iptables

参考 http://www.cnblogs.com/kreo/p/4368811.html

参考 http://www.myhack58.com/Article/48/66/2013/36759.htm

相关文件

/etc/sysconfig/iptables-config

/etc/rc.d/init.d/iptables save

安装iptable iptable-service

#先检查是否安装了iptables
service iptables status
#安装iptables
yum install -y iptables
#升级iptables
yum update iptables 
#安装iptables-services
yum install iptables-services

禁用/停止自带的firewalld服务

#停止firewalld服务
systemctl stop firewalld
#禁用firewalld服务
systemctl mask firewalld

设置规则

#查看iptables现有规则
iptables -L -n
#先允许所有,不然有可能会杯具
iptables -P INPUT ACCEPT
#清空所有默认规则
iptables -F
#清空所有自定义规则
iptables -X
#所有计数器归0
iptables -Z
#允许来自于lo接口的数据包(本地访问)
iptables -A INPUT -i lo -j ACCEPT
#开放22端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#开放21端口(FTP)
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
#开放80端口(HTTP)
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#开放443端口(HTTPS)
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
#允许ping
iptables -A INPUT -p icmp -j ACCEPT
#允许接受本机请求之后的返回数据 RELATED,是为FTP设置的
iptables -A INPUT -m state --state  RELATED,ESTABLISHED -j ACCEPT
#其他入站一律丢弃
iptables -P INPUT DROP
#所有出站一律绿灯
iptables -P OUTPUT ACCEPT
#所有转发一律丢弃
iptables -P FORWARD DROP

完整设置脚本

#!/bin/sh
iptables -P INPUT ACCEPT
iptables -F
iptables -X
iptables -Z
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -p udp -m udp --sport 53 -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 53 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
service iptables save
systemctl restart iptables.service

相关问题

1. 设置默认规则

    // INPUT链默认都丢弃
    iptables -P INPUT DROP 
   

2. 上一步设置了默认不通过，现在就可以进一步设置白名单

    // 允许22端口访问，SSH
    iptables -A INPUT -p tcp --dport 22 -j ACCEPT
   
    // 允许80端口访问
    iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT
   
    // 允许来自远程DNS服务器53端口的数据包进站通过
    iptables -A INPUT -p udp -m udp --sport 53 -j ACCEPT
    
    // 进入本地服务器53端口的数据包进站通
    iptables -A INPUT -p udp -m udp --dport 53 -j ACCEPT
   

安全的iptables防火墙配置(只开通SSH,WEB,DNS服务)

iptables -F 清空所有规则链
iptables -X 删除特定手工设置的链
iptables -Z 清空计数器
iptables -P INPUT DROP //默认INPUT规则 丢弃
iptables -P OUTPUT DROP //默认OUTPUT规则 丢弃
iptables -P FORWARD DROP //默认FORWARD规则 丢弃
iptables -A INPUT -d 192.168.10.250 -p tcp -m tcp --dport 22 -j ACCEPT //开SSH服务进站端口
iptables -A INPUT -d 192.168.10.250 -p tcp -m tcp --dport 80 -j ACCEPT //开WEB服务进站端口
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT //允许本地环回数据
iptables -A INPUT -p udp -m udp --sport 53 -j ACCEPT  //来自远程DNS服务器53端口的数据包进站通过
iptables -A INPUT -p udp -m udp --dport 53 -j ACCEPT  //进入本地服务器53端口的数据包进站通过
iptables -A INPUT -d 192.168.10.250 -p icmp -j ACCEPT //ICPM数据包可进入本地服务器
         
iptables -A OUTPUT -s 192.168.10.250 -p tcp -m tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT //对SSH的服务进入的数据包开启出站端口
iptables -A OUTPUT -s 192.168.10.250 -p tcp -m tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT //对WEB的服务进入的数据包开启出站端口
iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT //允许本地环回数据
iptables -A OUTPUT -p udp -m udp --sport 53 -j ACCEPT  //从本地53端口出站的数据包出站通过
iptables -A OUTPUT -p udp -m udp --dport 53 -j ACCEPT  //去往远程DNS服务器53端口的数据包出站通过
iptables -A OUTPUT -s 192.168.10.250 -p icmp -j ACCEPT //对对方ICMP数据包回应(ping命令回应数据包)
service iptables save //保存配置信息
service iptables start //开启防火墙服务

注意

使用iptables,要注意暴露相应的对口，否则会出现各种奇怪的问题如ping不通，设置了DNS服务器，DNS还是解析不了情况。

    #清空所有默认规则
    iptables -F
    #清空所有自定义规则
    iptables -X

这种改变所有的命令都是极其危险的，如果一定要执行这样的命令，先做好备份吧。