Linux的iptables常用配置范例（2）

iptables -F?? #清除所有規則
iptables -X? #清除所有自定義規則
iptables -Z?? #各項計數歸零
iptables -P INPUT DROP? #將input鏈默認規則設置為丟棄
iptables -P OUTPUT DROP? #將output鏈默認規則設置為丟棄
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT #對運行在本機回環地址上的所有服務放行
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT? #把這條語句插在input鏈的最前面（第一條），并且對狀態為ESTABLISHED,RELATED的連接放行。
iptables -A OUTPUT -p tcp –dport 80 -j ACCEPT? #允許本機訪問其他80服務
iptables -A OUTPUT -p udp –dport 53 -j ACCEPT #允許本機發送域名請求
iptables -A OUTPUT -p icmp -j ACCEPT? #對本機出去的所有icmp協議放行，其實如果僅僅只是允許本機ping別的機器，更為嚴謹的做法是將此語句修改為：
iptables -A OUTPUT -p icmp? –icmp-type? echo-request -j ACCEPT

對狀態為ESTABLISHED和RELATED的包放行，簡單的說，就是說對允許出去的包被對方主機收到后，對方主機回應進來的封包放行。這條語 句很重 要，可以省去寫很多iptables語句，尤其是在有ftp服務器的場合。你理解了這個意思，就應該知道，有了這條語句，第6條語句其實是可以省略的。

封網站：
iptables -F
iptables -X
iptables -Z
iptables -P OUTPUT DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -p udp –dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192.168.1.10 -d?www.qq.com -j DROP(禁止網站)
iptables -A FORWARD -p tcp -s 192.168.1.11/24 -d?www.qq.com -o eth0 -j DROP（禁止網段）
iptables -A FORWARD -p tcp -s 192.168.1.12 -d 192.168.1.13? -o eth0 -j DROP(禁止IP)
iptables -A OUTPUT -p tcp –dport 80 -j ACCEPT （這條寫在禁止網站的下面）

＃安全規則類似windows防火墻
iptables -A INPUT -p tcp –dport 1:1024 -j DROP
iptables -A INPUT -p udp –dport 1:1024 -j DROP?? 這兩條可以防止nmap探測
iptables -A INPUT -p tcp –dport ** -j ACCEPT? （要開放的端口）
＃允許的端口,相對協議改一下就可以了,???????????????????????? (端口過慮)
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

iptables架設安全的vsftp服務器

在實際工作中，可用以下腳本架設一臺很的內部FTP；當然也可以配合Wireshark理解 vsftpd的被動與主動的區別，以本機192.168.0.10為例，腳本如下:

#!/bin/bash
-F
iptables -X
iptables -Z
iptables -t nat -F
iptables -t nat -X
iptables -t nat -Z
#開啟ip轉發功能
echo “1” > /proc/sys/net/ipv4/ip_forward
#加載ftp需要的一些模塊功能
modprobe ip_conntrack_ftp
modprobe ip_conntrack-tftp
modprobe ip_nat_ftp
modprobe ip_nat_tftp
#為了更安全，將OUTPUT默認策略定義為DROP
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT
#開放本機的lo環回口，建議開放，不開放的會出現些莫名其妙的問題
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
#下面的腳本是架設安全的vsftpd關健,后二句腳本是放行服務器向客戶端作回應的和已建立連接的數據包,因被動FTP比較復雜，六次握手，所以這里采用狀態來做
iptables -A INPUT -s 192.168.0.0/24 -p tcp –dport 21 -j ACCEPT
iptables -A OUTPUT -d 192.168.0.0/24 -p tcp –sport 21 -j ACCEPT
iptables -A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state –state RELATED,ESTABLISHED -j ACCEPT

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
內網web服務器 適用于中小型公司有內網服務器發布的IPT
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

防止攻擊掃描
防止同步包洪水（Sync Flood）
# iptables -A FORWARD -p tcp –syn -m limit –limit 1/s -j ACCEPT
也有人寫作
#iptables -A INPUT -p tcp –syn -m limit –limit 1/s -j ACCEPT
–limit 1/s 限制syn并發數每秒1次，可以根據自己的需要修改
防止各種端口掃描
# iptables -A FORWARD -p tcp –tcp-flags SYN,ACK,FIN,RST RST -m limit –limit 1/s -j ACCEPT
Ping洪水攻擊（Ping of Death）
# iptables -A FORWARD -p icmp –icmp-type echo-request -m limit –limit 1/s -j ACCEPT
# Null Scan(possibly)XiKc.om
iptables -A INPUT -i eth0 -p tcp –tcp-flags ALL NONE -j DROP

#ubuntu保存與開機加載
iptables-save > iptables.up.rules
cp iptables.up.rules /etc/
vi /etc/network/interfaces

iptables-save > iptables.up.rules cp iptables.up.rules /etc/ vi /etc/network/interfaces

#在interfaces末尾加入
pre-up iptables-restore < /etc/iptables.up.rules
pre-up iptables-restore < /etc/iptables.up.rules

#也可以設置網卡斷開的rules。
post-down iptables-restore < /etc/iptables.down.rules
post-down iptables-restore < /etc/iptables.down.rules

#保存
service iptables save
強制所有的客戶機訪問192.168.1.100這個網站
iptables -t nat -I PREROUTING -i eth0 -p tcp –dport 80 -j DNAT –to-destination 192.168.1.100 (PREROUTING和DNAT一起使用,POSTROUTING和SNAT一起使用)
發布內網的web服務器192.168.1.10
iptables -t nat -I PREROUTING -p tcp –dport 80 -j DNAT –to-destination 192.168.1.10
端口映射到內網的3389
iptables -t nat -I PREROUTING -p tcp –dport 3389 -j DNAT –to-destination 192.168.1.10:3389

---

來源：http://www.ha97.com/3929.html

?