rc.d/rc.local文件里，这样每次启动就不用重新设置了。
route add -net 172.16.1.0 netmask 255.255.255.0 gw 172.16.1.1route add -net 192.168.11.0 netmask 255.255.255.0 gw 172.16.1.1route add -net 192.168.10.0 netmask 255.255.255.0 gw 172.16.1.1route add default gw 60.190.103.217172.16.1.1是交换机与Linux的内网网卡接口的地址步骤#3. 打开ip转发功能修改文档：vi /etc/sysctl.confnet.ipv4.ip_forward = 1步骤#4. Iptables相关配置[root@tp ~]# iptables -F清除预设表filter中的所有规则链的规则[root@tp ~]# iptables -X清除预设表filter中使用者自定链中的规[root@tp ~]# iptables -p INPUT DROP[root@tp ~]# iptables -p OUTPUT ACCEPT[root@tp ~]# iptables -p FORWARD DROP设定预设规则[root@tp ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT为了能采用远程SSH 登陆,我们要开启22端口.[root@tp ~]# iptables -A INPUT -p icmp -j ACCEPT 允许icmp 包通过,也就是允许ping,IPTABLES -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP)允许loopback!(不然会导致DNS无法正常关闭等问题)[root@tp ~]# iptables -A FORWARD -o eth0 -m state --state NEW, ESTABLISHED, RELATED -j ACCEPT[root@tp ~]# iptables -A FORWARD -O eth1 ESTABLISHED, RELATED -j ACCEPT开启转发功能,(在做NAT时,FORWARD默认规则是DROP时,必须做)[root@tp ~]#iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT处理IP碎片数量,防止攻击,允许每秒100个[root@tp ~]#iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT设置ICMP包过滤,允许每秒1个包,限制触发条件是10个包.[root@tp ~]#i ptables -t nat -A POSTROUTING -s 172.16.1.0/24-j SNAT --to xx.xx.xx.xx[root@tp ~]#i ptables -t nat -A POSTROUTING -s 192.168.11.0/24 -j SNAT --to xx.xx.xx.xx[root@tp ~]#i ptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to xx.xx.xx.xx设置源地址转换步骤#5. 保存配置[root@tp ~]# /etc/rc.d/init.d/iptablessave如果不保存这些重启后就会失去作用。
linux配置防火墙详细步骤（iptables命令使用方法）
linux配置防⽕墙详细步骤（iptables命令使⽤⽅法）通过本教程操作，请确认您能使⽤linux本机。
如果您使⽤的是ssh远程，⽽⼜不能直接操作本机，那么建议您慎重，慎重，再慎重！通过iptables我们可以为我们的Linux服务器配置有动态的防⽕墙，能够指定并记住为发送或接收信息包所建⽴的连接的状态，是⼀套⽤来设置、维护和检查Linux内核的IP包过滤规则的命令包。
iptables定义规则的⽅式⽐较复杂，本⽂对Linux防⽕墙Iptables规则写法进⾏详细介绍：⑴、Iptables规则写法的基本格式是： Iptables [-ttable] COMMAND chain CRETIRIA -j ACTION⑵、Iptables规则相关参数说明： -t table：3个filter nat mangle ：定义如何对规则进⾏管理 chain：指定你接下来的规则到底是在哪个链上操作的，当定义策略的时候，是可以省略的； CRETIRIA:指定匹配标准； -j ACTION:指定如何进⾏处理；⑶、Iptables规则其他写法及说明： Iptables -L -n -v #查看定义规则的详细信息 Iptables是Linux服务器上防⽕墙配置必备的设置⼯具，是我们在做好服务器安全及部署⼤型⽹络时，常会⽤到的重要⼯具，很好的掌握iptables，可以让我们对Linux服务器整个⽹络的结构有⼀个⽐较透彻的了解，更能够很好的掌握Linux服务器的安全配置技巧。
我们来配置⼀个filter表的防⽕墙.(1)查看本机关于IPTABLES的设置情况复制代码代码如下:[root@tp ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destination</p> <p>Chain FORWARD (policy ACCEPT)target prot opt source destination</p> <p>Chain OUTPUT (policy ACCEPT)target prot opt source destination</p> <p>Chain RH-Firewall-1-INPUT (0 references)target prot opt source destinationACCEPT all -- 0.0.0.0/0 0.0.0.0/0ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 255ACCEPT esp -- 0.0.0.0/0 0.0.0.0/0ACCEPTah--0.0.0.0/00.0.0.0/0ACCEPTudp--0.0.0.0/0224.0.0.251udpdpt:5353ACCEPTtcp--0.0.0.0/00.0.0.0/0stateNEWtcpdpt:80ACCEPTtcp--0.0.0.0/00.0.0.0/0stateNEWtcpdpt:25REJECTall--0.0.0.0/00.0.0.0/0reject-withicmp-host-prohibited可以看出我在安装linux时,选择了有防⽕墙,并且开放了22,80,25端⼝.如果你在安装linux时没有选择启动防⽕墙,是这样的复制代码代码如下:[root@tp ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destination </p> <p>Chain FORWARD (policy ACCEPT)target prot opt source destination </p> <p>Chain OUTPUT (policy ACCEPT)target prot opt source destination什么规则都没有.(2)清除原有规则.不管你在安装linux时是否启动了防⽕墙,如果你想配置属于⾃⼰的防⽕墙,那就清除现在filter的所有规则.复制代码代码如下:[root@tp ~]# iptables -F 清除预设表filter中的所有规则链的规则[root@tp ~]# iptables -X 清除预设表filter中使⽤者⾃定链中的规则我们在来看⼀下复制代码代码如下:[root@tp ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destination </p> <p>Chain FORWARD (policy ACCEPT)target prot opt source destination </p> <p>Chain OUTPUT (policy ACCEPT)target prot opt source destination什么都没有了吧,和我们在安装linux时没有启动防⽕墙是⼀样的.(提前说⼀句,这些配置就像⽤命令配置IP⼀样,重起就会失去作⽤),怎么保存.复制代码代码如下:[root@tp ~]# /etc/rc.d/init.d/iptables save复制代码代码如下:[root@tp ~]# service iptables restart现在IPTABLES配置表⾥什么配置都没有了,那我们开始我们的配置吧(3)设定预设规则复制代码代码如下:[root@tp ~]# iptables -P INPUT DROP[root@tp ~]# iptables -P OUTPUT ACCEPT[root@tp ~]# iptables -P FORWARD DROP上⾯的意思是,当超出了IPTABLES⾥filter表⾥的两个链规则(INPUT,FORWARD)时,不在这两个规则⾥的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.我们要控制流⼊数据包⽽对于OUTPUT链,也就是流出的包我们不⽤做太多限制,⽽是采取ACCEPT,也就是说,不在着个规则⾥的包怎么办呢,那就是通过.可以看出INPUT,FORWARD两个链采⽤的是允许什么包通过,⽽OUTPUT链采⽤的是不允许什么包通过.这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,⽽且要写的规则就会增加.但如果你只想要有限的⼏个规则是,如只做WEB服务器.还是推荐三个链都是DROP.注:如果你是远程SSH登陆的话,当你输⼊第⼀个命令回车的时候就应该掉了.因为你没有设置任何规则.怎么办,去本机操作呗!(4)添加规则.⾸先添加INPUT链,INPUT链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链为了能采⽤远程SSH登陆,我们要开启22端⼝.复制代码代码如下:[root@tp ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT[root@tp ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT(注:这个规则,如果你把OUTPUT 设置成DROP的就要写上这⼀部,好多⼈都是望了写这⼀部规则导致,始终⽆法SSH.在远程⼀下,是不是好了.其他的端⼝也⼀样,如果开启了web服务器,OUTPUT设置成DROP的话,同样也要添加⼀条链:复制代码代码如下:[root@tp ~]# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT如果做了WEB服务器,开启80端⼝.复制代码代码如下:[root@tp ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT如果做了邮件服务器,开启25,110端⼝.复制代码代码如下:[root@tp ~]# iptables -A INPUT -p tcp --dport 110 -j ACCEPT[root@tp ~]# iptables -A INPUT -p tcp --dport 25 -j ACCEPT如果做了FTP服务器,开启21端⼝复制代码代码如下:[root@tp ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT[root@tp ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT如果做了DNS服务器,开启53端⼝复制代码代码如下:[root@tp ~]# iptables -A INPUT -p tcp --dport 53 -j ACCEPT如果你还做了其他的服务器,需要开启哪个端⼝,照写就⾏了.上⾯主要写的都是INPUT链,凡是不在上⾯的规则⾥的,都DROP允许icmp包通过,也就是允许ping,复制代码代码如下:[root@tp ~]# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT设置成DROP的话) [root@tp ~]# iptables -A INPUT -p icmp -j ACCEPT (INPUT设置成DROP的话)允许loopback!(不然会导致DNS⽆法正常关闭等问题)IPTABLES -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP)IPTABLES -A OUTPUT -o lo -p all -j ACCEPT(如果是OUTPUT DROP)下⾯写OUTPUT链,OUTPUT链默认规则是ACCEPT,所以我们就写需要DROP(放弃)的链.减少不安全的端⼝连接复制代码代码如下:[root@tp ~]# iptables -A OUTPUT -p tcp --sport 31337 -j DROP[root@tp ~]# iptables -A OUTPUT -p tcp --dport 31337 -j DROP有些些特洛伊⽊马会扫描端⼝31337到31340(即⿊客语⾔中的 elite 端⼝)上的服务。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2018-Linux防火墙iptables配置详解一、开始配置我们来配置一个filter表的防火墙.(1)查看本机关于IPTABLES的设置情况[root@tp ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destinationChain FORWARD (policy ACCEPT)target prot opt source destinationChain OUTPUT (policy ACCEPT)target prot opt source destinationChain RH-Firewall-1-INPUT (0 references)target prot opt source destinationACCEPT all -- 0.0.0.0/0 0.0.0.0/0ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 255ACCEPT esp -- 0.0.0.0/0 0.0.0.0/0ACCEPT ah -- 0.0.0.0/0 0.0.0.0/0ACCEPT udp -- 0.0.0.0/0 224.0.0.251 udp dpt:5353ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:631ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25 REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited 可以看出我在安装linux时,选择了有防火墙,并且开放了22,80,25端口.如果你在安装linux时没有选择启动防火墙,是这样的[root@tp ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destinationChain FORWARD (policy ACCEPT)target prot opt source destinationChain OUTPUT (policy ACCEPT)target prot opt source destination什么规则都没有.(2)清除原有规则.不管你在安装linux时是否启动了防火墙,如果你想配置属于自己的防火墙,那就清除现在filter的所有规则.[root@tp ~]# iptables -F清除预设表filter中的所有规则链的规则[root@tp ~]# iptables -X清除预设表filter中使用者自定链中的规则我们在来看一下[root@tp ~]# iptables -L -nChain INPUT (policy ACCEPT)target prot opt source destinationChain FORWARD (policy ACCEPT)target prot opt source destinationChain OUTPUT (policy ACCEPT)target prot opt source destination什么都没有了吧,和我们在安装linux时没有启动防火墙是一样的.(提前说一句,这些配置就像用命令配置IP一样,重起就会失去作用),怎么保存.[root@tp ~]# /etc/rc.d/init.d/iptables save这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用.[root@tp ~]# service iptables restart现在IPTABLES配置表里什么配置都没有了,那我们开始我们的配置吧(3)设定预设规则[root@tp ~]# iptables -P INPUT DROP[root@tp ~]# iptables -P OUTPUT ACCEPT[root@tp ~]# iptables -P FORWARD DROP上面的意思是,当超出了IPTABLES里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.我们要控制流入数据包而对于OUTPUT链,也就是流出的包我们不用做太多限制,而是采取ACCEPT,也就是说,不在着个规则里的包怎么办呢,那就是通过.可以看出INPUT,FORWARD两个链采用的是允许什么包通过,而OUTPUT链采用的是不允许什么包通过.这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,而且要写的规则就会增加.但如果你只想要有限的几个规则是,如只做WEB服务器.还是推荐三个链都是DROP.注:如果你是远程SSH登陆的话,当你输入第一个命令回车的时候就应该掉了.因为你没有设置任何规则.怎么办,去本机操作呗!(4)添加规则.首先添加INPUT链,INPUT链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链为了能采用远程SSH登陆,我们要开启22端口.[root@tp ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT[root@tp ~]# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT(注:这个规则,如果你把OUTPUT 设置成DROP的就要写上这一部,好多人都是望了写这一部规则导致,始终无法SSH.在远程一下,是不是好了.其他的端口也一样,如果开启了web服务器,OUTPUT设置成DROP的话,同样也要添加一条链: [root@tp ~]# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT ,其他同理.)如果做了WEB服务器,开启80端口.[root@tp ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT如果做了邮件服务器,开启25,110端口.[root@tp ~]# iptables -A INPUT -p tcp --dport 110 -j ACCEPT[root@tp ~]# iptables -A INPUT -p tcp --dport 25 -j ACCEPT如果做了FTP服务器,开启21端口[root@tp ~]# iptables -A INPUT -p tcp --dport 21 -j ACCEPT[root@tp ~]# iptables -A INPUT -p tcp --dport 20 -j ACCEPT如果做了DNS服务器,开启53端口[root@tp ~]# iptables -A INPUT -p tcp --dport 53 -j ACCEPT如果你还做了其他的服务器,需要开启哪个端口,照写就行了.上面主要写的都是INPUT链,凡是不在上面的规则里的,都DROP允许icmp包通过,也就是允许ping,[root@tp ~]# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT设置成DROP的话)[root@tp ~]# iptables -A INPUT -p icmp -j ACCEPT (INPUT设置成DROP的话)允许loopback!(不然会导致DNS无法正常关闭等问题)IPTABLES -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP)IPTABLES -A OUTPUT -o lo -p all -j ACCEPT(如果是OUTPUT DROP)下面写OUTPUT链,OUTPUT链默认规则是ACCEPT,所以我们就写需要DROP(放弃)的链.减少不安全的端口连接[root@tp ~]# iptables -A OUTPUT -p tcp --sport 31337 -j DROP[root@tp ~]# iptables -A OUTPUT -p tcp --dport 31337 -j DROP有些些特洛伊木马会扫描端口31337到31340(即黑客语言中的elite 端口)上的服务。
既然合法服务都不使用这些非标准端口来通信,阻塞这些端口能够有效地减少你的网络上可能被感染的机器和它们的远程主服务器进行独立通信的机会还有其他端口也一样,像:31335、27444、27665、20034 NetBus、9704、137-139（smb）,2049(NFS)端口也应被禁止,我在这写的也不全,有兴趣的朋友应该去查一下相关资料.当然出入更安全的考虑你也可以包OUTPUT链设置成DROP,那你添加的规则就多一些,就像上边添加允许SSH登陆一样.照着写就行了.下面写一下更加细致的规则,就是限制到某台机器如:我们只允许192.168.0.3的机器进行SSH连接[root@tp ~]# iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT如果要允许,或限制一段IP地址可用192.168.0.0/24 表示192.168.0.1-255端的所有IP.24表示子网掩码数.但要记得把/etc/sysconfig/iptables 里的这一行删了.-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 因为它表示所有地址都可以登陆.或采用命令方式:[root@tp ~]# iptables -D INPUT -p tcp --dport 22 -j ACCEPT然后保存,我再说一边,反是采用命令的方式,只在当时生效,如果想要重起后也起作用,那就要保存.写入到/etc/sysconfig/iptables文件里.[root@tp ~]# /etc/rc.d/init.d/iptables save这样写!192.168.0.3 表示除了192.168.0.3的ip地址其他的规则连接也一样这么设置.在下面就是FORWARD链,FORWARD链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链,对正在转发链的监控.开启转发功能,(在做NAT时,FORWARD默认规则是DROP时,必须做)[root@tp ~]# iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT[root@tp ~]# iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT丢弃坏的TCP包[root@tp ~]#iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP处理IP碎片数量,防止攻击,允许每秒100个[root@tp ~]#iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT设置ICMP包过滤,允许每秒1个包,限制触发条件是10个包.[root@tp ~]#iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT我在前面只所以允许ICMP包通过,就是因为我在这里有限制.二、配置一个NAT表放火墙1,查看本机关于NAT的设置情况[root@tp rc.d]# iptables -t nat -LChain PREROUTING (policy ACCEPT)target prot opt source destinationChain POSTROUTING (policy ACCEPT)target prot opt source destinationSNAT all -- 192.168.0.0/24 anywhere to:211.101.46.235Chain OUTPUT (policy ACCEPT)target prot opt source destination我的NAT已经配置好了的(只是提供最简单的代理上网功能,还没有添加防火墙规则).关于怎么配置NAT,参考我的另一篇文章当然你如果还没有配置NAT的话,你也不用清除规则,因为NAT在默认情况下是什么都没有的如果你想清除,命令是[root@tp ~]# iptables -F -t nat[root@tp ~]# iptables -X -t nat[root@tp ~]# iptables -Z -t nat2,添加规则添加基本的NAT地址转换,(关于如何配置NAT可以看我的另一篇文章),添加规则,我们只添加DROP链.因为默认链全是ACCEPT.防止外网用内网IP欺骗[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP[root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP如果我们想,比如阻止MSN,QQ,BT等的话,需要找到它们所用的端口或者IP,(个人认为没有太大必要)例：禁止与211.101.46.253的所有连接[root@tp ~]# iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP禁用FTP(21)端口[root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DROP这样写范围太大了,我们可以更精确的定义.[root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport 21 -d 211.101.46.253 -j DROP这样只禁用211.101.46.253地址的FTP连接,其他连接还可以.如web(80端口)连接.按照我写的,你只要找到QQ,MSN等其他软件的IP地址,和端口,以及基于什么协议,只要照着写就行了.三、最后drop非法连接[root@tp ~]# iptables -A INPUT -m state --state INVALID -j DROP[root@tp ~]# iptables -A OUTPUT -m state --state INVALID -j DROP[root@tp ~]# iptables-A FORWARD -m state --state INVALID -j DROP允许所有已经建立的和相关的连接（必须配置否则httpd无法连接）[root@tp ~]# iptables-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT[root@tp ~]# iptables-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT[root@tp ~]# /etc/rc.d/init.d/iptables save这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用．[root@tp ~]# service iptables restart。