CentOS项目实例之九--防火墙端口配置

1. 防火墙配置

1.1. ZZSRV1

首先，需要对ZZSRV1的角色进行分析。它是主DNS、网站、DHCP服务器、时钟服务器。

我们决定不做出站限制，仅做入站限制，类似XP

查看当前配置

# iptables -L

Chain INPUT (policy ACCEPT)

target     prot opt source               destination

Chain FORWARD (policy ACCEPT)

target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination

将以下配置写入一个脚本文件，执行

# vi /root/myfw.sh

# Clear All iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT iptables -F iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 配置开放SSH的端口。 iptables -A INPUT -p tcp --dport 22 -j ACCEPT # Allow ping iptables -A INPUT -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT # 允许外部主机访问服务器上的web服务 iptables -A INPUT -p tcp --dport 80 -j ACCEPT # 允许外部对本机访问服务器上DNS服务 iptables -A INPUT -p udp --dport 53 -j ACCEPT iptables -A INPUT -p tcp --dport 53 -j ACCEPT # 允许外部对本机访问服务器上NTP服务 iptables -A INPUT -p udp --dport 123 -j ACCEPT # 允许外部对本机访问服务器上fTP服务 (active and passive) iptables -A INPUT -p tcp --dport 21 -j ACCEPT iptables -A INPUT -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT # DHCP服务器 iptables -A INPUT  -p udp --sport 67:68 --dport 67:68 -j ACCEPT # 默认规则 iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD DROP

# chmod +x /root/myfw.sh

# /root/myfw.sh

# iptables -L -n

Chain INPUT (policy DROP)

target  prot opt source     destination

ACCEPT  all  --  0.0.0.0/0  0.0.0.0/0  state RELATED,ESTABLISHED

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:22

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:80

ACCEPT  udp  --  0.0.0.0/0  0.0.0.0/0  udp dpt:53

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:53

ACCEPT  udp  --  0.0.0.0/0  0.0.0.0/0  udp dpt:123

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:21

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:20 state ESTABLISHED

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp spts:1024:65535 dpts:1024:65535 state RELATED,ESTABLISHED

ACCEPT  udp  --  0.0.0.0/0  0.0.0.0/0  udp spts:67:68 dpts:67:68

Chain FORWARD (policy DROP)

target     prot opt source     destination

Chain OUTPUT (policy ACCEPT)

target     prot opt source     destination

扫描TCP端口

C:\>nmap -sS -T 5 192.168.188.11

Starting Nmap 6.46 ( http://nmap.org ) at 2014-08-12 20:20 中国标准时间

Nmap scan report for www.bigcloud.local (192.168.188.11)

Host is up (0.00069s latency).

Not shown: 996 filtered ports

PORT   STATE SERVICE

21/tcp open  ftp

22/tcp open  ssh

53/tcp open  domain

80/tcp open  http

MAC Address: 00:0C:29:A4:2E:39 (VMware)

Nmap done: 1 IP address (1 host up) scanned in 7.06 seconds

扫描UDP端口

C:\>nmap -sU -T 5 192.168.188.11

Starting Nmap 6.46 ( http://nmap.org ) at 2014-08-12 20:21 中国标准时间

Nmap scan report for www.bigcloud.local (192.168.188.11)

Host is up (0.0010s latency).

Not shown: 998 open|filtered ports

PORT    STATE SERVICE

53/udp  open  domain

123/udp open  ntp

MAC Address: 00:0C:29:A4:2E:39 (VMware)

Nmap done: 1 IP address (1 host up) scanned in 6.82 seconds

Tip: 做实验的时候，可以使用以下命令来清除所有配置，从头来做

iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT iptables -F

RHEL 7(CetOS 7) 使用新的Firewalld来代替iptables。在本次实验中，采用的在启动时执行脚本来解决

# vi /etc/rc.local

在最后添加如下内容：

/root/myfw.sh