文档章节

Linux中的iptables防火墙策略

o
 osc_isezqdgg
发布于 2019/09/18 15:09
字数 1029
阅读 7
收藏 0

精选30+云产品,助力企业轻松上云!>>>

0x01 简介

iptables其实不是真正的防火墙,我们可以把它理解成一个客户端代理,用户通过iptables这个代理,将用户的安全设定执行到对应的"安全框架"中,这个"安全框架"才是真正的防火墙,这个框架的名字叫 netfilter。

iptables是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。

如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器, 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。

0x02 历史版本

Linux内核各版本集成的防火墙历史版本: 2.0.X内核:ipfwadm 2.2.X内核:ipchains 2.4.X内核:iptables

0x03 iptables语法

3.1 基本语法

iptables(选项)(参数)

选项:

-t<表>:指定要操纵的表; 
-A:向规则链中添加条目; 
-D:从规则链中删除条目; 
-i:向规则链中插入条目; 
-R:替换规则链中的条目; 
-L:显示规则链中已有的条目; 
-F:清楚规则链中已有的条目; 
-Z:清空规则链中的数据包计算器和字节计数器; 
-N:创建新的用户自定义规则链; 
-P:定义规则链中的默认目标; 
-h:显示帮助信息; 
-p:指定要匹配的数据包协议类型; 
-s:指定要匹配的数据包源ip地址; 
-j<目标>:指定要跳转的目标; 
-i<网络接口>:指定数据包进入本机的网络接口; 
-o<网络接口>:指定数据包要离开本机所使用的网络接口。

iptables命令选项输入顺序:

iptables -t 表名 <-A/I/D/R> 规则链名 [规则号] <-i/o 网卡名> -p 协议名 <-s 源IP/源子网> --sport 源端口 <-d 目标IP/目标子网> --dport 目标端口 -j 动作

表名包括:

raw:高级功能,如:网址过滤。
mangle:数据包修改(QOS),用于实现服务质量。
net:地址转换,用于网关路由器。
filter:包过滤,用于防火墙规则。

规则链名包括:

INPUT链:处理输入数据包。
OUTPUT链:处理输出数据包。
PORWARD链:处理转发数据包。
PREROUTING链:用于目标地址转换(DNAT)。
POSTOUTING链:用于源地址转换(SNAT)。

动作包括:

accept:接收数据包。
DROP:丢弃数据包。
REDIRECT:重定向、映射、透明代理。
SNAT:源地址转换。
DNAT:目标地址转换。
MASQUERADE:IP伪装(NAT),用于ADSL。
LOG:日志记录。

3.2 查看现有防火墙策略

iptables -L -n

iptables -L -n --line-number      #--line-number参数会显示策略编号,该编号在删除策略时使用

3.3 增加防火墙策略

iptables -A INPUT -s 192.168.220.0/24 -p TCP --dport 22 -j ACCEPT    #开放这个网段的22端口
iptables -A INPUT -s 192.168.1.1 -p TCP --dport 22 -j ACCEPT         #开放单个IP的22端口
iptables -A INPUT -p TCP --dport 22 -j DROP

说明: 1.-A代理在末尾追加,如果要在开头插入使用-I 2.多IP使用逗号(半角)相隔,多端口添加-m multiport然后端口使用逗号(半角)相隔

3.4 修改防火墙策略

iptables -R INPUT 2 -s 192.168.1.1 -p TCP --dport 22 -j DROP   

数字2是--line-nember查到的,所有参数都要写-R不是在原策略基础上修改而就是直接取化,所以这里的-s虽然原来就是192.168.1.1但还是要写,不然结果就是DROP掉所有ip对22端口的连接请求

3.5 删除防火墙策略

iptables -D INPUT 2   #2是--line-number查到的,此句会删除第2条策略

iptables -F           #此句会清空所有防火墙规则,慎用

3.6 保存防火墙规则

上边对防火墙的修改只是临时的,并没有存入配置文件(/etc/sysconfig/iptables),防火墙服务重启之后策略会退回到之前保存的策略状态;要防火墙配置永久生效要进行保存

service iptbales save

0x04 参考链接

http://www.zsythink.net/archives/1199 https://www.cnblogs.com/lsdb/p/7060251.html http://www.webkaka.com/tutorial/server/2019/030525/

o
粉丝 0
博文 500
码字总数 0
作品 0
私信 提问
加载中
请先登录后再评论。
如何暂时禁用 iptables 防火墙

了解如何在 Linux 中暂时禁用 iptables 防火墙来进行故障排除。还要学习如何保存策略以及如何在启用防火墙时恢复它们。 有时你需要关闭 iptables 防火墙来做一些连接故障排除,然后你需要重新...

19%
2018/06/30
0
0
关于win7与虚拟机LINUX互通问题

首先,介绍如何在VMWARE中设置LINUX的网络。一般网络选项有Bridged, NAT, host-only几种。本次以我实现的host-only为样本来做详细说明,如下图: 在选择host-only模式之后,打开VMWARE的网络...

Sandy_wu
2013/03/19
261
0
9月27日-Linux学习第十天-《Linux就该这么学》

今天学习了Linux系统中的网络配置和防火墙配置,随便技术本身非常熟悉,但是应用在Linux中,却觉得好复杂,也许这就是所谓的“Linux的一切都是文件”。 一、LInux网络配置 方法 命令 备注 修...

绝望的生鱼片_Di
2019/09/28
24
0
Liunx就该这么学-第8章 iptables与firewalld防火墙设置--学习笔记

Liunx就该这么学-第8章 iptables与firewalld防火墙设置--学习笔记 防火墙策略可以基于流量的源目的地址、端口号、协议、应用等信息来定制,然后防火墙使用预先定制的策略规则监控出入的流量,...

wangfenghcheng
2019/05/25
92
0
IP tables防火墙:SNAT策略、DNAT策略

SNAT+DNAT 策略简介: ·SNAT(源地址转换):是Linux防火墙的一种地址转换操作,也是iptables命令中的一种数据包控制类型,其作用是根据指定调教修改数据包的源IP地址 内部地址要访问公网上...

osc_fdgnewj9
2019/07/23
11
0

没有更多内容

加载失败,请刷新页面

加载更多

阻塞锁,非阻塞锁,自旋锁,互斥锁

1.阻塞锁 多个线程同时调用同一个方法的时候,所有线程都被排队处理了。让线程进入阻塞状态进行等待,当获得相应的信号(唤醒,时间) 时,才可以进入线程的准备就绪状态,准备就绪状态的所有...

osc_umiwij2c
21分钟前
5
0
Asp.NetCore3.1 WebApi中模型验证

前言   不管是前端,还是后端,做数据合法性验证是避免不了的,这边文章就记录一下Asp.NetCore3.1 WebApi中的模型验证; 传统写法--不使用模型验证   来,先上图:   我相信,应该绝大...

osc_qgfjs4a5
22分钟前
21
0
龙芯开源社区上线.NET主页

龙芯团队从2019年7 月份开始着手.NET Core的MIPS64支持研发,经过将近一年的研发,在2020年6月18日完成了里程碑性的工作,在github CoreCLR 仓库:https://github.com/gsvm/coreclr, 随后受...

osc_bj12kvua
23分钟前
11
0
高并发下浏览量入库设计

一、背景 文章浏览量统计,low的做法是:用户每次浏览,前端会发送一个GET请求获取一篇文章详情时,会把这篇文章的浏览量+1,存进数据库里。 1.1 这么做,有几个问题: 在GET请求的业务逻辑里...

osc_uj3h5gt9
24分钟前
27
0
nginx timeout 配置 全局timeout 局部timeout web timeout

nginx比较强大,可以针对单个域名请求做出单个连接超时的配置. 比如些动态解释和静态解释可以根据业务的需求配置 proxy_connect_timeout :后端服务器连接的超时时间_发起握手等候响应超时时间...

osc_5cok9i01
26分钟前
11
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部