-
什么是iptables:常见于linux系统下的应用层防火墙工具。常见人员:系统管理人员、网络工程人员、安全人员等等查看全部
-
/bin/sh modprobe ipt_MASQUERADE modprobe ip_conntrack_ftp modprobe ip_nat_ftp iptables -F iptables -t nat -F iptabels -X iptables -t nat -X iptables -P INPUT DROP iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -i lo -j ACCEPT #允许本能访问 iptables -A INPUT -p tcp -m multiport --dports 110(POP3端口),80,25(smtp) -j ACCEPT iptables -A INPUT -p tcp -s 10.10.0.0/24 --dport 139 -j ACCEPT 默认只允许tcp对外开放110 80 25端口。10.10.0.0内网IP可以访问139端口,139是samba协议端口号 iptables -A INPUT -i eth1 -p udp -m mulitiport --dports 53 -j ACCEPT 多个端口通过eth1访问53 DNS服务器 iptables -A INPUT -p tcp --dport 1723 -j ACCEPT iptables -A INPUT -p gre -j ACCEPT 对vpn用户的开放1723端口,允许gre 虚拟隧道 iptables -A INPUT -s 192.186.0.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -i ppp0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP(ppp0是拨号设备。使用iptables的connlimit模块来限制同一个IP发起的连接个数)查看全部
-
1、netstat -luntp查看端口情况 2、iptables -v 3、iptables -Ln (列出iptables 规则)(白名单原则设置) 4、iptables -F 清楚原iptables 规则 5、iptables 设置 iptables -I INPUT -p tcp --dport 80 -j ACCEPT 容许访问80端口 iptables -I INPUT -p tcp --dport 22 -j ACCEPT查看全部
-
无力吐槽讲师的英语水平查看全部
-
iptables -F iptables -I INPUT -i lo -j ACCEPT iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -s 10.10.155.0/24 -j ACCEPT iptables -A INPUT -s 10.10.188.0/24 -j ACCEPT iptables -A INPUT -s 10.10.140.0/24 -j ACCEPT(自己使用ssh连接电脑的网段) iptabels -A INPUT -p tcp --dport 80 -j ACCEPT(允许所有主机访问80端口) iptabels -A INPUT -p tcp --dport 1723 -j ACCEPT(允许VPN访问) iptabels -I INPUT -p icmp -j ACCEPT 接下来拒绝掉所有的未设置的规则 iptables -A INPUT -j REJECT 永久保存 /etc/init.d/iptables save 然后我们 vim /etc/sysconfig/iptables chkconfig iptables save 第二种方法,history,复制粘贴,保存成一个shell文件 vim /etc/rc.local 加入 /bin/sh /opt/iptable_ssh.sh查看全部
-
netstat -luntp 查看端口情况 iptables -v iptables -Ln (列出iptables 规则) (白名单原规则设置) iptables -F 清空原iptables 规则 iptables -I INPUT -p tcp --dport 80 -j ACCEPT iptables -I INPUT -p tcp --dport 22 -j ACCEPT iptables -I INPUT -p tcp --dport 22 -j ACCEPT iptables -I INPUT -p icmp -j ACCEPT查看全部
-
iptables 设置2 能访问回环地址和访问外部 1、iptables -I INPUT -i lo -j ACCEPT ;-i 对应的网卡 2、iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT查看全部
-
检测目标服务器端口开启情况:nmap -sS -p 0-1000 192.168.5.123查看全部
-
安装ab:yum install httpd-tools 以40递增的频次发送10W个请求到目标服务器:ab -n 100000 -c 40 http://192.168.5.123/test.txt 查看实时并发个数:netstat -an|grep 80 |grep 192.168.5.129|grep EST -c 设置策略,最大连接限制为10个:iptables -I INPUT -p tcp --dport 80 -s 192.168.5.129 -m connlimit --connlimit-above 10 -j REJECT查看全部
-
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT查看全部
-
iptables -D INPUT -p tcp --dport 80 -j ACCEPT 删除http访问的规则 iptables -I INPUT -p tcp -s 10.10.188.233 --dport 80 -j ACCEPT 只允许10.10.188.233通过htpp请求访问本机查看全部
-
转发端口(10.10.188.232:80 <==> 10.10.177.233:80):iptables -t nat -A INPUT PREROUTING -d 10.10.188.232 -p tcp --dport 80 -j DNAT --to 10.10.177.233:80 转发端口(local_allip:80 <==> 10.10.177.233:8081):iptables -t nat -A INPUT PREROUTING -p tcp --dport -j DNAT --to 10.10.177.233:8081查看全部
-
#雷锋同志
#!/bin/sh
#
modprobe ipt_MASQUERADE
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
iptables -F
iptables -t nat -F
iptables -X
iptables -t nat -X
###########################INPUT键###################################
iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 110,80,25 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 139 -j ACCEPT
#允许内网samba,smtp,pop3,连接
iptables -A INPUT -i eth1 -p udp -m multiport --dports 53 -j ACCEPT
#允许dns连接
iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
iptables -A INPUT -p gre -j ACCEPT
#允许外网vpn连接
iptables -A INPUT -s 192.186.0.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
#为了防止DOS太多连接进来,那么可以允许最多15个初始连接,超过的丢弃
iptables -A INPUT -s 192.186.0.0/24 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
#为了防止DOS太多连接进来,那么可以允许最多15个初始连接,超过的丢弃
iptables -A INPUT -p icmp -m limit --limit 3/s -j LOG --log-level INFO --log-prefix "ICMP packet IN: "
iptables -A INPUT -p icmp -j DROP
#禁止icmp通信-ping 不通
iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
#内网转发
iptables -N syn-flood
iptables -A INPUT -p tcp --syn -j syn-flood
iptables -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN
iptables -A syn-flood -j REJECT
#防止SYN攻击 轻量
#######################FORWARD链###########################
iptables -P FORWARD DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -m multiport --dports 80,110,21,25,1723 -j ACCEPT
iptables -A FORWARD -p udp -s 192.168.0.0/24 --dport 53 -j ACCEPT
iptables -A FORWARD -p gre -s 192.168.0.0/24 -j ACCEPT
iptables -A FORWARD -p icmp -s 192.168.0.0/24 -j ACCEPT
#允许 vpn客户走vpn网络连接外网
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -I FORWARD -p udp --dport 53 -m string --string "tencent" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
#星期一到星期六的8:00-12:30禁止qq通信
iptables -I FORWARD -p udp --dport 53 -m string --string "TENCENT" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
#星期一到星期六的8:00-12:30禁止qq通信
iptables -I FORWARD -p udp --dport 53 -m string --string "tencent" -m time --timestart 13:30 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
iptables -I FORWARD -p udp --dport 53 -m string --string "TENCENT" -m time --timestart 13:30 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
#星期一到星期六的13:30-20:30禁止QQ通信
iptables -I FORWARD -s 192.168.0.0/24 -m string --string "qq.com" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
#星期一到星期六的8:00-12:30禁止qq网页
iptables -I FORWARD -s 192.168.0.0/24 -m string --string "qq.com" -m time --timestart 13:00 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
#星期一到星期六的13:30-20:30禁止QQ网页
iptables -I FORWARD -s 192.168.0.0/24 -m string --string "ay2000.net" -j DROP
iptables -I FORWARD -d 192.168.0.0/24 -m string --string "宽频影院" -j DROP
iptables -I FORWARD -s 192.168.0.0/24 -m string --string "seq" -j DROP
iptables -I FORWARD -p tcp --sport 80 -m string --string "广告" -j DROP
#禁止ay2000.net,宽频影院,,广告网页连接 !但中文 不是很理想
iptables -A FORWARD -m ipp2p --edk --kazaa --bit -j DROP
iptables -A FORWARD -p tcp -m ipp2p --ares -j DROP
iptables -A FORWARD -p udp -m ipp2p --kazaa -j DROP
#禁止BT连接
iptables -A FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 15 --connlimit-mask 24
#######################################################################
sysctl -w net.ipv4.ip_forward=1 &>/dev/null
#打开转发
#######################################################################
sysctl -w net.ipv4.tcp_syncookies=1 &>/dev/null
#打开 syncookie (轻量级预防 DOS 攻击)
sysctl -w net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=3800 &>/dev/null
#设置默认 TCP 连接痴呆时长为 3800 秒(此选项可以大大降低连接数)
sysctl -w net.ipv4.ip_conntrack_max=300000 &>/dev/null
#设置支持最大连接树为 30W(这个根据你的内存和 iptables 版本来,每个 connection 需要 300 多个字节)
#######################################################################
iptables -I INPUT -s 192.168.0.50 -j ACCEPT
iptables -I FORWARD -s 192.168.0.50 -j ACCEPT
#192.168.0.50是我的机子,全部放行!
############################完#########################################
查看全部 -
查看本地监听的端口
netstat -luntp
存在的问题:
1、本机无法访问本机
前面设置的iptables规则默认在网卡设备eth0上,我们设置本机网卡来的数据可以被访问就可以解决问题。
# 设置本地网卡来的所有请求都接受,本地回环 iptables -I INPUT -i lo -j ACCEPT
2、本机无法访问其他主机
原因是我们能对外建立连接,建立连接后我自己一直等待(监听)外部地址回应。而前面我们设置拒绝了所有的请求,因此我们需要把自己主动发起请求,并建立链接的放行。
# 对自己发起的请求进行放行 # 自己发起的请求,等待响应的连接状态会变为 ESTABLISHED # RELATED 是 FTP协议下等待相应的请求状态 iptales -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
查看全部 -
ftp 主动模式
查看全部
举报