防火墻是為了防止網(wǎng)絡間的不正常通信,需要網(wǎng)絡通信的設備都應該有防火墻,例如,iptables命令是Linux上常用的防火墻軟件,是netfilter項目的一部分??梢灾苯优渲茫部梢酝ㄟ^許多前端和圖形界面配置。下面河姆渡小編就簡單地為您介紹一下Linux操作系統(tǒng)上如何配置防火墻軟件iptables。
語法
iptables(選項)(參數(shù))
選項
-t>表<:指定要操縱的表;
-A:向規(guī)則鏈中添加條目;
-D:從規(guī)則鏈中刪除條目;
-i:向規(guī)則鏈中插入條目;
-R:替換規(guī)則鏈中的條目;
-L:顯示規(guī)則鏈中已有的條目;
-F:清楚規(guī)則鏈中已有的條目;
-Z:清空規(guī)則鏈中的數(shù)據(jù)包
計算器和字節(jié)計數(shù)器;
-N:創(chuàng)建新的用戶自定義規(guī)則鏈;
-P:定義規(guī)則鏈中的默認目標;
-h:顯示幫助信息;
-p:指定要匹配的數(shù)據(jù)包協(xié)議類型;
-s:指定要匹配的數(shù)據(jù)包源ip地址;
-j>目標<:指定要跳轉(zhuǎn)的目標;
-i>網(wǎng)絡接口<:指定數(shù)據(jù)包進入本機的網(wǎng)絡接口;
-o>網(wǎng)絡接口<:指定數(shù)據(jù)包要離開本機所使用的網(wǎng)絡接口。
iptables命令選項輸入順序:
iptables -t 表名 >-A/I/D/R< 規(guī)則鏈名 [規(guī)則號] >-i/o 網(wǎng)卡名< -p 協(xié)議名 >-s 源IP/源子網(wǎng)< --sport 源端口 >-d 目標IP/目標子網(wǎng)< --dport 目標端口 -j 動作
表名包括:
raw:高級功能,如:網(wǎng)址過濾。
mangle:數(shù)據(jù)包修改(QOS),用于實現(xiàn)服務質(zhì)量。
net:地址轉(zhuǎn)換,用于網(wǎng)關(guān)
路由器。
filter:包過濾,用于防火墻規(guī)則。
規(guī)則鏈名包括:
INPUT鏈:處理輸入數(shù)據(jù)包。
OUTPUT鏈:處理輸出數(shù)據(jù)包。
PORWARD鏈:處理轉(zhuǎn)發(fā)數(shù)據(jù)包。
PREROUTING鏈:用于目標地址轉(zhuǎn)換(DNAT)。
POSTOUTING鏈:用于源地址轉(zhuǎn)換(SNAT)。
動作包括:
accept:接收數(shù)據(jù)包。
DROP:丟棄數(shù)據(jù)包。
REDIRECT:重定向、映射、透明代理。
SNAT:源地址轉(zhuǎn)換。
DNAT:目標地址轉(zhuǎn)換。
MASQUERADE:IP偽裝(NAT),用于ADSL。
LOG:日志記錄。
清除已有iptables規(guī)則
iptables -F
iptables -X
iptables -Z
開放指定的端口
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT #允許本地回環(huán)接口(即運行本機訪問本機)
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #允許已建立的或相關(guān)連的通行
iptables -A OUTPUT -j ACCEPT #允許所有本機向外的訪問
iptables -A INPUT -p tcp --dport 22 -j ACCEPT #允許訪問22端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT #允許訪問80端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT #允許ftp服務的21端口
iptables -A INPUT -p tcp --dport 20 -j ACCEPT #允許FTP服務的20端口
iptables -A INPUT -j reject #禁止其他未允許的規(guī)則訪問
iptables -A FORWARD -j REJECT #禁止其他未允許的規(guī)則訪問
屏蔽IP
iptables -I INPUT -s 123.45.6.7 -j DROP #屏蔽單個IP的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP #封整個段即從123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP #封IP段即從123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 123.45.6.0/24 -j DROP #封IP段即從123.45.6.1到123.45.6.254的命令是
查看已添加的iptables規(guī)則
iptables -L -n -v
Chain INPUT (policy DROP 48106 packets, 2690K bytes)
pkts bytes target prot opt in out source destination
5075 589K ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
191K 90M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
1499K 133M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
4364K 6351M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
6256 327K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 3382K packets, 1819M bytes)
pkts bytes target prot opt in out source destination
5075 589K ACCEPT all -- * lo 0.0.0.0/0 0.0.0.0/0
刪除已添加的iptables規(guī)則
將所有iptables以序號標記顯示,執(zhí)行:
iptables -L -n --line-numbers
比如要刪除INPUT里序號為8的規(guī)則,執(zhí)行:
iptables -D INPUT 8