CentOS 6.x 配置iptables

阿弥嘛嘛洪 發表於 2019-9-11 10:34:00

<h1>CentOS 6.x 配置iptables</h1>
来源 https://www.cnblogs.com/chillax1314/p/7976067.html
 
iptables -P INPUT DROP---设置INPUT链默认规则为丢弃所有流量 iptbales有四表五链，raw，mangle，nat，filter(默认)表；五链：INPUT，OUTPUT，FORWARD，PREROUTING，POSTROUTING
<img src="https://img2018.cnblogs.com/blog/825468/201909/825468-20190911103340970-1142102155.png">
 
系统默认的iptables规则
<div class="cnblogs_code">
<pre>iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -j REJECT --reject-with icmp-host-prohibited
iptables -A FORWARD -j REJECT --reject-with icmp-host-prohibited</pre>
</div>
<img src="https://img2018.cnblogs.com/blog/825468/201909/825468-20190911101841955-2079037034.png">
 
 系统默认的ip6tables规则
<div class="cnblogs_code">
<pre>ip6tables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
ip6tables -A INPUT -p ipv6-icmp -j ACCEPT
ip6tables -A INPUT -i lo -j ACCEPT
ip6tables -A INPUT -m state --state NEW -m udp -p udp --dport 546 -d fe80::/64 -j ACCEPT
ip6tables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
ip6tables -A INPUT -j REJECT --reject-with icmp6-adm-prohibited
ip6tables -A FORWARD -j REJECT --reject-with icmp6-adm-prohibited</pre>
</div>
<img src="https://img2018.cnblogs.com/blog/825468/201909/825468-20190911101854859-1278240224.png">
 
 
vim iptables.sh 拷贝一下内容，具体按实际生产需求修改,此脚本默认丢弃INPUT流量，放行OUTPUT链流量，丢弃FORWARD流量；
#!/bin/bash
#清空iptables 规则 iptables -F iptables -X iptables -t nat -F iptables -t nat -X
#允许本机访问本机 iptables -A INPUT -i lo -j ACCEPT
#添加黑名单方法
#iptables -I INPUT -s 192.168.0.1 -j DROP #屏蔽单个IP的命令
#iptables -I INPUT -s 192.168.1.0/24 -j DROP #封IP段即从192.168.1.0到192.168.1.254的命令
#允许172.16.20.0 192.168.2.0/24 ssh访问进来 iptables -A INPUT -s 172.16.20.0/24 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -s 192.168.2.0/24 -p tcp --dport 22 -j ACCEPT
#允许https通行 iptables -A INPUT -p tcp --dport 443 -j ACCEPT
#允许http访问服务器，已经存在的链接不断开 iptables -A INPUT -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
#允许已经建立的链接继续通行 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#允许ping
#iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
#设置INPUT链默认丢弃 iptables -P INPUT DROP
#设置OUTPUT链默认允许 iptables -P OUTPUT ACCEPT
#设置默认丢弃FORWARD链 iptables -P FORWARD DROP
#防止各种攻击 iptables -A FORWARD -p icmp -icmp-type echo-request -m limit -limit 1/s -j ACCEPT iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p tcp --syn -m limit --limit 12/s --limit-burst 24 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 20 -j REJECT  iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT
#允许本机访问192.168.7.2的ftp服务器
iptables -A INPUT -s 192.168.7.2 -p tcp -m multiport --dports 20,21 -m state --state NEW -j ACCEPT iptables -A INPUT -s 192.168.7.2 -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT iptables -A INPUT -s 192.168.7.2 -p tcp -m tcp --dport 30001:31000 -j ACCEPT
#保存iptables service iptables save 或者用iptables-save > /etc/sysconfig/iptables chkconfig iptables on ——添加开机启动 service iptables restart——重启iptables服务，其实不需要重启立即生效
 注意：如果在生产上ssh端口不是默认的22，会导致执行了此脚本后无法连接服务器，为了防止此类事情发生，可以定期执行一个脚本取消iptables运行 crontab -e /10 * /etc/init.d/iptables stop——每十分钟执行停止iptables服务
 
查看iptables记录信息
<img src="http://i2.51cto.com/images/blog/201712/03/720da829a93a08c7e6a9d6fb2076c2b3.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=">
 
日志信息查看 more /proc/net/nf_conntrack
 
=============== End
  
来源：https://www.cnblogs.com/lsgxeva/p/11504827.html

頁: [1]

琼殿技术论坛's Archiver

CentOS 6.x 配置iptables