wx599981d853f0f

iptables详解之filter

iptables令很多小伙伴脑阔疼，下面我们来说说如何使用iptables。

一、iptables格式

1.1、iptables 帮助

通过iptables --help查看一下iptables用法

[root@note1 ~]# iptables --help
iptables v1.4.21

Usage: iptables -[ACD] chain rule-specification [options]
       iptables -I chain [rulenum] rule-specification [options]
       iptables -R chain rulenum rule-specification [options]
       iptables -D chain rulenum [options]
       iptables -[LS] [chain [rulenum]] [options]
       iptables -[FZ] [chain] [options]
       iptables -[NX] chain
       iptables -E old-chain-name new-chain-name
       iptables -P chain target [options]
       iptables -h (print this help information)

1.2、iptables 格式

iptables [-t table] COMMAND chain [-m matchname [per-match-options]] -j targetname [per-target-options]

iptables命令由 表 + 命令 + 链 + 匹配条件 + 处理动作 组成

二、iptables表

iptables由四表五链组成。每个表分别实现不同的功能，每个表拥有不同的链，链代表规则实现的位置。

四表分别为：

filter ：过滤，防火墙；
nat ：用于源地址转换或目标地址转换；
mangle ：拆解报文，做出修改，并重新封装起来；
raw ：关闭nat表上启用的连接追踪机制；

五链分别为：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING。

不同表支持的链：

filter ：INPUT，FORWARD，OUTPUT
nat ：PREROUTING，INPUT，OUTPUT，POSTROUTING
mangle ：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
raw ：OUTPUT，PREROUTING

添加规则时的考量点：

要实现哪种功能：判断添加到哪个表上；
报文流经的路径：判断添加到哪个链上；

链：链上的规则次序，即为检查的次序；因此，隐含一定的应用法则：

同类规则（访问同一应用），匹配范围小的放上面；
不同类的规则（访问不同应用），匹配到报文频率较大的放在上面；
将那些可由一条规则描述的多个规则合并起来；
设置默认策略；

使用iptables命令时若不使用-t指明操作哪张表，默认操作filter表。

三、iptables命令

iptables命令有三大类，查看，链管理，规则管理

3.1、查看iptables规则

-t ：查看的表
-n ：不进行 IP 与 HOSTNAME 的反解
-v ：列出更多的信息，包括通过该规则的封包总位数、相关的网络接口等.
-L ：列出目前的 table 的规则.
-S ：查看规则定义，
--line-number用于查看规则号.

#使用iptables查看规则
[root@note1 ~]# iptables -vnL --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1      467 29128 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 41 packets, 4276 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
[root@note1 ~]#

[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1      502 31476 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@note1 ~]# 

#使用-S选项查看iptables的规则定义
[root@note1 ~]# iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

3.2、链管理

3.2.1、-N 新建链

-N：new, 自定义一条新的规则链；

iptables -N test

3.2.2、-X 删除链

-X：delete，删除自定义的规则链；
注意：仅能删除用户自定义的引用计数为0的空的链；

iptables -X test

3.2.3、-E 重命名

-E：重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除；

iptables -N testrn
iptables -E testrn testrename

3.2.4、-P 默认策略

-P：Policy，设置默认策略；对filter表中的链而言，其默认策略有：

ACCEPT：接受
DROP：丢弃
REJECT：拒绝

使用需谨慎，由于我测试时，没有先增加一条放行ssh的规则，所以在我将filter的INPUT链默认策略改为DROP后，我已经无法通过Xshell链接虚拟机了，需要进入VMware放行ssh。

iptables -P INPUT DROP

增加了放行规则后，我们已经成功使用Xshell重新连上了主机

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

使用命令添加默认策略

#先放行ssh，INPUT链及OUTPUT链都要放行。
iptables -A INPUT -d 176.16.128.1 -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -s 176.16.128.1 -p tcp --sport 22 -j ACCEPT
#添加新规则的时候要插入在默认拒绝规则前，除这些规则外的都将拒绝。
iptables -A INPUT -d 176.16.128.1 -j REJECT
iptables -A OUTPUT -s 176.16.128.1 -j REJECT
#设置链上的默认策略为允许。
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT

3.3、规则管理

3.3.1、-A 追加规则

-A：append，在已有规则后追加规则；

# 在note1节点增加一条拒绝80端口的规则
[root@note1 local]# iptables -A INPUT -p tcp --dport 80 -j REJECT

# 我们可以看到由于是使用追加命令追加的规则，这条规则的位置为2
[root@note1 local]# iptables -vnL --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1     4208  225K ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
2        2   120 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 reject-with icmp-port-unreachable

# 在主机点访问note1节点的80端口
[root@master ~]# curl note1:80
curl: (7) Failed connect to note1:80; 拒绝连接
[root@master ~]#

3.3.2、-R 替换规则

-R：replace，替换指定链上的指定规则；

# 使用-R命令修改拒绝80端口的规则为接受访问
[root@note1 local]# iptables -R INPUT 2 -p tcp --dport 80 -j ACCEPT

# 查看iptables
[root@note1 local]# iptables -vnL --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1     4881  271K ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80

# 在master节点访问80端口，可以看到网页的内容了。
[root@master ~]# curl note1:80
I'm Note1
[root@master ~]#

3.3.3、-I 插入规则

-I：insert, 插入，要指明位置，省略时表示第一条；

# 使用iptables -I不指定位置插入规则。
[root@note1 ~]# iptables -I INPUT -p tcp --dport 3306 -j ACCEPT
# 查看iptables，显示新增加的规则为第一条。
[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:3306
2      616 38140 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
3        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@note1 ~]#

#使用iptables -I指定在第二条插入规则。
[root@note1 ~]# iptables -I INPUT 2 -p tcp --dport 443 -j ACCEPT
[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:3306
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:443
3      810 50540 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
4        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@note1 ~]#

3.3.4、-D 删除规则

-D：delete，删除规则按照规则序号或规则本身

3.3.4.1、指明规则序号

[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:3306
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:443
3      835 52340 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
4        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@note1 ~]# iptables -D INPUT 2
[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:3306
2      882 55100 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
3        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@note1 ~]#

3.3.4.2、指明规则本身

[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:3306
2      882 55100 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
3        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@note1 ~]# iptables -D INPUT -p tcp --dport 3306 -j ACCEPT
[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1     1016 62940 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@note1 ~]#

3.3.5、-Z 置零

iptables的每条规则都有两个计数器：

(1) 匹配到的报文的个数；pkts
(2) 匹配到的所有报文的大小之和；bytes

[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 11 packets, 774 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1     1028 63752 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@note1 ~]# iptables -Z INPUT
[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        6   364 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@note1 ~]#

3.3.6、-F 清空规则链

[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 5 packets, 180 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1       46  2728 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
[root@note1 ~]# iptables -F INPUT
[root@note1 ~]# iptables -vnL INPUT --line-number
Chain INPUT (policy ACCEPT 6 packets, 364 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
[root@note1 ~]#

四、iptables匹配条件

4.1、基本匹配条件

无需加载任何模块，由iptables/netfilter自行提供；

[!] -s, --source  
address[/mask][,...]：检查报文中的源IP地址是否符合此处指定的地址或范围；

[!] -d, --destination 
address[/mask][,...]：检查报文中的目标IP地址是否符合此处指定的地址或范围；所有地址：0.0.0.0/0

[!] -p, --protocol 
protocol: tcp, udp, udplite, icmp, icmpv6,esp, ah, sctp, mh or  "all"
最常用的协议tcp、udp、icmp；

[!] -i, --in-interface 
数据报文流入的接口；只能应用于数据报文流入的环节，只能应用于PREROUTING，INPUT和FORWARD链；

[!] -o, --out-interface 
数据报文流出的接口；只能应用于数据报文流出的环节，只能应用于FORWARD、OUTPUT和POSTROUTING链；

[!]中的叹号表示取反的意思

4.2、扩展匹配条件

4.2.1、隐式扩展

隐式扩展：不需要手动加载扩展模块；因为它们是对协议的扩展，所以在使用-p选项指明了特定的协议时，就表示已经指明了要扩展的模块，无需再同时使用-m选项指明扩展模块的扩展机制。

4.2.1.1、tcp

[!] --source-port, --sport port[:port]：
匹配报文的源端口；可以是端口范围；

[!] --destination-port, --dport port[:port]：
匹配报文的目标端口；可以是端口范围；

[!] --tcp-flags mask comp
mask是我们应该检查的标志，以逗号分隔，例如 SYN,ACK,FIN,RST
comp是必须设置的标志，例如SYN
例如：“--tcp-flags  SYN,ACK,FIN,RST  SYN”表示，要检查的标志位为SYN,ACK,FIN,RST四个，其中SYN必须为1，余下的必须为0；

[!] --syn：用于匹配第一次握手，相当于”--tcp-flags  SYN,ACK,FIN,RST  SYN“；

[!]叹号表示取反的意思

4.2.1.2、udp

[!] --source-port, --sport port[:port]：
匹配报文的源端口；可以是端口范围；

[!] --destination-port, --dport port[:port]：
匹配报文的目标端口；可以是端口范围；

[!]叹号表示取反的意思

4.2.1.3、icmp

[!] --icmp-type {type[/code]|typename}

[!]叹号表示取反的意思

icmp type

类型为8：请求回送echo-request(Ping 请求)

类型为0：回送应答echo-reply(Ping 应答)

我们设置INPUT放行icmp-type类型为0的报文，OUTPUT放行icmp-type类型为8的报文，默认规则设置为拒绝，这样就可以只允许我们ping其他主机，不允许其他主机ping我们。

#因为要增加默认拒绝规则，所以先放行ssh
[root@note1 ~]# iptables -A INPUT -d 176.16.128.1 -p tcp --dport 22 -j ACCEPT
[root@note1 ~]# iptables -A OUTPUT -s 176.16.128.1 -p tcp --sport 22 -j ACCEPT
#增加默认拒绝规则
[root@note1 ~]# iptables -A INPUT -d 176.16.128.1 -j REJECT
[root@note1 ~]# iptables -A OUTPUT -s 176.16.128.1 -j REJECT
[root@note1 ~]# iptables -vnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  299 19206 ACCEPT     tcp  --  *      *       0.0.0.0/0            176.16.128.1         tcp dpt:22
    0     0 REJECT     all  --  *      *       0.0.0.0/0            176.16.128.1         reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  165 15559 ACCEPT     tcp  --  *      *       176.16.128.1         0.0.0.0/0            tcp spt:22
    0     0 REJECT     all  --  *      *       176.16.128.1         0.0.0.0/0            reject-with icmp-port-unreachable
#现在我们尝试ping，由于ping未在iptables中设置所以ping请求无法发送。
[root@note1 ~]# ping 176.16.128.8
PING 176.16.128.8 (176.16.128.8) 56(84) bytes of data.
ping: sendmsg: 不允许的操作
ping: sendmsg: 不允许的操作
ping: sendmsg: 不允许的操作
^C
--- 176.16.128.8 ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 1999ms

#现在我们在OUTPUT链上增加一条允许发送ping请求的规则
[root@note1 ~]# iptables -I OUTPUT 2 -s 176.16.128.1 -p icmp --icmp-type 8 -j ACCEPT

#尝试ping，发现请求可以发送了，但是未有响应回来
[root@note1 ~]# ping 176.16.128.8
PING 176.16.128.8 (176.16.128.8) 56(84) bytes of data.

#我们使用tcpdump抓包，发现ping请求是有响应回来的。是INPUT链没有放行。
[root@note1 ~]# tcpdump -i eno16777736 icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eno16777736, link-type EN10MB (Ethernet), capture size 262144 bytes
20:45:00.605683 IP note1 > master: ICMP echo request, id 4276, seq 64, length 64
20:45:00.605962 IP master > note1: ICMP echo reply, id 4276, seq 64, length 64
20:45:01.606935 IP note1 > master: ICMP echo request, id 4276, seq 65, length 64
20:45:01.607533 IP master > note1: ICMP echo reply, id 4276, seq 65, length 64
^C
8 packets captured
8 packets received by filter
0 packets dropped by kernel
[root@note1 ~]#

#我们在iptables的INPUT链放行ping请求的响应。
[root@note1 ~]# iptables -I INPUT 2 -d 176.16.128.1 -p icmp --icmp-type 0 -j ACCEPT

#至此我们已经ping通了其他主机。
[root@note1 ~]# ping 176.16.128.8
PING 176.16.128.8 (176.16.128.8) 56(84) bytes of data.
64 bytes from 176.16.128.8: icmp_seq=228 ttl=64 time=0.687 ms
64 bytes from 176.16.128.8: icmp_seq=229 ttl=64 time=0.432 ms
^C
--- 176.16.128.8 ping statistics ---
231 packets transmitted, 4 received, 98% packet loss, time 230101ms
rtt min/avg/max/mdev = 0.432/0.804/1.443/0.382 ms
[root@note1 ~]#

若要允许其他主机也能ping我们。在INPUT链中追加一条放行icmp-type类型为8的报文，OUTPUT放行icmp-type类型为0的报文，这样就都可以ping通了。

4.2.2、显式扩展

显式扩展：必须使用-m选项指明要调用的扩展模块的扩展机制；

使用man iptables-extensions来查看显示扩展的用法。

4.2.2.1、multiport

以离散或连续的方式定义多端口匹配条件，最多15个；

[!]--source-ports, --sports port[,port|,port:port]...：指定多个源端口；
[!]--destination-ports, --dports port[,port|,port:port]...：指定多个目标端口；

[!]叹号表示取反的意思

我们说过iptables要尽量将那些可由一条规则描述的多个规则合并起来，不但可以更简洁，这样也可以提高报文通过的效率。

#使用iptables放行21,22,23,80,139,443,445,3306等端口。
iptables -A INPUT -p tcp -m multiport --dports 21:23,80,139,443,445,3306 -j ACCEPT

4.2.2.2、iprange

以连续地址块的方式来指明多IP地址匹配条件；

[!] --src-range from[-to] #源地址区间
[!] --dst-range from[-to] #目标地址区间

[!]叹号表示取反的意思

设置放行176.16.128.5-176.16.128.10区间的IP可以访问主机

[root@note1 init.d]#iptables -I INPUT 2 -p icmp --icmp-type 8 -m iprange --src-range 176.16.128.5-176.16.128.10 -j ACCEPT
[root@note1 init.d]#iptables -I OUTPUT 2 -p icmp --icmp-type 0 -s 176.16.128.1 -j ACCEPT

#使用176.16.128.2 Ping主机，是没有回应的。
[root@note2 ~]# ping 176.16.128.1
PING 176.16.128.1 (176.16.128.1) 56(84) bytes of data.
^C
--- 176.16.128.1 ping statistics ---
11 packets transmitted, 0 received, 100% packet loss, time 10076ms

[root@note2 ~]#

#使用176.16.128.8 Ping主机，在ip区间内是可以收到回复的。
[root@master ~]# ping 176.16.128.1
PING 176.16.128.1 (176.16.128.1) 56(84) bytes of data.
64 bytes from 176.16.128.1: icmp_seq=1 ttl=64 time=0.539 ms
64 bytes from 176.16.128.1: icmp_seq=2 ttl=64 time=0.922 ms
^C
--- 176.16.128.1 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1020ms
rtt min/avg/max/mdev = 0.539/0.730/0.922/0.193 ms
[root@master ~]#

4.2.2.3、time

指定数据包到达时间/日期范围的匹配条件。

--timestart hh:mm[:ss]
--timestop hh:mm[:ss]
[!] --weekdays day[,day...]
[!] --monthdays day[,day...]

--datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]
--datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]

--kerneltz：使用内核配置的时区而非默认的UTC；

[!]叹号表示取反的意思

一般时间或与周几联用，或时间与每月几号联用。日期一般不常用。

#INPUT链放行工作区域176.16.128.5-176.16.128.10的主机在周一至周五的早9点到晚5点可以访问telnet服务。
iptables -I INPUT 2 -d 176.16.128.1 -p tcp --dport 23 -m iprange --src-range 176.16.128.5-176.16.128.10 -m time --timestart 9:00:00 --timestop 17:00:00 --weekdays 1,2,3,4,5 --kerneltz -j ACCEPT

#OUTPUT链放行telnet服务。
iptables -I OUTPUT 2 -s 176.16.128.1 -p tcp --sport 23 -j ACCEPT

4.2.2.4、string

该模块使用某种模式匹配策略来匹配给定的字符串。

--algo {bm|kmp}           #匹配算法
[!] --string pattern      #要过滤的字符串
[!] --hex-string pattern  #要检查的字符串的十六进制编码
--from offset             #从报文的哪个位置开始检查
--to offset               #从报文的哪个位置结束检查

[!]叹号表示取反的意思。

只对明文编码的协议生效。

# 出栈报文中包含字符串gay拒绝访问。
iptables -I OUTPUT -m string --algo bm --string "gay" -j REJECT

4.2.2.5、connlimit

允许您限制每个客户端地址与服务器的并行连接数。

--connlimit-upto n   #上限 小于等于
--connlimit-above n  #下限 大于等于

取决于默认规则是什么，默认规则是拒绝，使用upto,设置低于就允许，不低于就被默认规则所匹配。

# 设置每个客户端ssh的连接不大于2个。
iptables -I INPUT -p tcp -d 176.16.128.1 --dport 22 -m connlimit --connlimit-upto 2 -j ACCEPT

4.2.2.6、limit

此模块使用令牌桶限制请求的速率。

--limit rate[/second|/minute|/hour|/day]  #每秒、每分、每小时、每天多少个。
--limit-burst number #一批最多个数、峰值（桶大小）

限制本机某tcp服务接收新请求的速率：--syn, -m limit

# 限制主机Ping请求每分钟20次，峰值发三次。
[root@note1 sysconfig]# iptables -I INPUT 2 -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 3 -j ACCEPT
[root@note1 sysconfig]# iptables -I OUTPUT 2 -p icmp --icmp-type 0 -j ACCEPT
[root@note1 sysconfig]# iptables -vnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  893 57538 ACCEPT     tcp  --  *      *       0.0.0.0/0            176.16.128.1         tcp dpt:22 #conn src/32 <= 2
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 8 limit: avg 20/min burst 3
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            176.16.128.1         multiport dports 80,443,3306
    2   104 REJECT     all  --  *      *       0.0.0.0/0            176.16.128.1         reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  547 39791 ACCEPT     tcp  --  *      *       176.16.128.1         0.0.0.0/0            multiport sports 22,80,443,3306
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 0
   10   848 REJECT     all  --  *      *       176.16.128.1         0.0.0.0/0            reject-with icmp-port-unreachable
[root@note1 sysconfig]#

#Ping主机，观察应答的时间，得出已经成功限制Ping请求速率。
[root@master ~]# ping 176.16.128.1
PING 176.16.128.1 (176.16.128.1) 56(84) bytes of data.
64 bytes from 176.16.128.1: icmp_seq=1 ttl=64 time=0.692 ms
64 bytes from 176.16.128.1: icmp_seq=2 ttl=64 time=0.684 ms
64 bytes from 176.16.128.1: icmp_seq=3 ttl=64 time=0.722 ms
64 bytes from 176.16.128.1: icmp_seq=4 ttl=64 time=0.706 ms
64 bytes from 176.16.128.1: icmp_seq=7 ttl=64 time=1.10 ms
64 bytes from 176.16.128.1: icmp_seq=10 ttl=64 time=1.89 ms
64 bytes from 176.16.128.1: icmp_seq=13 ttl=64 time=0.983 ms
^C
--- 176.16.128.1 ping statistics ---
14 packets transmitted, 7 received, 50% packet loss, time 13093ms
rtt min/avg/max/mdev = 0.684/0.969/1.893/0.409 ms
[root@master ~]#

4.2.2.7、state

state模块允许访问此数据包的连接跟踪状态。

#仅放行哪些连接的状态。
[!] --state state 
INVALID, ESTABLISHED, NEW, RELATED or UNTRACKED.

NEW: 新连接请求；
ESTABLISHED：已建立的连接；
INVALID：无法识别的连接；
RELATED：相关联的连接，当前连接是一个新请求，但附属于某个已存在的连接；
UNTRACKED：未追踪的连接；

state扩展：
内核模块装载：
nf_conntrack
nf_conntrack_ipv4

手动装载：
nf_conntrack_ftp

追踪到的连接：
/proc/net/nf_conntrack

调整可记录的连接数量最大值：
/proc/sys/net/nf_conntrack_max

超时时长：
/proc/sys/net/netfilter/timeout

五、处理动作

-j targetname [per-target-options]

5.1、基本处理动作

ACCEPT 允许
DROP 丢弃

5.2、扩展处理动作

5.2.1、REJECT 拒绝

--reject-with type

5.2.2、LOG 日志

--log-level
--log-prefix

默认日志保存于/var/log/messages

5.2.3、RETURN 返回

返回调用者；

5.3、自定义链作为target

自定义链做为target：

六、保存、重载

保存：iptables-save > /PATH/TO/SOME_RULE_FILE

重载：iptabls-restore < /PATH/FROM/SOME_RULE_FILE
-n, --noflush：不清除原有规则
-t, --test：仅分析生成规则集，但不提交

CentOS6

保存规则：
service iptables save
保存规则于/etc/sysconfig/iptables文件，覆盖保存；

重载规则：
service iptables restart
默认重载/etc/sysconfig/iptables文件中的规则

配置文件：/etc/sysconfig/iptables-config

CentOS7

(1) 自定义Unit File，进行iptables-restore
(2) firewalld服务；
(3) 自定义脚本；

七、规则优化

使用自定义链管理特定应用的相关规则，模块化管理规则；
优先放行双方向状态为ESTABLISHED的报文；
服务于不同类别的功能的规则，匹配到报文可能性更大的放前面；
服务于同一类别的功能的规则，匹配条件较严格的放在前面；
设置默认策略：白名单机制
iptables -P，不建议；
建议在规则的最后定义规则做为默认策略；

你可能感兴趣的:(iptables,防火墙)

Ubuntu常用命令整理十里染林
ubuntu16.04server开启ssh:使用x-shell连接主机，发现22端口没有打开，开启ssh服务：安装openssh-serversudoapt-getinstallopenssh-server检查安装是否成功sudops-e|grepssh开启ssh服务sudoservicesshstartUbuntu开启/关闭防火墙:开启防火墙sudoufwenable关闭防火墙sudoufwd
服务器被cc攻击的简单防御策略（附代码）小蚁云安全-xyDDos flask python 后端
CC攻击（也称为网络层攻击或流量攻击）是指企图通过向网站或服务器发送大量伪造的请求，以干扰正常的用户访问的攻击。这些请求可能是来自单个设备的，也可能是来自一群被控制的设备的。为了防御CC攻击，你可以考虑使用以下策略：1.使用反向代理服务器或CDN：这些服务器可以承担大部分流量，并将其转发到你的服务器。这样可以有效地减少攻击者能够直接攻击的流量。2.使用网络防火墙：可以使用网络防火墙来过滤掉来自指定
云防火墙和Web应用防火墙（WAF）区别快快小毛毛前端网络
随着互联网的进一步发展，Web应用防火墙（WAF）和云防火墙步入大家的视野。防火墙针对web应用拥有很好的保护作用，由硬件和软件组合，在内部网和外部网、专用网和公共网之间形成一道强有力的保护屏障，使用者可配置不同保护级别的防火墙，高级别的保护会阻止运营一些服务。那么，我们如何理解这两种防火墙，他们有什么区别？一、web防火墙Web应用防火墙,属于硬件级别防火墙（WebApplicationFire
若依后端正常启动但是uniapp移动端提示后端接口异常大可大可抖 uni-app
pc端能用模拟器也能正常连接接口，手机端真机调试连不上接口解决：1.先看config.js的填自己的ip地址module.exports={//baseUrl:'https://vue.ruoyi.vip/prod-api',baseUrl:"http://192.168.101.5:8080",}2.网络环境问题（防火墙）点击属性然后选择专用
华为USG6000E-S12防火墙Key exchange failed.无法SSH解决方案 redmond88 网络技术 ssh 华为运维
由于目前防火墙算法太新，导致crt和xshell的版本无法登陆，按以下方法解决一、下载华为本地加载除弱安全算法组件包之外的组件包https://download.csdn.net/download/redmond88/89620664?spm=1001.2014.3001.5503二、先改后缀名为.cfg,上传文件到防火墙三、在用户视图下改后缀名为.mod四、move文件到$_install_mo
adb有线连接正常，adb connect失败 cheri-- adb android
adbconnect失败1.确认两个设备在同一个局域网2.确认此网络是否有adb连接的权限(有的公司网络不允许adb)3.确认防火墙设置如果前面3步都确认没问题，Pingip也能成功，那么有可能就是端口的问题:step1：先用有线连接设备，执行adbtcpip5555step2:拔掉有线step3:adbconnect192.168.1.105这样大概率就能成功了
snmp v2 trap搭建监控端小黑要上天 snmp linux 服务器 centos 运维 snmp
1.基础环境配置为了防止防火墙及selinux等的影响，需关闭防火墙及selinux等，具体参考：Linux常规基础配置_linux基础配置-CSDN博客2.安装snmpyum源配置，具体参考：Linux常规基础配置_linux基础配置-CSDN博客snmp安装命令：yuminstall-ynet-snmpnet-snmp-utils[root@kibana~]#yuminstall-ynet-s
【VSCode扩展】通义灵码运行提示“此应用无法在你的电脑上运行” coderYYY VSCode bug解决方案前端 vue.js 编辑器 visual studio vscode
作者：coderYYY个人简介：前端程序媛，目前主攻web前端，后端辅助，其他技术知识也会偶尔分享欢迎和我一起交流！（评论和私信一般会回！！）个人专栏推荐：《前端项目教程以及代码》自从半月前，通义灵码一运行就会报这个错尝试了以下方法，都无法解决：阿里云官方方法：删除c盘的.lingma卸载重新安装通义灵码以管理员身份运行VSCode防火墙设置准入安装之前的版本最后是在扩展设置里面解决的路径不填也可
流量牵引技术与传统防火墙的区别 666IDCaaa ddos
在网络安全领域，流量牵引技术和传统防火墙都起着重要的作用，但它们在很多方面存在着明显的区别。一、工作原理不同传统防火墙主要是通过设置访问控制规则来过滤网络流量。它基于预先设定的策略，对进入和离开网络的数据包进行检查，根据源地址、目的地址、端口号等信息决定是否允许数据包通过。例如，企业可以设置防火墙规则，只允许特定IP地址的设备访问内部网络资源，或者禁止某些端口的流量进入，以防止潜在的攻击。而流量牵
mariadb主从配置步骤秋月霜风其他知识标记 mariadb android adb
mariadb主从配置步骤配置开始前注意关闭主从服务器的防火墙或者确保主从服务器之间数据库通信正常；主服务器（主IP）配置a.编辑主服务器的MariaDB配置文件：sudovim/etc/my.cnf.d/mariadb-server.cnfb.在[mysqld]部分添加或修改以下内容：[mysqld]server-id=1log-bin=/var/log/mariadb/mysql-binbin
如何提高网络安全意识亿林网络安全事业部网络 web安全安全
提升网络安全意识的方法提升网络安全意识是个人和企业都需要重视的问题。以下是一些有效的方法：加强教育和培训：通过参加网络安全培训课程，学习识别网络攻击的常见迹象、安全密码的设置、不点击可疑链接等知识。建立网络安全政策：制定个人网络安全规则，如定期更改密码、不在公共网络上进行敏感操作等。定期更新系统：保持操作系统和软件程序的最新状态，及时修补安全漏洞。加强网络防护：使用防火墙、反病毒软件、入侵检测系统
linux网关端口映射,如何通过具有Iptables的Linux网关转发端口映射？想写小说的轻骑兵 linux网关端口映射
NAT或网络地址转换是用于处理数据包以便将其重定向到备用地址的通用术语。通常，这用于允许流量超越网络边界。实现NAT的主机通常可以访问两个或多个网络，并配置为在它们之间路由流量。端口转发是将对特定端口的请求转发到另一个主机，网络或端口的过程。由于此过程在运行中修改了数据包的目的地，因此被认为是NAT操作的一种。在本指南中，我们将演示如何iptables使用NAT技术将端口转发到防火墙后面的主机。如
linux 端口数据转发,Linux iptables 端口转发文静的妹子 linux 端口数据转发
准备：1，UDP端口范围映射2，tcp端口范围映射3，本机端口转发4，单个端口转发准备：打开转发[root@CentOS~]#cat/etc/sysctl.conf|grepnet.ipv4.ip_forwardnet.ipv4.ip_forward=1清空规则，修改默认策略，重要数据请备份[root@CentOS~]#iptables-F-tnat[root@CentOS~]#iptables-
【Linux入门】iptables的安装与配置应用实例 Karoku066 linux 网络运维服务器 bash
文章目录iptables安装与配置安装iptablesiptables配置方法iptables命令行配置方法iptables规则匹配详细整理1.通用匹配2.隐含匹配显式匹配（扩展匹配）1.多端口匹配2.IP范围匹配3.MAC地址匹配4.状态匹配SNAT与DNATSNAT（源网络地址转换）原理与应用SNAT应用环境SNAT原理SNAT转换前提条件SNAT转换示例DNAT（目标网络地址转换）原理与应用
网络安全要点总结大嘴巴子计算机网络 web安全安全
1.入侵检测与防御：1）入侵检测与系统IDS(intrusiondetectionsystem):防火墙之后的第二道闸门；IDS的部署：采用镜像端口或者集线器方式；部署在：服务器交换机上，internet接入路由器后面的第一台交换机上；IRSintrusionresponsesystem入侵响应系统：2）.IPS（intrusionpreventionsystem）:入侵防御系统；检测并中断；检测
【npm】解决npm安装慢问题逆旅行天涯 npm 前端 node.js
在Node.js开发过程中，npminstall是安装和管理项目依赖的关键命令。然而，有时我们会遇到npminstall运行卡住不动的情况，这通常与网络连接、NPM源的可用性和速度、资源下载超时等因素有关。本文将为你提供七种解决方案，帮助你顺利进行依赖安装。1.检查网络状况首要任务是确保您的计算机具有稳定的网络连接，并能无障碍访问外部资源。如果是在公司或校园内网环境下，检查是否存在防火墙限制或代理
Linux 禁ping和开启ping操作赶路人儿 linux linux ping
Linux禁ping和开启ping操作：#echo1>/proc/sys/net/ipv4/icmp_echo_ignore_all如果要恢复，只要：#echo0>/proc/sys/net/ipv4/icmp_echo_ignore_all即可，挺方便，不要去专门使用ipchains或者iptables了。或者用以下方法也可以，异曲同工。以root进入Linux系统，然后编辑文件icmp_ech
SonicWall SSL VPN曝出高危漏洞，可能导致防火墙崩溃 FreeBuf- 资讯 ssl web安全安全
近日，有黑客利用SonicWallSonicOS防火墙设备中的一个关键安全漏洞入侵受害者的网络。这个不当访问控制漏洞被追踪为CVE-2024-40766，影响到第5代、第6代和第7代防火墙。SonicWall于8月22日对其进行了修补，并警告称其只影响防火墙的管理访问界面。然而，SonicWall上周五（9月6日）透露，该安全漏洞还影响了防火墙的SSLVPN功能，且已被黑客用以网络攻击。该公司提醒
k8s防火墙networkPolicy，的核心是“自己” 技术服务于生态 kubernetes linux 网络
k8s防火墙的核心是“自己”这个“自己”，包括两层含义1.“我”是哪个名称空间的2.“我”是这个名称空间的哪些pod设置防火墙选择好核心之后看是允许哪些流量来访问我，就是ingressfrom，从哪进来的，你是谁？1.从哪个端口进来的，就设置ports，具体port包括端口号和协议号，比如tcp/802.从哪个名称空间进来的，就设置namespaceSelector，具体名称空间用其标签指定mat
Ubuntu系统nginx和uwsgi常用命令(部署网站相关命令) 我不是大佬zvj ubuntu linux 运维
以下是我自己在学习使用Ubuntu操作系统部署pythonflask和django网站时常用的命令，作为学习笔记，记录一下，写的比较简单，还有啥需要补充的话欢迎留言。路径相关#进入项目路径cd /var/www/html/Podcaster#nginx配置文件路径‏/etc/nginx/sites-enabled/‌‍default防火墙#查看已经开放的端口sudoufwstatus#打开端口su
使用kubeadm部署k8s集群 theo.wu kubernetes 容器云原生
1、简介K8s部署主要有两种方式：1、KubeadmKubeadm是一个K8s部署工具，提供kubeadminit和kubeadmjoin，用于快速部署Kubernetes集群。2、二进制从github下载发行版的二进制包，手动部署每个组件，组成Kubernetes集群。本文通过kudeadm的方式在centos7上安装kubernetes集群。2、环境准备（1）初始化配置#关闭防火墙system
Web应用防火墙 Smile灬凉城666 网络安全 WAF 安全
一、定义与目的WAF是一种特殊类型的防火墙，专门设计用于监视、过滤和阻挡进出Web应用的HTTP流量。其主要目的是保护Web应用免受如XSS（跨站脚本）、SQL注入、会话劫持等网络攻击。二、工作原理WAF工作在应用层，即OSI模型的第七层。它通过对HTTP/HTTPS请求进行解析、协议检测、攻击识别和恶意行为阻断等步骤来保护Web应用。具体来说，WAF会解析进入Web应用的HTTP/HTTPS请求
pip 阿里云镜像报错 certificate verify failed: unable to get local issuer certificate Xheng1934 pip 阿里云
在没有管理员身份，且有防火墙限制的电脑上，pip安装python库包失败。但是在普通的电脑上安装正常。报错内容如下：(SSS_web)C:\Users\HXAIYVQ>pipinstallflask-ihttps://mirrors.aliyun.com/pypi/simple/Lookinginindexes:https://mirrors.aliyun.com/pypi/simple/WA
mysql 双主脑裂_mysql双主+keepalived weixin_39789206 mysql 双主脑裂
环境OS：centos7Mysql版本：mysql5.7Keepalived:keepalived-1.2.20Mysql-vip:192.168.41.100Mysql-master1:192.168.41.10Mysql-master2:192.168.41.11实验环境关闭防火墙规则firewall-cmd一、配置两台mysql互为主从该过程的第一部分就是master记录二进制日志。在每个事
k8s防火墙networkPolicy，其他规则和端口规则ports的匹配顺序，进站策略ingress和出站策略egress中，ports规则的常用方法。技术服务于生态 kubernetes 服务器 linux
端口策略和其他策略的顺序关系是什么一共四个策略ipBlockpodSelectornamespaceSlector------------------portsports这个策略，和前面三个不同什么不同匹配顺序不同在网络通信OSI七层模型中一个数据包从A到BB接收到数据包是先看ip选择是否接收如果接收才会拆包看ip报文里面封装的TCP/UDP报文中的端口号如果不接收，就不会有检测端口号的操作，因为
Windows和浏览器的命令与快捷键伍嘉源 Windows windows
Windows和浏览器的命令与快捷键一、运行常用命令二、cmd常用命令（cmd的命令是运行的命令的超集）三、Windows快捷键1、Win键2、Ctrl键3、Alt键4、F键四、浏览器快捷键五、关闭Windows防火墙、安全中心和自动更新一、运行常用命令1.基本命令cmd打开命令提示符（cmd命令行控制台）control打开控制面板regedit打开注册表编辑器2.打开系统自带工具mspaint打
ufw命令教程:在Ubuntu系统下使用ufw开放端口 shelby_loo ubuntu 服务器运维
最近玩阿贝云的免费云服务器,1核1G内存10G硬盘5M带宽,配置虽小但完全够用搞些轻量级项目。今天跟大家分享下在Ubuntu系统下如何使用ufw开放端口。我们都知道,防火墙默认是关闭的,如果需要外部访问服务器提供的服务,就需要开放相应的端口。首先检查下ufw状态:sudoufwstatus如果返回“inactive”,表示ufw未启用。我们先启用它:sudoufwenable然后添加规则开放指定端
java.net.ConnectException: Connection refused`异常的正确解决方法，亲测有效，嘿嘿嘿代码无疆 Java百宝箱 java 开发语言
java.net.ConnectException:Connectionrefused异常通常在尝试建立网络连接时遇到，特别是当客户端试图连接到服务器时，而服务器没有在指定的端口上监听，或者服务器防火墙/安全组规则阻止了连接。以下是对这个异常的详细分析、报错原因、解决思路以及解决方法的说明。问题分析当Java应用程序尝试通过网络套接字（Socket）连接到远程服务器时，如果在目标地址和端口上没有找
Linux防火墙，常用的三个命令风雪山神喵
https://blog.csdn.net/weixin_38492591/article/details/78474310关闭某个端口的防火墙firewall-cmd--zone=public--add-port=80/tcp--permanent重启防火墙，让关闭防火墙的操作生效firewall-cmd--reload查看防火墙列表信息firewall-cmd--list-all
MySQL主从复制架构（异步复制）蜜糖伴午茶 mysql 架构数据库
目录一、主从复制的原理编辑二、主从复制的作用三、实验准备四、实验过程1、关闭master和slave上的防火墙和selinux2、在master服务器上开启二进制日志3、新建授权用户，用来让slave服务器去master服务器上获取二进制日志4、在master服务器上刷新二进制日志，方便slave服务器记录和获取当前的位置号5、在主从复制之前，保证master和slave上的数据是一致的6、在sl
js动画html标签（持续更新中） 843977358 html js 动画 media opacity
1.jQuery 效果 - animate() 方法改变 "div" 元素的高度： $(".btn1").click(function(){ $("#box").animate({height:"300px
springMVC学习笔记 caoyong springMVC
1、搭建开发环境 a>、添加jar文件，在ioc所需jar包的基础上添加spring-web.jar,spring-webmvc.jar b>、在web.xml中配置前端控制器 <servlet> &nbs
POI中设置Excel单元格格式 107x poi style 列宽合并单元格自动换行
引用：http://apps.hi.baidu.com/share/detail/17249059 POI中可能会用到一些需要设置EXCEL单元格格式的操作小结：先获取工作薄对象: HSSFWorkbook wb = new HSSFWorkbook(); HSSFSheet sheet = wb.createSheet(); HSSFCellStyle setBorder = wb.
jquery 获取A href 触发js方法的this参数无效的情况一炮送你回车库 jquery
html如下： <td class=\"bord-r-n bord-l-n c-333\"> <a class=\"table-icon edit\" onclick=\"editTrValues(this);\">修改</a> </td>" j
md5 3213213333332132 MD5
import java.security.MessageDigest; import java.security.NoSuchAlgorithmException; public class MDFive { public static void main(String[] args) { String md5Str = "cq
完全卸载干净Oracle11g sophia天雪 orale数据库卸载干净清理注册表
完全卸载干净Oracle11g A、存在OUI卸载工具的情况下：第一步：停用所有Oracle相关的已启动的服务；第二步：找到OUI卸载工具：在“开始”菜单中找到“oracle_OraDb11g_home”文件夹中 &
apache 的access.log 日志文件太大如何解决 darkranger apache
CustomLog logs/access.log common 此写法导致日志数据一致自增变大。直接注释上面的语法 #CustomLog logs/access.log common 增加： CustomLog "|bin/rotatelogs.exe -l logs/access-%Y-%m-d.log
Hadoop单机模式环境搭建关键步骤 aijuans 分布式
Hadoop环境需要sshd服务一直开启，故，在服务器上需要按照ssh服务，以Ubuntu Linux为例，按照ssh服务如下： sudo apt-get install ssh sudo apt-get install rsync 编辑HADOOP_HOME/conf/hadoop-env.sh文件，将JAVA_HOME设置为Java
PL/SQL DEVELOPER 使用的一些技巧 atongyeye java sql
1 记住密码这是个有争议的功能，因为记住密码会给带来数据安全的问题。但假如是开发用的库，密码甚至可以和用户名相同，每次输入密码实在没什么意义，可以考虑让PLSQL Developer记住密码。位置：Tools菜单－－Preferences－－Oracle－－Logon HIstory－－Store with password 2 特殊Copy 在SQL Window
PHP：在对象上动态添加一个新的方法 bardo 方法动态添加闭包
有关在一个对象上动态添加方法，如果你来自Ruby语言或您熟悉这门语言，你已经知道它是什么...... Ruby提供给你一种方式来获得一个instancied对象，并给这个对象添加一个额外的方法。好！不说Ruby了，让我们来谈谈PHP PHP未提供一个“标准的方式”做这样的事情，这也是没有核心的一部分... 但无论如何，它并没有说我们不能做这样
ThreadLocal与线程安全 bijian1013 java java多线程 threadLocal
首先来看一下线程安全问题产生的两个前提条件： 1.数据共享，多个线程访问同样的数据。 2.共享数据是可变的，多个线程对访问的共享数据作出了修改。实例：定义一个共享数据： public static int a = 0;
Tomcat 架包冲突解决征客丶 tomcat Web
环境： Tomcat 7.0.6 win7 x64 错误表象：【我的冲突的架包是：catalina.jar 与 tomcat-catalina-7.0.61.jar 冲突，不知道其他架包冲突时是不是也报这个错误】严重: End event threw exception java.lang.NoSuchMethodException: org.apache.catalina.dep
【Scala三】分析Spark源代码总结的Scala语法一 bit1129 scala
Scala语法 1. classOf运算符 Scala中的classOf[T]是一个class对象，等价于Java的T.class,比如classOf[TextInputFormat]等价于TextInputFormat.class 2. 方法默认值 defaultMinPartitions就是一个默认值，类似C++的方法默认值
java 线程池管理机制 BlueSkator java线程池管理机制
编辑 Add Tools jdk线程池一、引言第一：降低资源消耗。通过重复利用已创建的线程降低线程创建和销毁造成的消耗。第二：提高响应速度。当任务到达时，任务可以不需要等到线程创建就能立即执行。第三：提高线程的可管理性。线程是稀缺资源，如果无限制的创建，不仅会消耗系统资源，还会降低系统的稳定性，使用线程池可以进行统一的分配，调优和监控。
关于hql中使用本地sql函数的问题（问-答） BreakingBad HQL 存储函数
转自于：http://www.iteye.com/problems/23775 问：我在开发过程中，使用hql进行查询（mysql5）使用到了mysql自带的函数find_in_set()这个函数作为匹配字符串的来讲效率非常好，但是我直接把它写在hql语句里面（from ForumMemberInfo fm,ForumArea fa where find_in_set(fm.userId,f
读《研磨设计模式》-代码笔记-迭代器模式-Iterator bylijinnan java 设计模式
声明：本文只为方便我个人查阅和理解，详细的分析以及源代码请移步原作者的博客http://chjavach.iteye.com/ import java.util.Arrays; import java.util.List; /** * Iterator模式提供一种方法顺序访问一个聚合对象中各个元素，而又不暴露该对象内部表示 * * 个人觉得，为了不暴露该
常用SQL chenjunt3 oracle sql C++c C#
--NC建库 CREATE TABLESPACE NNC_DATA01 DATAFILE 'E:\oracle\product\10.2.0\oradata\orcl\nnc_data01.dbf' SIZE 500M AUTOEXTEND ON NEXT 50M EXTENT MANAGEMENT LOCAL UNIFORM SIZE 256K ; CREATE TABLESPA
数学是科学技术的语言 comsci 工作活动领域模型
从小学到大学都在学习数学，从小学开始了解数字的概念和背诵九九表到大学学习复变函数和离散数学，看起来好像掌握了这些数学知识，但是在工作中却很少真正用到这些知识，为什么？最近在研究一种开源软件-CARROT2的源代码的时候，又一次感觉到数学在计算机技术中的不可动摇的基础作用，CARROT2是一种用于自动语言分类（聚类）的工具性软件，用JAVA语言编写，它
Linux系统手动安装rzsz 软件包 daizj linux sz rz
1、下载软件 rzsz-3.34.tar.gz。登录linux，用命令 wget http://freeware.sgi.com/source/rzsz/rzsz-3.48.tar.gz下载。 2、解压 tar zxvf rzsz-3.34.tar.gz 3、安装 cd rzsz-3.34 ; make posix 。注意：这个软件安装与常规的GNU软件不
读源码之:ArrayBlockingQueue dieslrae java
ArrayBlockingQueue是concurrent包提供的一个线程安全的队列,由一个数组来保存队列元素.通过 takeIndex和 putIndex来分别记录出队列和入队列的下标,以保证在出队列时不进行元素移动. //在出队列或者入队列的时候对takeIndex或者putIndex进行累加,如果已经到了数组末尾就又从0开始,保证数
C语言学习九枚举的定义和应用 dcj3sjt126com c
枚举的定义 # include <stdio.h> enum WeekDay { MonDay, TuesDay, WednesDay, ThursDay, FriDay, SaturDay, SunDay }; int main(void) { //int day; //day定义成int类型不合适 enum WeekDay day = Wedne
Vagrant 三种网络配置详解 dcj3sjt126com vagrant
Forwarded port Private network Public network Vagrant 中一共有三种网络配置，下面我们将会详解三种网络配置各自优缺点。端口映射(Forwarded port)，顾名思义是指把宿主计算机的端口映射到虚拟机的某一个端口上，访问宿主计算机端口时，请求实际是被转发到虚拟机上指定端口的。Vagrantfile中设定语法为： c
16.性能优化-完结 frank1234 性能优化
性能调优是一个宏大的工程，需要从宏观架构(比如拆分，冗余，读写分离，集群，缓存等)，软件设计（比如多线程并行化，选择合适的数据结构），数据库设计层面（合理的表设计，汇总表，索引，分区，拆分，冗余等）以及微观（软件的配置，SQL语句的编写，操作系统配置等）根据软件的应用场景做综合的考虑和权衡，并经验实际测试验证才能达到最优。性能水很深，笔者经验尚浅，赶脚也就了解了点皮毛而已，我觉得
Word Search hcx2013 search
Given a 2D board and a word, find if the word exists in the grid. The word can be constructed from letters of sequentially adjacent cell, where "adjacent" cells are those horizontally or ve
Spring4新特性——Web开发的增强 jinnianshilongnian spring spring mvc spring4
Spring4新特性——泛型限定式依赖注入 Spring4新特性——核心容器的其他改进 Spring4新特性——Web开发的增强 Spring4新特性——集成Bean Validation 1.1(JSR-349)到SpringMVC Spring4新特性——Groovy Bean定义DSL Spring4新特性——更好的Java泛型操作API Spring4新
CentOS安装配置tengine并设置开机启动 liuxingguome centos
yum install gcc-c++ yum install pcre pcre-devel yum install zlib zlib-devel yum install openssl openssl-devel Ubuntu上可以这样安装 sudo aptitude install libdmalloc-dev libcurl4-opens
第14章工具函数（上） onestopweb 函数
index.html <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/
Xelsius 2008 and SAP BW at a glance blueoxygen BO Xelsius
Xelsius提供了丰富多样的数据连接方式，其中为SAP BW专属提供的是BICS。那么Xelsius的各种连接的优缺点比较以及Xelsius是如何直接连接到BEx Query的呢？以下Wiki文章应该提供了全面的概览。 http://wiki.sdn.sap.com/wiki/display/BOBJ/Xcelsius+2008+and+SAP+NetWeaver+BW+Co
oracle表空间相关 tongsh6 oracle
在oracle数据库中，一个用户对应一个表空间，当表空间不足时，可以采用增加表空间的数据文件容量，也可以增加数据文件，方法有如下几种： 1.给表空间增加数据文件 ALTER TABLESPACE "表空间的名字" ADD DATAFILE '表空间的数据文件路径' SIZE 50M; &nb
.Net framework4.0安装失败 yangjuanjava .net windows
上午的.net framework 4.0，各种失败，查了好多答案，各种不靠谱，最后终于找到答案了和Windows Update有关系，给目录名重命名一下再次安装，即安装成功了！下载地址：http://www.microsoft.com/en-us/download/details.aspx?id=17113 方法： 1.运行cmd，输入net stop WuAuServ 2.点击开

iptables详解之filter

iptables详解之filter

一、iptables格式

1.1、iptables 帮助

1.2、iptables 格式

二、iptables表

三、iptables命令

3.1、查看iptables规则

3.2、链管理

3.2.1、-N 新建链

3.2.2、-X 删除链

3.2.3、-E 重命名

3.2.4、-P 默认策略

3.3、规则管理

3.3.1、-A 追加规则

3.3.2、-R 替换规则

I'm Note1

3.3.3、-I 插入规则

3.3.4、-D 删除规则

3.3.4.1、指明规则序号

3.3.4.2、 指明规则本身

3.3.5、-Z 置零

3.3.6、-F 清空规则链

四、iptables匹配条件

4.1、基本匹配条件

4.2、扩展匹配条件

4.2.1、隐式扩展

4.2.1.1、tcp

4.2.1.2、udp

4.2.1.3、icmp

icmp type

4.2.2、显式扩展

4.2.2.1、multiport

4.2.2.2、iprange

4.2.2.3、time

4.2.2.4、string

4.2.2.5、connlimit

4.2.2.6、limit

4.2.2.7、state

五、处理动作

5.1、基本处理动作

5.2、扩展处理动作

5.2.1、REJECT 拒绝

5.2.2、LOG 日志

5.2.3、RETURN 返回

5.3、自定义链作为target

六、保存、重载

CentOS6

CentOS7

七、规则优化

你可能感兴趣的:(iptables,防火墙)

3.3.4.2、指明规则本身