2022年Linux基础教程linux配置防火墙详细步骤 .pdf

《2022年Linux基础教程linux配置防火墙详细步骤 .pdf》由会员分享，可在线阅读，更多相关《2022年Linux基础教程linux配置防火墙详细步骤 .pdf（9页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、http:/ Linux 基础教程linux配置防火墙详细步骤通过本教程操作，请确认您能使用linux本机。如果您使用的是ssh 远程，而又不能直接操作本机，那么建议您慎重，慎重，再慎重! 我们来配置一个filter表的防火墙 . (1) 查看本机关于IPTABLES的设置情况复制代码代码如下: roottp # iptables -L -n Chain INPUT (policy ACCEPT) targetprot opt source destinationChain FORWARD (policy ACCEPT) targetprot opt source destinationCha

2、in OUTPUT (policy ACCEPT) targetprot opt source destinationChain RH-Firewall-1-INPUT (0 references) targetprot opt source destination ACCEPT all - 0.0.0.0/0 0.0.0.0/0 ACCEPT icmp - 0.0.0.0/0 0.0.0.0/0 icmp type 255 ACCEPT esp - 0.0.0.0/0 0.0.0.0/0 ACCEPTah-0.0.0.0/00.0.0.0/0 ACCEPTudp-0.0.0.0/0224.0

3、.0.251udpdpt:5353 ACCEPTudp-0.0.0.0/00.0.0.0/0udpdpt:631 ACCEPTall-0.0.0.0/00.0.0.0/0stateRELATED,ESTABLISHED ACCEPTtcp-0.0.0.0/00.0.0.0/0stateNEWtcpdpt:22 ACCEPTtcp-0.0.0.0/00.0.0.0/0stateNEWtcpdpt:80 ACCEPTtcp-0.0.0.0/00.0.0.0/0stateNEWtcpdpt:25 REJECTall-0.0.0.0/00.0.0.0/0reject-withicmp-host-pro

4、hibited 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页，共 9 页 - - - - - - - - - http:/ 可以看出我在安装linux时, 选择了有防火墙 , 并且开放了22,80,25端口 . 如果你在安装linux时没有选择启动防火墙, 是这样的复制代码代码如下: roottp # iptables -L -n Chain INPUT (policy ACCEPT) targetprot opt source destination Chain FORW

5、ARD (policy ACCEPT) targetprot opt source destination Chain OUTPUT (policy ACCEPT) targetprot opt source destination 什么规则都没有 . (2) 清除原有规则 . 不管你在安装linux时是否启动了防火墙, 如果你想配置属于自己的防火墙, 那就清除现在filter的所有规则 . 复制代码代码如下: roottp # iptables -F 清除预设表 filter中的所有规则链的规则roottp # iptables -X 清除预设表 filter中使用者自定链中的规则我们在来看

6、一下复制代码代码如下: roottp # iptables -L -n Chain INPUT (policy ACCEPT) targetprot opt source destination Chain FORWARD (policy ACCEPT) targetprot opt source destination Chain OUTPUT (policy ACCEPT) targetprot opt source destination 什么都没有了吧 , 和我们在安装linux时没有启动防火墙是一样的.( 提前说一句 , 这些配置就像用命令配置 IP 一样 , 重起就会失去作用),

7、怎么保存 . 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页，共 9 页 - - - - - - - - - http:/ 复制代码代码如下: roottp # /etc/rc.d/init.d/iptables save 这样就可以写到 /etc/sysconfig/iptables文件里了 . 写入后记得把防火墙重起一下, 才能起作用 . 复制代码代码如下: roottp # serviceiptables restart 现在 IPTABLES配置表里什么配置都没有了,

8、 那我们开始我们的配置吧(3) 设定预设规则复制代码代码如下: roottp # iptables -P INPUT DROP roottp # iptables -P OUTPUT ACCEPT roottp # iptables -P FORWARD DROP 上面的意思是 , 当超出了 IPTABLES里 filter表里的两个链规则(INPUT,FORWARD) 时, 不在这两个规则里的数据包怎么处理呢, 那就是 DROP( 放弃 ). 应该说这样配置是很安全的. 我们要控制流入数据包而对于 OUTPUT 链, 也就是流出的包我们不用做太多限制,而是采取ACCEPT, 也就是说 , 不

9、在着个规则里的包怎么办呢 , 那就是通过 . 可以看出 INPUT,FORWARD两个链采用的是允许什么包通过, 而 OUTPUT 链采用的是不允许什么包通过. 这样设置还是挺合理的, 当然你也可以三个链都DROP, 但这样做我认为是没有必要的, 而且要写的规则就会增加 . 但如果你只想要有限的几个规则是, 如只做 WEB 服务器 . 还是推荐三个链都是DROP. 注: 如果你是远程SSH登陆的话 , 当你输入第一个命令回车的时候就应该掉了. 因为你没有设置任何规则. 怎么办 , 去本机操作呗 ! (4) 添加规则 . 首先添加 INPUT链,INPUT 链的默认规则是DROP, 所以我们就写

10、需要ACCETP( 通过 ) 的链为了能采用远程SSH登陆 , 我们要开启22 端口 . 复制代码代码如下: 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页，共 9 页 - - - - - - - - - http:/ roottp # iptables -A INPUT -p tcp -dport 22 -j ACCEPT roottp # iptables -A OUTPUT -p tcp -sport 22 -j ACCEPT ( 注: 这个规则 , 如果你把 OUTP

11、UT 设置成 DROP 的就要写上这一部, 好多人都是望了写这一部规则导致,始终无法 SSH.在远程一下 , 是不是好了 . 其他的端口也一样, 如果开启了web服务器 ,OUTPUT 设置成 DROP 的话, 同样也要添加一条链: 复制代码代码如下: roottp # iptables -A OUTPUT -p tcp -sport 80 -j ACCEPT , 其他同理 . 如果做了 WEB 服务器 , 开启 80 端口 . 复制代码代码如下: roottp # iptables -A INPUT -p tcp -dport 80 -j ACCEPT 如果做了邮件服务器, 开启 25,11

12、0 端口 . 复制代码代码如下: roottp # iptables -A INPUT -p tcp -dport 110 -j ACCEPT roottp # iptables -A INPUT -p tcp -dport 25 -j ACCEPT 如果做了 FTP服务器 , 开启 21 端口复制代码代码如下: roottp # iptables -A INPUT -p tcp -dport 21 -j ACCEPT roottp # iptables -A INPUT -p tcp -dport 21 -j ACCEPT 如果做了 DNS服务器 , 开启 53 端口复制代码代码如下: ro

13、ottp # iptables -A INPUT -p tcp -dport 53 -j ACCEPT 如果你还做了其他的服务器, 需要开启哪个端口, 照写就行了 . 上面主要写的都是INPUT链, 凡是不在上面的规则里的, 都 DROP 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页，共 9 页 - - - - - - - - - http:/ 允许 icmp 包通过 , 也就是允许 ping, 复制代码代码如下: roottp # iptables -A OUTPUT -

14、p icmp -j ACCEPT (OUTPUT设置成 DROP 的话 ) roottp # iptables -A INPUT -p icmp -j ACCEPT (INPUT设置成 DROP 的话 ) 允许 loopback!(不然会导致DNS无法正常关闭等问题) 复制代码代码如下: IPTABLES -A INPUT -i lo -p all -j ACCEPT (如果是 INPUT DROP) IPTABLES -A OUTPUT -o lo -p all -j ACCEPT(如果是 OUTPUT DROP) 下面写 OUTPUT 链,OUTPUT 链默认规则是ACCEPT, 所以我们

15、就写需要DROP( 放弃 ) 的链 . 减少不安全的端口连接复制代码代码如下: roottp # iptables -A OUTPUT -p tcp -sport 31337 -j DROP roottp # iptables -A OUTPUT -p tcp -dport 31337 -j DROP 有些些特洛伊木马会扫描端口31337 到 31340( 即黑客语言中的 elite 端口) 上的服务。既然合法服务都不使用这些非标准端口来通信, 阻塞这些端口能够有效地减少你的网络上可能被感染的机器和它们的远程主服务器进行独立通信的机会还有其他端口也一样, 像:31335 、27444、2766

16、5、20034 NetBus、9704、137-139(smb),2049(NFS)端口也应被禁止 , 我在这写的也不全, 有兴趣的朋友应该去查一下相关资料. 当然出入更安全的考虑你也可以包OUTPUT 链设置成 DROP, 那你添加的规则就多一些, 就像上边添加允许 SSH登陆一样 . 照着写就行了 . 下面写一下更加细致的规则, 就是限制到某台机器如: 我们只允许192.168.0.3的机器进行 SSH连接复制代码代码如下: roottp # iptables -A INPUT -s 192.168.0.3 -p tcp -dport 22 -j ACCEPT 如果要允许 , 或限制一段I

17、P 地址可用 192.168.0.0/24 表示 192.168.0.1-255端的所有 IP. 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 5 页，共 9 页 - - - - - - - - - http:/ 24 表示子网掩码数 . 但要记得把 /etc/sysconfig/iptables 里的这一行删了. -A INPUT -p tcp -m tcp -dport 22 -j ACCEPT 因为它表示所有地址都可以登陆. 或采用命令方式 : 复制代码代码如下: roott

18、p # iptables -D INPUT -p tcp -dport 22 -j ACCEPT 然后保存 , 我再说一边 , 反是采用命令的方式, 只在当时生效 , 如果想要重起后也起作用, 那就要保存 . 写入到 /etc/sysconfig/iptables文件里 . 复制代码代码如下: roottp # /etc/rc.d/init.d/iptables save 这样写 !192.168.0.3 表示除了 192.168.0.3的 ip 地址其他的规则连接也一样这么设置. 在下面就是 FORWARD链,FORWARD 链的默认规则是DROP, 所以我们就写需要ACCETP( 通过 )

19、 的链 , 对正在转发链的监控 . 开启转发功能 ,( 在做 NAT时,FORWARD 默认规则是DROP 时, 必须做 ) 复制代码代码如下: roottp # iptables -A FORWARD -i eth0 -o eth1 -m state -state RELATED,ESTABLISHED -j ACCEPT roottp # iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT 丢弃坏的 TCP包复制代码代码如下: roottp #iptables -A FORWARD -p TCP ! -syn -m state -state NEW -

20、j DROP 处理 IP 碎片数量 , 防止攻击 , 允许每秒 100 个复制代码代码如下: roottp #iptables -A FORWARD -f -m limit -limit 100/s -limit-burst 100 -j ACCEPT 设置 ICMP包过滤 , 允许每秒 1 个包 , 限制触发条件是10 个包 . 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 6 页，共 9 页 - - - - - - - - - http:/ 复制代码代码如下: roottp #

21、iptables -A FORWARD -p icmp -m limit -limit 1/s -limit-burst 10 -j ACCEPT 我在前面只所以允许ICMP包通过 , 就是因为我在这里有限制. 二, 配置一个 NAT表放火墙1, 查看本机关于NAT的设置情况复制代码代码如下: roottprc.d# iptables -t nat -L Chain PREROUTING (policy ACCEPT) targetprot opt source destination Chain POSTROUTING (policy ACCEPT) targetprot opt sourc

22、e destination SNAT all - 192.168.0.0/24 anywhere to:211.101.46.235 Chain OUTPUT (policy ACCEPT) targetprot opt source destination 我的 NAT已经配置好了的 ( 只是提供最简单的代理上网功能, 还没有添加防火墙规则). 关于怎么配置NAT,参考我的另一篇文章当然你如果还没有配置NAT的话 , 你也不用清除规则 , 因为 NAT在默认情况下是什么都没有的如果你想清除 , 命令是复制代码代码如下: roottp # iptables -F -t nat roottp #

23、 iptables -X -t nat roottp # iptables -Z -t nat 2, 添加规则添加基本的 NAT地址转换 ,( 关于如何配置NAT可以看我的另一篇文章), 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 7 页，共 9 页 - - - - - - - - - http:/ 添加规则 , 我们只添加DROP 链. 因为默认链全是ACCEPT. 防止外网用内网IP 欺骗复制代码代码如下: roottpsysconfig# iptables -t nat -

24、A PREROUTING -i eth0 -s 10.0.0.0/8 -j DROP roottpsysconfig# iptables -t nat -A PREROUTING -i eth0 -s 172.16.0.0/12 -j DROP roottpsysconfig# iptables -t nat -A PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP 如果我们想 , 比如阻止 MSN,QQ,BT 等的话 , 需要找到它们所用的端口或者IP,( 个人认为没有太大必要) 例：禁止与 211.101.46.253的所有连接复制代码代码如下: ro

25、ottp # iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP 禁用 FTP(21) 端口复制代码代码如下: roottp # iptables -t nat -A PREROUTING -p tcp -dport 21 -j DROP 这样写范围太大了, 我们可以更精确的定义. 复制代码代码如下: roottp # iptables -t nat -A PREROUTING -p tcp -dport 21 -d 211.101.46.253 -j DROP 这样只禁用 211.101.46.253地址的 FTP连接 , 其他连接

26、还可以 . 如 web(80 端口 ) 连接. 按照我写的 , 你只要找到 QQ,MSN 等其他软件的IP 地址 , 和端口 , 以及基于什么协议, 只要照着写就行了. 最后：drop 非法连接复制代码代码如下: roottp # iptables -A INPUT -m state -state INVALID -j DROP 名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 8 页，共 9 页 - - - - - - - - - http:/ roottp # iptables -

27、A OUTPUT -m state -state INVALID -j DROP roottp # iptables-A FORWARD -m state -state INVALID -j DROP 允许所有已经建立的和相关的连接复制代码代码如下: roottp # iptables-A INPUT -m state -state ESTABLISHED,RELATED -j ACCEPT roottp # iptables-A OUTPUT -m state -state ESTABLISHED,RELATED -j ACCEPT roottp # /etc/rc.d/init.d/iptables save 这样就可以写到 /etc/sysconfig/iptables文件里了 . 写入后记得把防火墙重起一下, 才能起作用 . 复制代码代码如下: roottp # serviceiptables restart 别忘了保存，不行就写一部保存一次.你可以一边保存，一边做实验，看看是否达到你的要求，上面的所有规则我都试过，没有问题名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 9 页，共 9 页 - - - - - - - - -