一、鏈的基本操作

創(chuàng)新互聯(lián)建站自2013年創(chuàng)立以來，先為開州等服務(wù)建站，開州等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢服務(wù)。為開州企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問題。

1、清除所有的規(guī)則。

1）清除預(yù)設(shè)表filter中所有規(guī)則鏈中的規(guī)則。

# iptables -F 

  清除鏈中的所有規(guī)則，如果在之前運(yùn)行了iptables -P INPUT -j DROP/ACCEPT 剛無法清除此默認(rèn)

2）清除預(yù)設(shè)表filter中使用者自定鏈中的規(guī)則。

# iptables -X　[chain-name

2、設(shè)置鏈的默認(rèn)策略。一般有兩種方法。

1）首先允許所有的包，然后再禁止有危險(xiǎn)的包通過放火墻。

# iptables -P INPUT ACCEPT 
OUTPUT
FORWARD

2）首先禁止所有的包，然后根據(jù)需要的服務(wù)允許特定的包通過防火墻。

# iptables -P INPUT DROP
OUTPUTDROP
FORWARDDROP

3、列出表/鏈中的所有規(guī)則。默認(rèn)只列出filter表。

# iptables -L 

4、向鏈中添加規(guī)則。下面的語(yǔ)句用于開放網(wǎng)絡(luò)接口：

# iptables -A INPUT -i lo -j ACCEPT 
OUTPUT
OUTPUT
FORWARD
FORWARD

注意:由于本地進(jìn)程不會(huì)經(jīng)過FORWARD鏈，因此回環(huán)接口lo只在INPUT和OUTPUT兩個(gè)鏈上作用。

5、使用者自定義鏈。

# iptables -N custom 
DROP
DROP

二、設(shè)置基本的規(guī)則匹配

1、指定協(xié)議匹配。

1）匹配指定協(xié)議。

# iptables -A INPUT -p tcp 

2）匹配指定協(xié)議之外的所有協(xié)議。

# iptables -A INPUT -p !tcp 

2、指定地址匹配。

1）指定匹配的主機(jī)。

# iptables -A INPUT -s 192.168.0.2 

2）指定匹配的網(wǎng)絡(luò)。

# iptables -A INPUT -s 192.168.2.0/24 

3）匹配指定主機(jī)之外的地址。

# iptables -A FORWARD

4）匹配指定網(wǎng)絡(luò)之外的網(wǎng)絡(luò)。

# iptables -A FORWARD

3、指定網(wǎng)絡(luò)接口匹配。

1）指定單一的網(wǎng)絡(luò)接口匹配。

# iptables -A INPUT -i eth0 
FORWARD

2）指定同類型的網(wǎng)絡(luò)接口匹配。

# iptables -A FORWARD

4、指定端口匹配。

1）指定單一端口匹配。

# iptables -A INPUT -p tcp --sport www

2）匹配指定端口之外的端口。

# iptables -A INPUT -p tcp –dport !22 

3）匹配端口范圍。

# iptables -A INPUT -p tcp –sport 22:80 

4）匹配ICMP端口和ICMP類型。

# iptables -A INOUT -p icmp –icimp-type 8 

5）指定ip碎片。

每個(gè)網(wǎng)絡(luò)接口都有一個(gè)MTU（大傳輸單元），這個(gè)參數(shù)定義了可以通過的數(shù)據(jù)包的大尺寸。如果一個(gè)數(shù)據(jù)包大于這個(gè)參數(shù)值時(shí)，系統(tǒng)會(huì)將其劃分成更小的數(shù)據(jù)包（稱為ip碎片）來傳輸，而接受方則對(duì)這些ip碎片再進(jìn)行重組以還原整個(gè)包。這樣會(huì)導(dǎo)致一個(gè)問題：當(dāng)系統(tǒng)將大數(shù)據(jù)包劃分成ip碎片傳輸時(shí)，第一個(gè)碎片含有完整的包頭信息（IP+TCP、UDP和ICMP），但是后續(xù)的碎片只有包頭的部分信息（如源地址、目的地址）。因此，檢查后面的ip碎片的頭部（象有TCP、UDP和ICMP一樣）是不可能的。假如有這樣的一條規(guī)則：

# iptables -A FORWARD

并且這時(shí)的FORWARD的policy為DROP時(shí)，系統(tǒng)只會(huì)讓第一個(gè)ip碎片通過，而余下的碎片因?yàn)榘^信息不完整而無法通過?？梢酝ㄟ^—fragment/-f 選項(xiàng)來指定第二個(gè)及以后的ip碎片解決上述問題。

# iptables -A FORWARD

注意現(xiàn)在有許多進(jìn)行ip碎片***的實(shí)例，如DoS***，因此允許ip碎片通過是有安全隱患的，對(duì)于這一點(diǎn)可以采用iptables的匹配擴(kuò)展來進(jìn)行限制。

三、設(shè)置擴(kuò)展的規(guī)則匹配（舉例已忽略目標(biāo)動(dòng)作）

1、多端口匹配。

1）匹配多個(gè)源端口。

# iptables -A INPUT -p tcp -m multiport –sport 22,53,80,110 

2）匹配多個(gè)目的端口。

# iptables -A INPUT -p tcp -m multiport –dpoort 22,53,80 

3）匹配多端口(無論是源端口還是目的端口）

# iptables -A INPUT -p tcp -m multiport –port 22,53,80,110 

2、指定TCP匹配擴(kuò)展

使用 –tcp-flags 選項(xiàng)可以根據(jù)tcp包的標(biāo)志位進(jìn)行過濾。

# iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN 
ALL

上實(shí)例中第一個(gè)表示SYN、ACK、FIN的標(biāo)志都檢查，但是只有SYN匹配。第二個(gè)表示ALL（SYN，ACK，F(xiàn)IN，RST，URG，PSH）的標(biāo)志都檢查，但是只有設(shè)置了SYN和ACK的匹配。

# iptables -A FORWARD--syn

選項(xiàng)—syn相當(dāng)于”--tcp-flags SYN,RST,ACK SYN”的簡(jiǎn)寫。

3、limit速率匹配擴(kuò)展。

1）指定單位時(shí)間內(nèi)允許通過的數(shù)據(jù)包個(gè)數(shù)，單位時(shí)間可以是/second、/minute、/hour、/day或使用第一個(gè)子母。

# iptables -A INPUT -m limit --limit 300/hour

2 )指定觸發(fā)事件的閥值。

# iptables -A INPUT -m limit –limit-burst 10  

用來比對(duì)一次同時(shí)涌入的封包是否超過10個(gè)，超過此上限的包將直接丟棄。

3）同時(shí)指定速率限制和觸發(fā)閥值。

# iptables -A INPUT -p icmp -m limit –-limit 3/m –limit-burst 3 

表示每分鐘允許的大包數(shù)量為限制速率（本例為3）加上當(dāng)前的觸發(fā)閥值burst數(shù)。任何情況下，都可保證3個(gè)數(shù)據(jù)包通過，觸發(fā)閥值burst相當(dāng)于允許額外的包數(shù)量。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝
對(duì)端口限速的例子

# vim control_flow.sh 

#!/bin/bash 
--dport 8080 -m limit --limit 800/s  -j ACCEPT
--dport 8080 -j DROP

＝＝＝＝＝＝＝＝＝＝＝＝＝＝

4）基于狀態(tài)的匹配擴(kuò)展（連接跟蹤）

每個(gè)網(wǎng)絡(luò)連接包括以下信息：源地址、目標(biāo)地址、源端口、目的端口，稱為套接字對(duì)（socket pairs）；協(xié)議類型、連接狀態(tài)（TCP協(xié)議）

和超時(shí)時(shí)間等。防火墻把這些信息稱為狀態(tài)（stateful）。狀態(tài)包過濾防火墻能在內(nèi)存中維護(hù)一個(gè)跟蹤狀態(tài)的表，比簡(jiǎn)單包過濾防火墻具有更大的安全性，命令格式如下：

# iptables -m state –-state [!]state [,state,state,state] 

其中，state表是一個(gè)逗號(hào)分割的列表，用來指定連接狀態(tài)，4種：

>NEW: 該包想要開始一個(gè)新的連接（重新連接或連接重定向）

>RELATED:該包是屬于某個(gè)已經(jīng)建立的連接所建立的新連接。舉例：

FTP的數(shù)據(jù)傳輸連接和控制連接之間就是RELATED關(guān)系。

>ESTABLISHED：該包屬于某個(gè)已經(jīng)建立的連接。

>INVALID:該包不匹配于任何連接，通常這些包被DROP。

例如：

（1）在INPUT鏈添加一條規(guī)則，匹配已經(jīng)建立的連接或由已經(jīng)建立的連接所建立的新連接。即匹配所有的TCP回應(yīng)包。

# iptables -A INPUT -m state –state RELATED,ESTABLISHED 

（2）在INPUT鏈鏈添加一條規(guī)則，匹配所有從非eth0接口來的連接請(qǐng)求包。

# iptables -A INPUT -m state -–state NEW -i !eth0 

又如，對(duì)于ftp連接可以使用下面的連接跟蹤：

（1）被動(dòng)（Passive）ftp連接模式。

# iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state –-state ESTABLISHED -j ACCEPT
OUTPUT--sport 1024: --dport 1024: -m state -–state ESTABLISHED,RELATED -j ACCEPT

（2）主動(dòng)（Active）ftp連接模式

# iptables -A INNPUT -p tcp --sport 20 -m state –-state ESTABLISHED,RELATED -j ACCEPT
OUTPUTOUTPUT--state ESTABLISHED -j ACCEPT
 

5）TOS匹配擴(kuò)展。

四、設(shè)置目標(biāo)擴(kuò)展

目標(biāo)擴(kuò)展由內(nèi)核模塊組成，而且iptables的一個(gè)可選擴(kuò)展提供了新的命令行選項(xiàng)。
========================================================

#!/bin/bash

#Flush all policy and add default policy
iptables -F
iptables -t filter -P INPUT DROP

#Open port 80 and limit rate from 80
iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 80 -m limit --limit 800/s  -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 80 -j DROP

#Open port 22 only for 192.168.2.45
iptables -t filter -A INPUT -s 192.168.2.45 -p tcp --dport 22 -j ACCEPT
# iptables -t filter -A INPUT -s ! 192.168.2.45 -p tcp --dport 22 -j DROP

#Open the protocal icmp for all users
iptables -t filter -A INPUT -p icmp -j ACCEPT

#Make sure this host can connect any hosts
iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

=======================================================

有時(shí)連入互連網(wǎng)的時(shí)候網(wǎng)關(guān)是動(dòng)態(tài)的不確定的.如adsl上網(wǎng)

iptables -t nat -A OUTPUT

另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時(shí)售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國(guó)服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡(jiǎn)單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢(shì)，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場(chǎng)景需求。

分享文章：iptables基本命令-創(chuàng)新互聯(lián)
文章位置：http://chinadenli.net/article36/cdjipg.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站營(yíng)銷、營(yíng)銷型網(wǎng)站建設(shè)、微信小程序、小程序開發(fā)、軟件開發(fā)、搜索引擎優(yōu)化

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)