服务器中的iptables配置的详细介绍(服务器中的ocp卡全称是什么)

今天看到一个很不错的iptable的配置，写的非常详细，转载过来，和大家分享一下，学会linux下的防火墙配置，对提升网站安全有很大帮助，不容错过~ 如果你的IPTABLES基础知识还不了解,建议先去看看. 开始配置 我们来配置一个filter表的防火墙. (1)查看本机关于IPTABLES的设置情况 [root@tp ~]# iptables -L -n Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination Chain RH-Firewall-1-INPUT (0 references) target prot opt source destination ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type ACCEPT esp -- 0.0.0.0/0 0.0.0.0/0 ACCEPT ah -- 0.0.0.0/0 0.0.0.0/0 ACCEPT udp -- 0.0.0.0/0 .0.0. udp dpt: ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt: ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt: ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt: ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt: REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited 可以看出我在安装linux时,选择了有防火墙,并且开放了,,端口. 如果你在安装linux时没有选择启动防火墙,是这样的 [root@tp ~]# iptables -L -n Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination 什么规则都没有. (2)清除原有规则. 不管你在安装linux时是否启动了防火墙,如果你想配置属于自己的防火墙,那就清除现在filter的所有规则. [root@tp ~]# iptables -F 清除预设表filter中的所有规则链的规则 [root@tp ~]# iptables -X 清除预设表filter中使用者自定链中的规则 我们在来看一下 [root@tp ~]# iptables -L -n Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination 什么都没有了吧,和我们在安装linux时没有启动防火墙是一样的.(提前说一句,这些配置就像用命令配置IP一样,重起就会失去作用),怎么保存. [root@tp ~]# /etc/rc.d/init.d/iptables save 这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用. [root@tp ~]# service iptables restart 现在IPTABLES配置表里什么配置都没有了,那我们开始我们的配置吧 (3)设定预设规则 [root@tp ~]# iptables -P INPUT DROP [root@tp ~]# iptables -P OUTPUT ACCEPT [root@tp ~]# iptables -P FORWARD DROP 上面的意思是,当超出了IPTABLES里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.我们要控制流入数据包 而对于OUTPUT链,也就是流出的包我们不用做太多限制,而是采取ACCEPT,也就是说,不在着个规则里的包怎么办呢,那就是通过. 可以看出INPUT,FORWARD两个链采用的是允许什么包通过,而OUTPUT链采用的是不允许什么包通过. 这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,而且要写的规则就会增加.但如果你只想要有限的几个规则是,如只做WEB服务器.还是推荐三个链都是DROP. 注:如果你是远程SSH登陆的话,当你输入第一个命令回车的时候就应该掉了.因为你没有设置任何规则. 怎么办,去本机操作呗! (4)添加规则. 首先添加INPUT链,INPUT链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链 为了能采用远程SSH登陆,我们要开启端口. [root@tp ~]# iptables -A INPUT -p tcp --dport -j ACCEPT [root@tp ~]# iptables -A OUTPUT -p tcp --sport -j ACCEPT (注:这个规则,如果你把OUTPUT 设置成DROP的就要写上这一部,好多人都是望了写这一部规则导致,始终无法SSH.在远程一下,是不是好了. 其他的端口也一样,如果开启了web服务器,OUTPUT设置成DROP的话,同样也要添加一条链: [root@tp ~]# iptables -A OUTPUT -p tcp --sport -j ACCEPT ,其他同理.) 如果做了WEB服务器,开启端口. [root@tp ~]# iptables -A INPUT -p tcp --dport -j ACCEPT 如果做了邮件服务器,开启,端口. [root@tp ~]# iptables -A INPUT -p tcp --dport -j ACCEPT [root@tp ~]# iptables -A INPUT -p tcp --dport -j ACCEPT 如果做了FTP服务器,开启端口 [root@tp ~]# iptables -A INPUT -p tcp --dport -j ACCEPT [root@tp ~]# iptables -A INPUT -p tcp --dport -j ACCEPT 如果做了DNS服务器,开启端口 [root@tp ~]# iptables -A INPUT -p tcp --dport -j ACCEPT 如果你还做了其他的服务器,需要开启哪个端口,照写就行了. 上面主要写的都是INPUT链,凡是不在上面的规则里的,都DROP 允许icmp包通过,也就是允许ping, [root@tp ~]# iptables -A OUTPUT -p icmp -j ACCEPT (OUTPUT设置成DROP的话) [root@tp ~]# iptables -A INPUT -p icmp -j ACCEPT (INPUT设置成DROP的话) 允许loopback!(不然会导致DNS无法正常关闭等问题) iptables -A INPUT -i lo -p all -j ACCEPT (如果是INPUT DROP) iptables -A OUTPUT -o lo -p all -j ACCEPT(如果是OUTPUT DROP) 下面写OUTPUT链,OUTPUT链默认规则是ACCEPT,所以我们就写需要DROP(放弃)的链. 减少不安全的端口连接 [root@tp ~]# iptables -A OUTPUT -p tcp --sport -j DROP [root@tp ~]# iptables -A OUTPUT -p tcp --dport -j DROP 有些些特洛伊木马会扫描端口到(即黑客语言中的 elite 端口)上的服务。既然合法服务都不使用这些非标准端口来通信,阻塞这些端口能够有效地减少你的网络上可能被感染的机器和它们的远程主服务器进行独立通信的机会 还有其他端口也一样,像:、、、 NetBus、、-（smb）,(NFS)端口也应被禁止,我在这写的也不全,有兴趣的朋友应该去查一下相关资料. 当然出入更安全的考虑你也可以包OUTPUT链设置成DROP,那你添加的规则就多一些,就像上边添加 允许SSH登陆一样.照着写就行了. 下面写一下更加细致的规则,就是限制到某台机器 如:我们只允许..0.3的机器进行SSH连接 [root@tp ~]# iptables -A INPUT -s ..0.3 -p tcp --dport -j ACCEPT 如果要允许,或限制一段IP地址可用 ..0.0/ 表示..0.1-端的所有IP. 表示子网掩码数.但要记得把 /etc/sysconfig/iptables 里的这一行删了. -A INPUT -p tcp -m tcp --dport -j ACCEPT 因为它表示所有地址都可以登陆. 或采用命令方式: [root@tp ~]# iptables -D INPUT -p tcp --dport -j ACCEPT 然后保存,我再说一边,反是采用命令的方式,只在当时生效,如果想要重起后也起作用,那就要保存.写入到/etc/sysconfig/iptables文件里. [root@tp ~]# /etc/rc.d/init.d/iptables save 这样写 !..0.3 表示除了..0.3的ip地址 其他的规则连接也一样这么设置. 在下面就是FORWARD链,FORWARD链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链,对正在转发链的监控. 开启转发功能,(在做NAT时,FORWARD默认规则是DROP时,必须做) [root@tp ~]# iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT [root@tp ~]# iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT 丢弃坏的TCP包 [root@tp ~]#iptables -A FORWARD -p TCP ! --syn -m state --state NEW -j DROP 处理IP碎片数量,防止攻击,允许每秒个 [root@tp ~]#iptables -A FORWARD -f -m limit --limit /s --limit-burst -j ACCEPT 设置ICMP包过滤,允许每秒1个包,限制触发条件是个包. [root@tp ~]#iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst -j ACCEPT 我在前面只所以允许ICMP包通过,就是因为我在这里有限制. 二,配置一个NAT表放火墙 1,查看本机关于NAT的设置情况 [root@tp rc.d]# iptables -t nat -L Chain PREROUTING (policy ACCEPT) target prot opt source destination Chain POSTROUTING (policy ACCEPT) target prot opt source destination SNAT all -- ..0.0/ anywhere to:... Chain OUTPUT (policy ACCEPT) target prot opt source destination 我的NAT已经配置好了的(只是提供最简单的代理上网功能,还没有添加防火墙规则).关于怎么配置NAT,参考我的另一篇文章 当然你如果还没有配置NAT的话,你也不用清除规则,因为NAT在默认情况下是什么都没有的 如果你想清除,命令是 [root@tp ~]# iptables -F -t nat [root@tp ~]# iptables -X -t nat [root@tp ~]# iptables -Z -t nat 2,添加规则 添加基本的NAT地址转换,(关于如何配置NAT可以看我的另一篇文章), 添加规则,我们只添加DROP链.因为默认链全是ACCEPT. 防止外网用内网IP欺骗 [root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s .0.0.0/8 -j DROP [root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s ..0.0/ -j DROP [root@tp sysconfig]# iptables -t nat -A PREROUTING -i eth0 -s ..0.0/ -j DROP 如果我们想,比如阻止MSN,QQ,BT等的话,需要找到它们所用的端口或者IP,(个人认为没有太大必要) 例： 禁止与...的所有连接 [root@tp ~]# iptables -t nat -A PREROUTING -d ... -j DROP 禁用FTP()端口 [root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport -j DROP 这样写范围太大了,我们可以更精确的定义. [root@tp ~]# iptables -t nat -A PREROUTING -p tcp --dport -d ... -j DROP 这样只禁用...地址的FTP连接,其他连接还可以.如web(端口)连接. 按照我写的,你只要找到QQ,MSN等其他软件的IP地址,和端口,以及基于什么协议,只要照着写就行了. 最后： drop非法连接 [root@tp ~]# iptables -A INPUT -m state --state INVALID -j DROP [root@tp ~]# iptables -A OUTPUT -m state --state INVALID -j DROP [root@tp ~]# iptables-A FORWARD -m state --state INVALID -j DROP 允许所有已经建立的和相关的连接 [root@tp ~]# iptables-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT [root@tp ~]# iptables-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT [root@tp ~]# /etc/rc.d/init.d/iptables save 这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用． [root@tp ~]# service iptables restart

推荐整理分享服务器中的iptables配置的详细介绍(服务器中的ocp卡全称是什么)，希望有所帮助，仅作参考，欢迎阅读内容。

文章相关热门搜索词:服务器中的局域网有什么玄机,服务器中的raid是什么,服务器中的传感器,服务器中的节点是什么意思,举例说明域名转换的过程,域名服务器中的,举例说明域名转换的过程,域名服务器中的,服务器中的资源主要是计算存储资源和网络资源,举例说明域名转换的过程,域名服务器中的,内容如对您有帮助，希望把文章链接给更多的朋友！

Linux环境下MySQL服务器优化的方法详解 普通的MySQL用户利用表创建和索引操作，以及利用查询的编写能够进行的优化。不过，还有一些只能由MySQL管理员和系统管理员来完成的优化，这些管理

系统出现乱码的解决方法 不知道是哪一次操作时起，电脑在安装文件时总是显示乱码(抑或哪个鸟国的字符??)还有在文件夹查看选项里也出现了这样的字符,安全卫士等查不到问题

认识“一键清理系统垃圾文件”中的六个误区 前几年在网上出现了一个一键清理系统垃圾文件.bat，这个简单又方便的批处理很快就传开了。而且到现在还是很红。很多人都在用这个批处理清理Windows