(1)檢視本機關于IPTABLES的設定情況 預設檢視INPUT FORWARD OUTPUT三個表的政策。
[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT) Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT tcp -- 192.168.181.34 0.0.0.0/0 tcp dpt:22
ACCEPT tcp -- 192.168.181.35 0.0.0.0/0 tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
Chain FORWARD (policy DROP)
target prot opt source destination
Chain OUTPUT (policy DROP)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT tcp -- 192.168.181.33 0.0.0.0/0 tcp spt:22 如果你在安裝linux時沒有選擇啟動防火牆,是這樣的
# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination 什麼規則都沒有.
(2)清除原有規則.
不管你在安裝linux時是否啟動了防火牆,如果你想配置屬于自己的防火牆,那就清除現在filter的所有規則.
[root@tp ~]# iptables -F 清除預設表filter中的所有規則鍊的規則
[root@tp ~]# iptables -X 清除預設表filter中使用者自定鍊中的規則
[root@tp ~]# iptables -Z 清楚預設表filter中計數器
我們在來看一下
[root@tp ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination 什麼都沒有了吧,和我們在安裝linux時沒有啟動防火牆是一樣的.(提前說一句,這些配置就像用指令配置IP一樣,重起就會失去作用),怎麼儲存.
[root@tp ~]# /etc/rc.d/init.d/iptables save 這樣就可以寫到/etc/sysconfig/iptables檔案裡了.寫入後記得把防火牆重起一下,才能起作用.
[root@tp ~]# service iptables restart 現在IPTABLES配置表裡什麼配置都沒有了,那我們開始我們的配置吧
(3)設定預設規則
到這最好做一個shellscript.
# vi ipt.sh
#!/bin/bash
#iptables init
#---------------------------
iptables -F
iptables -X
iptables -Z
#set the default rules
#---------------------------
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
#---------------------------
service iptables save
echo "------------------------------------------------------------------------"
iptables -L -n
echo "-------------------------------------------------------------------------"
?
1
<span># bash ./ipt.sh</span> 上面的意思是,當超出了IPTABLES裡filter表裡的兩個鍊規則(INPUT,FORWARD)時,不在這兩個規則裡的資料包怎麼處理呢,那就是DROP(放棄).應該說這樣配置是很安全的.我們要控制流入資料包
而對于OUTPUT鍊,也就是流出的包我們不用做太多限制,而是采取ACCEPT,也就是說,不在着個規則裡的包怎麼辦呢,那就是通過.
注:如果你是遠端SSH登陸的話,當你輸入第一個指令回車的時候就應該掉了.因為你沒有設定任何規則.
怎麼辦,去本機操作呗!
(4)添加規則.
首先添加INPUT鍊,INPUT鍊的預設規則是DROP,是以我們就寫需要ACCETP(通過)的鍊
為了能采用遠端SSH登陸,我們要開啟22端口.
到這塊就和其他部落格不一樣了。
開啟SSH所需要打開22端口
iptables -A INPUT （-s 192.168.181.34） -p tcp --dport 22 -j ACCEPT #進入INPUT的來源IP
iptables -A OUTPUT （-s 192.168.181.33） -p tcp --sport 22 -j ACCEPT #出去OUTPUT的來源IP（基本都是本機）
如果做了WEB伺服器,開啟80端口.
# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
如果做了郵件伺服器,開啟25,110端口.
# iptables -A INPUT -p tcp --dport 110 -j ACCEPT
# iptables -A INPUT -p tcp --dport 25 -j ACCEPT
如果做了FTP伺服器,開啟21端口
# iptables -A INPUT -p tcp --dport 21 -j ACCEPT
# iptables -A INPUT -p tcp --dport 20 -j ACCEPT
如果做了DNS伺服器,開啟53端口
# iptables -A INPUT -p tcp --dport 53 -j ACCEPT
如果你還做了其他的伺服器,需要開啟哪個端口,照寫就行了.
上面主要寫的都是INPUT鍊,凡是不在上面的規則裡的,都DROP
允許icmp包通過,也就是允許ping,
# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT設定成DROP的話)
# iptables -A INPUT -p icmp -j ACCEPT (INPUT設定成DROP的話)
允許loopback!(不然會導緻DNS無法正常關閉等問題)
IPTABLES -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP)
IPTABLES -A OUTPUT -o lo -p all -j ACCEPT(如果是OUTPUT DROP)
下面寫OUTPUT鍊,OUTPUT鍊預設規則是ACCEPT,是以我們就寫需要DROP(放棄)的鍊.
減少不安全的端口連接配接
# iptables -A OUTPUT -p tcp --sport 31337 -j DROP
# iptables -A OUTPUT -p tcp --dport 31337 -j DROP
有些些特洛伊木馬會掃描端口31337到31340(即黑客語言中的 elite 端口)上的服務。既然合法服務都不使用這些非标準端口來通信,阻塞這些端口能夠有效地減少你的網絡上可能被感染的機器和它們的遠端主伺服器進行獨立通信的機會
還有其他端口也一樣,像:31335、27444、27665、20034 NetBus、9704、137-139（smb）,2049(NFS)端口也應被禁止,我在這寫的也不全,有興趣的朋友應該去查一下相關資料.
當然出入更安全的考慮你也可以包OUTPUT鍊設定成DROP,那你添加的規則就多一些,就像上邊添加
允許SSH登陸一樣.照着寫就行了.
下面寫一下更加細緻的規則,就是限制到某台機器
如:我們隻允許192.168.0.3的機器進行SSH連接配接
# iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT
如果要允許,或限制一段IP位址可用 192.168.0.0/24 表示192.168.0.1-255端的所有IP.
24表示子網路遮罩數.但要記得把 /etc/sysconfig/iptables 裡的這一行删了.
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 因為它表示所有位址都可以登陸.
或采用指令方式:
# iptables -D INPUT -p tcp --dport 22 -j ACCEPT
然後儲存,我再說一邊,反是采用指令的方式,隻在當時生效,如果想要重起後也起作用,那就要儲存.寫入到/etc/sysconfig/iptables檔案裡.
# /etc/rc.d/init.d/iptables save
這樣寫 !192.168.0.3 表示除了192.168.0.3的ip位址
其他的規則連接配接也一樣這麼設定.
在下面就是FORWARD鍊,FORWARD鍊的預設規則是DROP,是以我們就寫需要ACCETP(通過)的鍊,對正在轉發鍊的監控.
開啟轉發功能,(在做NAT時,FORWARD預設規則是DROP時,必須做)
# iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
# iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT
丢棄壞的TCP包
#iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP
處理IP碎片數量,防止攻擊,允許每秒100個
#iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT
設定ICMP包過濾,允許每秒1個包,限制觸發條件是10個包.
#iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT
我在前面隻是以允許ICMP包通過,就是因為我在這裡有限制.
二,配置一個NAT表防火牆
1,檢視本機關于NAT的設定情況
[root@tp rc.d]# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
SNAT all -- 192.168.0.0/24 anywhere to:211.101.46.235
Chain OUTPUT (policy ACCEPT)
target prot opt source destination 我的NAT已經配置好了的(隻是提供最簡單的代理上網功能,還沒有添加防火牆規則).關于怎麼配置NAT,參考我的另一篇文章
當然你如果還沒有配置NAT的話,你也不用清除規則,因為NAT在預設情況下是什麼都沒有的
如果你想清除,指令是
# iptables -F -t nat
# iptables -X -t nat
# iptables -Z -t nat
2,添加規則
添加基本的NAT位址轉換,(關于如何配置NAT可以看我的另一篇文章),
添加規則,我們隻添加DROP鍊.因為預設鍊全是ACCEPT.
防止外網用内網IP欺騙
# iptables -t nat -A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP
# iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP
# iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP 如果我們想,比如阻止MSN,QQ,BT等的話,需要找到它們所用的端口或者IP,(個人認為沒有太大必要)
例：
禁止與211.101.46.253的所有連接配接
# iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP 禁用FTP(21)端口
# iptables -t nat -A PREROUTING -p tcp --dport 21 -j DROP 這樣寫範圍太大了,我們可以更精确的定義.
# iptables -t nat -A PREROUTING -p tcp --dport 21 -d 211.101.46.253 -j DROP 這樣隻禁用211.101.46.253位址的FTP連接配接,其他連接配接還可以.如web(80端口)連接配接.
按照我寫的,你隻要找到QQ,MSN等其他軟體的IP位址,和端口,以及基于什麼協定,隻要照着寫就行了.
# iptables -A INPUT -m state --state INVALID -j DROP
# iptables -A OUTPUT -m state --state INVALID -j DROP
# iptables-A FORWARD -m state --state INVALID -j DROP # iptables-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# /etc/rc.d/init.d/iptables save ![企業優秀運維人員20道必會iptables面試題[圖]](data:image/gif;base64,R0lGODlhAQABAIAAAP///wAAACwAAAAAAQABAAACAkQBADs=)