iptables规则的应用-创新互联

iptables是系统安全必不可少的,对防范外来***,起着巨大的作用.

为精河等地区用户提供了全套网页设计制作服务,及精河网站建设行业解决方案。主营业务为成都做网站、成都网站设计、精河网站设计,以传统方式定制建设网站,并提供域名空间备案等一条龙服务,秉承以专业、用心的态度为用户提供真诚的服务。我们深信只要达到每一位用户的要求,就会得到认可,从而选择与我们长期合作。这样,我们也可以走得更远!

    iptables 只是防火墙的通告规则,是系统 netfilter 在内核中完成具体功能实现的.

防火墙分两大类.网络层防火墙,应用层防火墙.

防火墙的原理是在报文与主机通讯的必经之路设立通过规则,以实行安全放行.一般主机通讯的必经之路有五个,分别对应五个勾子函数.

hook function

PREROUTING:路由前

INPUT:到达本机内部的报文必经之路

FORWARD:由本机转发的报文必经之路

OUTPUT:由本机发出的报文的必经之路

POSTROUTING:路由后

防火墙,分四大规则功能表raw, mangle, nat, filter

filter: 过滤,定义是否允许通过防火墙

nat: 地址转换,启用connection_track;

SNAT

DNAT

PNAT

mangle:

raw: 目标是关闭nat表上启用的连接追踪功能;

iptables 规则的应用

表和链的对应关系:

filter: INPUT, FORWARD, OUTPUT

nat: PREROUTING(SNAT),POSTROUTING(DNAT),OUTPUT

mangle: PREROUTING, INPUT, FORWARD, OUTPUT, POSTROUTING

raw: PREROUTING, OUTPUT

iptables只是用户空间的工具,写规则,并自动发往netfilter,立即生效;所以在编写规则之前,一定要注意的是,写的规则,千万要确保放行自己的连接,以免自己的ssh远程连接都不予放行,将自己挡在外面.

netfilter: 接收并生效规则;

 基本语法:

 iptables  [-t TABLE]  COMMAND CHAIN CRETIRIA -j TARGET

 iptables  [-t TABLE]   COMMAND    CHAIN   CRETIRIA    -j     TARGET

加在哪个表上     命令选项      链接    匹配标准    处理    处理办法

[以上语法格式,只是比较通用,不同的命令,用法不尽相同]

-t TABLE:

nat, mangle, raw, filter

默认为filter

管理链的命令:

-F:flush, 清空规则链;

-N:new, 自建一条链

-X: delete, 删除一条自定义的空链

-Z:zero,计数器归零

-P:policy,设置默认策略,对filter表来讲,默认规则为ACCEPT或DROP;

-E:重命名自定义链

管理链中的规则

-A :添加

-I :插入

-D : 删除

-R :修改  =>如果要修改一条规则的话,语法顺序要和写的时候对应,所以一般我不使用,通常是新写一条规则在要修改的规则之后,把要改的规则删除

查询规则:

-L

-n: 数字格式显示主机地址和端口;

-v: 详细格式,-vv, -vvv

--line-numbers: 显示规则编号

pkts bytes  target   prot opt in     out     source        destination

包数 字节数 目标    协议  流入的接口  流出的接口  源地址        目标地址

-x: exactly,不要对计数器的计数结果做单位换算,而显示其精确值

所有命令的使用,如果不带 -t table[指定的表] 则默认使用的是filter表

iptables [-t TABLE] -A 链名 匹配条件 -j 处理目标

匹配条件:

  通用匹配

-s 地址:指定报文源IP地址匹配的范围;可以是IP,也可以是网络地址;可使用!取反;

--src, --source

-d 地址:指定报文目标IP地址匹配的范围;

--dst, --destination

-p 协议:指定匹配报文的协议类型,一般有三种tcp, udp和icmp;

-i INTERFACE: 数据报文流入的接口;PREROUTING, INPUT, FORWARD

-o INTERFACE: 数据报文流出的接口;OUTPUT, FORWARD, POSTROUITING

  扩展匹配

隐式扩展:当使用-p {tcp|udp|icmp}中的一种时,可以直接使用扩展专用选项;

 -p tcp:

--sport PORT[-PORT]: 指定源端口

--dport PORT[-PORT]: 指定目标端口

--tcp-flags

 -p udp:

--sport

--dport

-p icmp [-m icmp]    =>网络报文探测协议

--icmp-type  0: echo-reply, ping响应  8: echo-request, ping请求

iptables

处理目标:

内置目标:

  DROP    一般不给通行的报文悄悄丢弃就好,最好不要使用reject

  REJECT

  ACCEPT

例,写一条规则,允许接收本机ping其它主机的请求回应

[root@apache_13 ~]# iptables -A INPUT -d 172.16.26.13 -p icmp --icmp-type 0 -j ACCEPT

放行本机对其它主机的ping请求

[root@apache_13 ~]# iptables -A OUTPUT -p icmp -j ACCEPT

 显式扩展:必须明确说明使用哪个模块进行扩展,而后才能使用其扩展专用选项;

-m state --state  ==>切记,每一个不同的扩展都要使用一次 -m参数

    模块:iptables,netfilter各拥有一部分代码

    multiport: 多端口匹配

    可用于匹配非连续或连续端口;最多指定15个端口;

专用选项:

--source-ports, --sports port[,port,port:port]

--destination-ports, --dports

--ports

[root@apache_13 ~]# iptables -I INPUT -p tcp -m multiport --dports 22,80 -j ACCEPT

放行所有访问22,80端口的报文

iprange: 匹配指定范围内的地址;

匹配一段连续的地址而非整个网络时有用;

专用选项:

[!] --src-ragne IP[-IP]

[!] --dst-range

[root@apache_13 ~]# iptables -I INPUT -p tcp -m multiport --dports 22,80 -m iprange --src-range 172.16.26.1-172.16.26.10 -j ACCEPT

放行172.16.26.1-10访问本机22,80端口的报文

string: 字符串匹配,能够检测报文应用层中的字符串

字符匹配检查高效算法

kmp, bm

专用选项:

--algo {kmp|bm}

--string "STRING"

--hex-string "HEX_STRING": HEX_STRING为编码成16进制格式的字串;

# iptables -I OUTPUT -m string --algo kmp --string "sex" -j DROP

如,不允许字串里包含有 admin

[root@apache_13 ~]# iptables -A OUTPUT  -m string --string  'admin' --algo kmp -j DROP

time: 基于时间做访问控制

专用选项:

--datestart YYYY[-MM][-DD[Thh[:mm[:ss]]]]

--datestop

例如,在8-19 至8-20不许访问

[root@apache_13 ~]#iptables -A INPUT -m time --datestart 2014-08-19 --datestop 2014-08-20 -j DROP

--timestart hh:mm[:ss]

--timestop hh:mm[:ss]

例如,在12:00 至 14:00 不许访问

[root@apache_13 ~]# iptables -A OUTPUT -m time --timestart 12:00 --timestop 14:00 -j DROP

--weekdays day[,day]

Mon, Tue,

例如,周一,二不许访问

[root@apache_13 ~]# iptables -A OUTPUT -m time --weekdays Mon,Tue -j DROP

connlimit: 连接数限制,对每IP所能够发起并发连接数做限制;

专用选项:

[!] --connlimit-above [n]

例如,限制176主机,大只能有3个ssh连接

[root@apache_13 ~]# iptables -I INPUT 1 -s 172.16.26.176 -p tcp --dport 22 -m connlimit --connlimit-above 3 -j DROP

limit: 速率限制

专用选项:

--limit n[/second|/minute|/hour|/day]

--limit-burst n

例子:每个ip每分钟只能ping 我20下,而且每次只能并发5个ping包

[root@apache_13 ~]# iptables -A INPUT -d 172.16.100.7 -p icmp --icmp-type 8 -m limit --limit 20/minute --limit-burst 5 -j ACCEPT

state: 状态检查

专用选项:

--state

[root@apache_13 ~]# iptables -I INPUT 3 -s 172.16.10.0/24 -d 172.16.26.13  -p tcp -m multiport --destination-ports 22,80 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -I OUTPUT 1 -m state --state ESTABLISHED  # 对于所有established状态的包全部放行,那么OUTPUT链上的其他的放行的规则都可以删除了

连接追踪中的状态:

NEW: 新建立一个会话

ESTABLISHED:已建立的连接

RELATED: 有关联关系的连接

INVALID: 无法识别的连接

综合练习1

限制本地主机的web服务器在周一不允许访问;新请求的速率不能超过100个每秒;web服务器包含了admin字符串的页面不允许访问;web服务器仅允许响应报文离开本机;

iptables -A OUTPUT -m time --weekdays Mon -m limit --limit 100/s  -m string --string  'admin' --algo kmp -j DROP

 限速     限制每秒100个  过滤字串 过滤 admin   使用 kmp算法

调整连接追踪功能所能容纳的连接的大数目:

/proc/sys/net/nf_conntrack_max

当前追踪的所有连接

/proc/net/nf_conntrack

不同协议或连接类型追踪时的属性:

/proc/sys/net/netfilter目录:

放行被动模式下的FTP服务:

1、装载模块/lib/modules/KERNEL_VERSION/kernel/net/netfilter/

模块:nf_conntrack_ftp

2、放行请求报文:

(1)放行NEW状态对21端口请求的报文;

(2) 放行ESTABLISHED以及RELATED状态的报文

3、放行响应报文:

(1) 放行ESTABLISHED以及RELATED状态的报文

综合案例

iptables 规则的应用

配置apache_13有ssh,httpd服务的路由规则

-A INPUT -p tcp -m tcp --dport 80 -m time --weekdays Tue  --datestop 2038-01-19T11:14:07 -m string --string "admin" --algo kmp --to 65535 -j DROP

-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP

-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP

-A INPUT -d 172.16.26.13/32 -p udp -m udp --sport 53 -j ACCEPT

-A INPUT -d 172.16.26.13/32 -p tcp -m tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

-A INPUT -p tcp -m tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT

-A INPUT -s 172.16.26.14/32 -j ACCEPT

-A INPUT -s 172.16.26.16/32 -j ACCEPT

-A OUTPUT -s 172.16.26.13/32 -p udp -m udp --dport 53 -j ACCEPT

-A OUTPUT -p tcp -m state --state ESTABLISHED -j ACCEPT

-A OUTPUT -p icmp -j ACCEPT

-A OUTPUT -p tcp -m multiport --sports 22,80 -j ACCEPT

-A OUTPUT -d 172.16.26.14/32 -p tcp -m tcp --dport 9000 -j ACCEPT

iptables的规则保存与读取

service iptables save ==>规则保存到了/etc/sysconfig/iptables

还可以保存到自定义的位置

iptables-save > /tmp/iptables.cnf .

哪天想读进来了,可以 iptables-restore <  /tmp/iptables

另外有需要云服务器可以了解下创新互联scvps.cn,海内外云服务器15元起步,三天无理由+7*72小时售后在线,公司持有idc许可证,提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案,具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势,专为企业上云打造定制,能够满足用户丰富、多元化的应用场景需求。

本文题目:iptables规则的应用-创新互联
URL链接:https://www.cdcxhl.com/article34/coiise.html

成都网站建设公司_创新互联,为您提供标签优化自适应网站网站排名做网站网站制作微信公众号

广告

声明:本网站发布的内容(图片、视频和文字)以用户投稿、用户转载内容为主,如果涉及侵权请尽快告知,我们将会在第一时间删除。文章观点不代表本网站立场,如需处理请联系客服。电话:028-86922220;邮箱:631063699@qq.com。内容未经允许不得转载,或转载时需注明来源: 创新互联

h5响应式网站建设