linux防火牆規則

Linux中iptables設置詳細

 

無論如何，iptables是一個需要特別謹慎設置的東西，萬一服務器不在你身邊，而你貿然設置導致無法SSH，那就等着被老板罵吧，呵呵。。。
以下內容是為了防止這種情況發生而寫的，當然很初級，不過一般服務器也夠用了：

 

1.首先介紹一下指令和相關配置文件
啟動指令:service iptables start  
重啟指令:service iptables restart  
關閉指令:service iptables stop  
 
然后是相關配置:/etc/sysconfig/iptables  
如何操作該配置呢？  
vim /etc/sysconfig/iptables  
然后進去修改即可，修改完了怎么辦？這里很多人會想到/etc/rc.d/init.d/iptables save指令，但是一旦你這么干了你剛才的修改內容就白做了。。。  
具體方法是：  
只修改/etc/sysconfig/iptables 使其生效的辦法是修改好后先service iptables restart，然后才調用/etc/rc.d/init.d/iptables save，  
因為/etc/rc.d/init.d/iptables save會在iptables服務啟動時重新加載，要是在重啟之前直接先調用了/etc/rc.d/init.d/iptables save那么你  
的/etc/sysconfig/iptables 配置就回滾到上次啟動服務的配置了，這點必須注意！！！ 

 

2.下面介紹一些指令用法（主要還是man iptables看下相關資料才行）
-A：指定鏈名  
-p：指定協議類型  
-d：指定目標地址  
--dport：指定目標端口（destination port 目的端口）  
--sport：指定源端口（source port 源端口）  
-j：指定動作類型 

 

3.如果我不像修改文件直接打命令可以嗎，當然沒問題，步驟如下:
例如我給SSH加放行的語句：  
添加input記錄： iptables -A INPUT -p tcp --dport 22 -j ACCEPT  
添加output記錄： iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT  
最后注意需要再執行一下 /etc/init.d/iptables save，這樣這兩條語句就保存到剛才那個/etc/sysconfig/iptables 文件中了。

 

4.接下來說明一下步驟，如果機器不在我身邊，我只能SSH進去做iptables規則，那么我必須注意每一步，千萬別搞錯了，否則就SSH鏈接不上都有可能！
首先要做的是給咱的SSH進行ACCEPT配置，以免直接無法連接的情況發生:  

 

1.如果SSH端口是22（這里不建議用默認端口最好改掉SSH端口）  
iptables -A INPUT -p tcp --dport 22 -j ACCEPT  
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT  
注意要/etc/rc.d/init.d/iptables save，以下每一步都最好執行一遍此語句，以下不再累述。  
 
2.vim /etc/sysconfig/iptables確定是否已經加入配置，可以的話執行service iptables restart重啟后生效  
 
3.下面是很危險的操作，如果你第一步沒做就會直接可能導致你連不上SSH，此步驟前切記執行第一步！！！  
iptables -P INPUT DROP   
iptables -P OUTPUT DROP   
iptables -P FORWARD DROP  
這個步驟是把所有不符合自己配置的規則ACCEPT的連接全部DROP掉，執行完以后如果咱SSH還沒掉，那么謝天謝地，安全了，重啟下iptables后繼續下面的配置！  
 
4.下面咱就不細說了，具體就是看自己服務器要開放哪些端口或者是要訪問哪些端口來做具體的配置，下面是我自己的機器的配置：  
 
/etc/sysconfig/iptables文件配置如下:  
# Generated by iptables-save v1.4.7 on Fri Mar  2 19:59:43 2012  
*filter  
:INPUT DROP [0:0]  
:FORWARD DROP [0:0]  
:OUTPUT DROP [8:496]  
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT  
#ping使用的端口  
-A INPUT -p icmp -j ACCEPT  
-A INPUT -i lo -j ACCEPT  
-A INPUT -s 127.0.0.1/32 -d 127.0.0.1/32 -j ACCEPT  
-A INPUT -s 192.168.2.200/32 -d 192.168.2.200/32 -j ACCEPT  
#允許服務器自己的SSH（對外部請求來說服務器是目標所以使用--dport）  
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT  
#80端口不用說了吧，服務器網站訪問端口  
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT  
-A INPUT -p tcp -m tcp --dport 3306 -j ACCEPT  
-A INPUT -p tcp -m tcp --dport 11211 -j ACCEPT  
-A INPUT -p tcp -m tcp --dport 11212 -j ACCEPT  
-A FORWARD -j REJECT --reject-with icmp-host-prohibited  
#53端口是DNS相關，TCP和UDP都要配置  
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT  
-A INPUT -p udp -m udp --dport 53 -j ACCEPT  
#ping使用的端口  
-A OUTPUT -p icmp -j ACCEPT  
-A OUTPUT -s 127.0.0.1/32 -d 127.0.0.1/32 -j ACCEPT  
-A OUTPUT -s 192.168.2.200/32 -d 192.168.2.200/32 -j ACCEPT  
#允許服務器SSH到其他機器（使用外部端口就使用--dport）  
-A OUTPUT -p tcp -m tcp --dport 22 -j ACCEPT  
#允許服務器自己的SSH（自已為源輸出就使用--sport）  
-A OUTPUT -p tcp -m tcp --sport 22 -j ACCEPT  
#訪問外部網站80端口（使用外部端口就使用--dport）  
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT  
#如果服務器需要訪問外部網站，那么OUTPUT也需要配置53端口（使用外部端口就使用--dport）  
-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT  
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT  
#如果有訪問外部郵箱，那么打開郵箱相關端口（使用外部端口就使用--dport）  
-A OUTPUT -p tcp -m tcp --dport 465 -j ACCEPT  
-A OUTPUT -p tcp -m tcp --dport 25 -j ACCEPT  
-A OUTPUT -p tcp -m tcp --dport 110 -j ACCEPT  
#服務器網站訪問端口（自已為源輸出就使用--sport）  
-A OUTPUT -p tcp -m tcp --sport 80 -j ACCEPT  
-A OUTPUT -p tcp -m tcp --sport 3306 -j ACCEPT  
-A OUTPUT -p tcp -m tcp --sport 11211 -j ACCEPT  
-A OUTPUT -p tcp -m tcp --sport 11212 -j ACCEPT  
COMMIT  
# Completed on Fri Mar  2 19:59:43 2012 

 

5.可能有時候需要刪除規則，最簡單就是修改一下/etc/sysconfig/iptables然后service iptables restart,最后/etc/rc.d/init.d/iptables save即可。

 

當然也可以使用指令完成:
在網上找了一下，刪除規則的方法：  
語法是： iptables -D chain rulenum [options]  
其中： chain 是鏈的意思，就是INPUT FORWARD 之類的  
             rulenum 是規則的編號。從1 開始。可以使用  --line-numbers 列出規則的編號  
   
所以，例如上面要刪除一個INPUT鏈的規則的話可以這樣：iptables -D INPUT 3  
意思是刪除第3條規則。  
還有第二種方法。第二種辦法是 -A 命令的映射，不過用-D替換-A。當你的鏈中規則很復雜，而你不想計算它們的編號的時候這就十分有用了。也就是說，你如何用iptables -A.... 語句定義了一個規則，則刪除此規則時就用 -D 來代替- A  其余的都不變即可。  
======================  
說一下上面的 --line-numbers 選項，如下面的命令：  
iptables -L INPUT --line-numbers   列出INPUT 鏈所有的規則  
num  target     prot opt source               destination           
1    REJECT     tcp  --  anywhere             anywhere            tcp dpt:microsoft-ds reject-with icmp-port-unreachable  
2    REJECT     tcp  --  anywhere             anywhere            tcp dpt:135 reject-with icmp-port-unreachable  
3    REJECT     tcp  --  anywhere             anywhere            tcp dpt:netbios-ssn reject-with icmp-port-unreachable  
 
...  
...  
刪除指定行規則：  
[root@localhost rc.d]# iptables -D INPUT 4 

 

 6.最后補充一下，如果想針對某IP進行單獨開放端口可以如下配置：
如果我需要對內網某機器單獨開放mysql端口，應該如下配置：  
iptables -A INPUT -s 192.168.2.6 -p tcp -m tcp --dport 3306 -j ACCEPT  
iptables -A OUTPUT -s 192.168.2.6 -p tcp -m tcp --sport 3306 -j ACCEPT 

 

7.徹底禁止某IP訪問:
#屏蔽單個IP的命令是  
iptables -I INPUT -s 123.45.6.7 -j DROP  
#封整個段即從123.0.0.1到123.255.255.254的命令  
iptables -I INPUT -s 123.0.0.0/8 -j DROP  
#封IP段即從123.45.0.1到123.45.255.254的命令  
iptables -I INPUT -s 124.45.0.0/16 -j DROP  
#封IP段即從123.45.6.1到123.45.6.254的命令是  
iptables -I INPUT -s 123.45.6.0/24 -j DROP  
指令I是insert指令 但是該指令會insert在正確位置並不像A指令看你自己的排序位置，因此用屏蔽因為必須在一開始就要加載屏蔽IP，所以必須使用I命令加載，然后注意執行/etc/rc.d/init.d/iptables save進行保存后重啟服務即可。

 

問題：

1、關於iptables -p,-m參數的一個問題

iptables可以使用擴展模塊來進行數據包的匹配，語法就是 -m module_name, 所以

-m tcp 的意思是使用 tcp 擴展模塊的功能 (tcp擴展模塊提供了 --dport, --tcp-flags, --sync等功能）

其實只用 -p tcp 了話， iptables也會默認的使用 -m tcp 來調用 tcp模塊提供的功能。但是 -p tcp 和 -m tcp是兩個不同層面的東西，一個是說當前規則作用於 tcp 協議包，而后一是說明要使用iptables的tcp模塊的功能 (--dport 等)。

 

2、 基於iptables實現NAT功能

基於SNAT功能的實現

考慮場景：為解決IP地址不足，所以用NAT功能來實現成本節約

SNAT：源地址轉換（代理內部客戶端訪問外部網絡）在POSTROUTING或OUTPUT鏈上來做規則限制

參數選項：

    -j SNAT --to-source IP

    -j MASQUERADE

DNAT ：目標地址轉換（將內部服務器公開至外部網絡）需在PREROUTING做限制

參數選項：

   -j DNAT --to-destination IP:prot

NAT不但可以轉換目標地址，還可以映射目標端口

拓補圖如下：

 

問題2的文章鏈接：http://www.cnblogs.com/davidwang456/p/3540837.html