Shell | iptables防火墙

iptables命令、iptables应用

iptables命令

安装yum install iptables iptables-services

iptables四个表：

• filter数据包过滤
• nat网络地址转换
• mangle包重构
• raw数据跟踪处理

iptables五个链：

• PREROUTING链
• POSTROUTING链
• INPUT链
• OUTPUT链
• FORWARD链

iptables连接状态：ESTABLISHED、NEW、RELATED、INVALID

data > PREROUTING - < Destination = localhost? >
    No - FORWARD(filter, mangle) \
        > POSTROUTING(nat, raw, mangle)
    Yes - INPUT(nat, mangle, raw) \
        > localhost > OUTPUT(filter, mangle) 
        > POSTROUTING(nat, raw, mangle)

规则制定

# 配置文件
/etc/sysconfig/iptables # iptables规则文件
/etc/sysconfig/iptables-config # iptables配置文件
/etc/sysconfig/iptables.old # iptables恢复文件

# 查看mangle表的规则
iptables -L -t mangle

# -A append | -I insert | -D delete | -R replace
iptables [-t 表名] <-A|I|D|R> 链名 [规则编号] 
    [-i|o 网卡名称] 
    [-p 协议类型]
    [-s 源IP] 
    [--sport 源端口] 
    [-d 目的IP] 
    [--dport 目的端口] <-j 动作> 

优先级，排队和优先级有关，排在越前，优先级越高，-I和-A的区别

# 清除所有策略
iptables -F

iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 22 -j REJECT
iptables -t filter -A INPUT -p icmp -s 172.17.0.0/24 -j DROP

启用模块

iptables -t filter -A INPUT \
    -p icmp \
    -s 172.17.0.0/24 \
    -j DROP \
    -m comment --comment "drop docker container connect"

# 限制每个IP同时发出80端口请求个数为30个
iptables -t filter -A INPUT \
    -p tcp \
    --dport 80 \
    -m connlimit -connlimit-above 30 -j DROP  
    
# 设置IP段
iptables -t filter -A INPUT \
    -m iprange -src-range 172.17.0.2-172.17.0.10 -j DROP       
    
# 基于MAC地址的过滤
iptables -t filter -A INPUT \
    -m mac -mac-source XX:XX:XX:XX:XX -j DROP                       

# 多个端口
iptables -t filter -A INPUT \
    -p tcp -m muluiport --dport 21,22,80,443 -j DROP                

# 状态过滤
iptables -t filter -A INPUT \
    -m state --state ESTABLISHED,RELATED -j DROP                    

# 数据包内容过滤
iptables -t filter -A FORWARD \
    -m string -algo bm -string baidu  -j DROP                     

# 同一个IP每小时只允许5次SSH连接
iptables -t filter -A INPUT \
    -p tcp \
    --dport 22 \
    -m state --state NEW \
    -m recent --name SSHPOOL \
    --rcheck --seconds 3600 --hitcount 5 -j DROP

iptables -t filter -A INPUT \
    -p tcp \
    --dport 22 \
    -m state --state NEW \
    -m recent --name SSHPOOL --set -j ACCEPT

iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT

iptables应用

为只提供web服务的服务器编写安全的访问规则

iptables -t filter -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -P INPUT DROP

ssh防护

#!/bin/bash
number=10
for i in \
  `awk '/Failed/{print $(NF-3)}' /var/log/secure \
    | sort \
    | uniq -c \
    | sort -rn | awk '{if ($1>$number){print $2}}'`
do
   iptables -t filter \
     -I INPUT \
     -p tcp \
     -s $i --dport 22 -j DROP
done

cc防护

# 允许单个IP的最大连接数为30
iptables -t filter -I INPUT \
  -p tcp --dport 80 \
  -m connlimit \
  --connlimit-above 50 -j REJECT

# 单个IP在60s内只允许新建10个连接
iptables -t filter -A INPUT \
  -p tcp \
  --dport 80 \
  -m recent \
  --name BAD_HTTP \
  --update --seconds 60 --hitcount 10 -j REJECT

iptables -t filter -A INPUT \
  -p tcp \
  --dport 80 \
  -m recent \
  --name BAD_HTTP --set -j ACCEPT