当前位置：文档之家 › 最全的iptables防火墙详解

最全的iptables防火墙详解

  • 格式：pdf
  • 大小：502.80 KB
  • 文档页数：27

iptables官方网站：/•数据包经过防火墙的路径•禁止端口•强制访问某站点•发布内部网络服务器•智能DNS•端口映射•通过NAT上网•IP规则的保存与恢复•iptables指令语法•iptables实例数据包经过防火墙的路径图1比较完整地展示了一个数据包是如何经过防火墙的，考虑到节省空间，该图实际上包了三种情况：来自外部，以防火墙（本机）为目的地的包，在图1中自上至下走左边一条路径。

由防火墙（本机）产生的包，在图1中从“本地进程”开始，自上至下走左边一条路径来自外部，目的地是其它主机的包，在图1中自上至下走右边一条路径。

图1如果我们从上图中略去比较少用的mangle表的图示,就有图2所显示的更为清晰的路径图.图2禁止端口的实例禁止ssh端口只允许在192.168.62.1上使用ssh远程登录，从其它计算机上禁止使用ssh #iptables-A INPUT-s192.168.62.1-p tcp--dport22-j ACCEPT#iptables-A INPUT-p tcp--dport22-j DROP禁止代理端口#iptables-A INPUT-p tcp--dport3128-j REJECT禁止icmp端口除192.168.62.1外，禁止其它人ping我的主机#iptables-A INPUT-i eth0-s192.168.62.1/32-p icmp-m icmp--icmp-type echo-request-j ACCEPT #iptables-A INPUT-i eth0-p icmp--icmp-type echo-request–j?DROP或#iptables-A INPUT-i eth0-s192.168.62.1/32-p icmp-m icmp--icmp-type8-j ACCEPT#iptables-A INPUT-i eth0-p icmp-m icmp--icmp-type8-j DROP注：可以用iptables--protocol icmp--help查看ICMP类型还有没有其它办法实现?禁止QQ端口#iptables-D FORWARD-p udp--dport8000-j REJECT强制访问指定的站点图3要使192.168.52.0/24网络内的计算机(这此计算机的网关应设为192.168.52.10)强制访问指定的站点,在做为防火墙的计算机(192.168.52.10)上应添加以下规则:1.打开ip包转发功能echo1>/proc/sys/net/ipv4/ip_forward2.在NAT/防火墙计算机上的NAT表中添加目的地址转换规则:iptables-t nat-I PREROUTING-i eth0-p tcp--dport80-j DNAT--to-destination202.96.134.130:80 iptables-t nat-I PREROUTING-i eth0-p udp--dport80-j DNAT--to-destination202.96.134.130:80 3.在NAT/防火墙计算机上的NAT表中添加源地址转换规则:iptables-t nat-I POSTROUTING-o eth1-p tcp--dport80-s192.168.52.0/24-j SNAT--to-source 202.96.134.10:20000-30000iptables-t nat-I POSTROUTING-o eth1-p udp--dport80-s192.168.52.0/24-j SNAT--to-source 202.96.134.10:20000-300004.测试:在内部网的任一台计算机上打开浏览器,输入任一非本网络的IP,都将指向IP为202.96.134.130的网站.发布内部网络服务器图4要使因特网上的计算机访问到内部网的FTP服务器、WEB服务器,在做为防火墙的计算机上应添加以下规则:1.echo1>/proc/sys/net/ipv4/ip_forward2.发布内部网web服务器iptables-t nat-I PREROUTING-p tcp-i eth1-s202.96.134.0/24--dport80-j DNAT--to-destination 192.168.52.15:80iptables-t nat-I POSTROUTING-p tcp-i eth0-s192.168.52.15--sport80-j SNAT--to-source 202.96.134.10:20000-300003.发布内部网ftp服务器iptables-t nat-I PREROUTING-p tcp-i eth1-s202.96.134.0/24--dport21-j DNAT--to-destination 192.168.52.14:21iptables-t nat-I POSTROUTING-p tcp-i eth0-s192.168.52.14--sport21-j SNAT--to-source 202.96.134.10:40000-500004.注意:内部网的计算机网关要设置为防火墙的ip(192.168.52.1)5.测试:用一台IP地址为202.96.134.0段的计算机虚拟因特网访问,当在其浏览器中访问http://202.96.134.10时,实际应看到的是192.168.52.15的的web服务;当访问ftp://202.96.134.10时,实际应看到的是192.168.52.14上的的ftp服务智能DNS图51.echo1>/proc/sys/net/ipv4/ip_forward2.在NAT服务器上添加以下规则:在PREROUTING链中添加目的地址转换规则:iptables-t nat-I PREROUTING-i eth0-p tcp--dpor53-j DNAT--to-destination202.96.134.130 iptables-t nat-I PREROUTING-i eth0-p udp--dpor53-j DNAT--to-destination202.96.134.130在POSTROUTING链中添加源地址转换规则:iptables-t nat-I POSTROUTING-o eth1-s192.168.52.0/24-p tcp--dpor53-j SNAT--to-source 202.96.134.10:40000-50000iptables-t nat-I POSTROUTING-o eth1-s192.168.52.0/24-p udp--dpor53-j SNAT--to-source 202.96.134.10:40000-500003.测试在内部网任一台计算机上,将DNS设置为任意的外网IP,就可以使用DNS测试工具如nslookup 来解析DNS服务器202.96.134.130上的名称.端口映射见上节透明代理设置#iptables-t nat-A PREROUTING-i eth0-p tcp-s192.168.62.0/24--dport80-j REDIRECT--to-ports3128通过NAT上网典型NAT上网一般做为NAT的计算机同时也是局域网的网关，假定该机有两块网卡eth0、eth1，eth0连接外网，IP为202.96.134.134；eth1连接局域网，IP为192.168.62.101.先在内核里打开ip转发功能#echo1>/proc/sys/net/ipv4/ip_forward2.?使局域网用户能访问internet所要做的nat#iptables-t nat-A POSTROUTING-p tcp-o eth0-j SNAT--to?202.96.134.134如果上网的IP是动态IP，则使用以下规则：#iptables-t nat-A POSTROUTING-o eth0-s192.168.62.0/24-j MASQUERADE如果是通过ADSL上网，且公网IP是动态IP，则使用以下规则：#iptables-t nat-A POSTROUTING-o ppp0-s192.168.62.0/24-j MASQUERADE3.使internet用户可以访问局域网内web主机所要做的nat#iptables-t nat-A PREROUTING-p tcp-d202.96.134.134--dport80-j DNAT--to-destination 192.168.62.10注：局域网内的客户端需将默认网关、DNS设为防火墙的IP在我们的网络机房实现NAT共享上网工作环境:上层代理192.168.60.6(4480)，只授予教师机(192.168.62.111)使用该代理的权限目标：不使用squid代理上网，而是使用NAT的方式上网方法：1)确保停止教师机(192.168.62.111)的squid或其它代理服务2)客户端网关、DNS均指向192.168.62.111，浏览器代理设置为192.168.60.6(4480)。

测试在当前情况下能否上网3)在教师机(192.168.62.111)上添加如下iptables规则：#iptables-t nat-A POSTROUTING-p tcp-d192.168.60.6/32--dport4480-j SNAT--to-source 192.168.62.111:10000-30000解释：对于目的地为192.168.60.6、目的端口为4480的TCP包，在经过防火墙路由后，将其源地址转换为192.168.62.111，端口转换为10000-30000间的某个端口。

4)客户端测试能否上网IP规则的保存与恢复iptables-save把规则保存到文件中，再由目录rc.d下的脚本（/etc/rc.d/init.d/iptables）自动装载使用命令iptables-save来保存规则。

一般用iptables-save>/etc/sysconfig/iptables生成保存规则的文件/etc/sysconfig/iptables，也可以用service iptables save它能把规则自动保存在/etc/sysconfig/iptables中。

当计算机启动时，rc.d下的脚本将用命令iptables-restore调用这个文件，从而就自动恢复了规则。

iptables指令语法iptables[-t table]command[match][-j target/jump][-t table]指定规则表-t参数用来，内建的规则表有三个，分别是：nat、mangle和filter，当未指定规则表时，则一律视为是filter。

合集下载

iptables设置防火墙规则

iptables设置防火墙规则

iptables设置防火墙规则以iptables设置防火墙规则为标题，可以写一篇关于iptables防火墙规则的文章。

下面是一种可能的写作方式：标题：使用iptables设置防火墙规则保护网络安全导言：在当前的网络环境中，保护网络安全是至关重要的。

为了防止网络攻击和非法访问，我们可以使用iptables来设置防火墙规则。

本文将介绍iptables的基本概念和常用命令，并提供一些示例来帮助您理解如何使用iptables保护您的网络。

一、iptables简介iptables是一个在Linux系统上使用的防火墙工具，它可以监控和过滤网络流量，以及控制网络数据包的传输。

iptables可以根据预定义的规则集来允许或拒绝特定的网络连接。

二、iptables基本命令1. 添加规则：使用iptables的-A选项可以向规则链中添加新的规则。

例如，以下命令将允许从特定IP地址（192.168.1.100）访问SSH服务：iptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT2. 删除规则：使用iptables的-D选项可以从规则链中删除指定的规则。

例如，以下命令将删除允许从特定IP地址（192.168.1.100）访问SSH服务的规则：iptables -D INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT3. 查看规则：使用iptables的-L选项可以查看当前规则链中的规则。

例如，以下命令将显示INPUT规则链中的所有规则：iptables -L INPUT三、常用的防火墙规则示例1. 允许特定IP地址的访问：以下命令将允许来自192.168.1.100的IP地址访问HTTP服务：iptables -A INPUT -s 192.168.1.100 -p tcp --dport 80 -j ACCEPT2. 允许特定端口的访问：以下命令将允许所有IP地址访问SSH服务：iptables -A INPUT -p tcp --dport 22 -j ACCEPT3. 拒绝特定IP地址的访问：以下命令将拒绝来自192.168.1.200的IP地址访问FTP服务：iptables -A INPUT -s 192.168.1.200 -p tcp --dport 21 -j DROP4. 阻止所有对外部SSH服务的访问：以下命令将阻止所有对外部SSH服务的访问：iptables -A INPUT -p tcp --dport 22 -j DROP四、更高级的防火墙规则设置1. 限制连接速率：可以使用iptables的限速模块来限制特定IP地址的连接速率。

Linux命令高级技巧使用iptables和ipset进行高级网络防火墙配置

Linux命令高级技巧使用iptables和ipset进行高级网络防火墙配置

Linux命令高级技巧使用iptables和ipset进行高级网络防火墙配置在网络安全领域，配置高级网络防火墙是至关重要的。

Linux操作系统提供了一些强大的工具来实现这一目的，其中最常用的是iptables和ipset。

本文将介绍如何使用这两个工具来进行高级网络防火墙配置。

一、iptables简介iptables是一个功能强大的Linux防火墙工具，它允许管理员配置、管理和维护网络安全规则集。

iptables使用内核的netfilter框架来实现数据包过滤和转发。

它可以根据网络协议、源IP地址、目标IP地址、端口号等多个条件来过滤和控制数据包的流动。

下面是一些常用的iptables命令及其功能：1. iptables -A chain -p protocol --source address --destination address --dport port -j action：添加规则到指定链，根据指定条件决定数据包的操作（动作）。

2. iptables -D chain rule-number：从指定链中删除指定规则。

3. iptables -L：列出当前的防火墙规则集。

4. iptables -F chain：清空指定链中的所有规则。

5. iptables -P chain target：设置指定链的默认策略。

二、ipset简介ipset是一个用于管理大规模IP地址和端口的工具，它可以与iptables一起使用，提高防火墙规则的效率和性能。

ipset通过将IP地址和端口号存储在内存中的数据结构中，可以更快地匹配和过滤数据包。

ipset的一些常用命令如下：1. ipset create setname type：创建一个新的ipset。

2. ipset add setname entry：将条目添加到指定的ipset中。

3. ipset del setname entry：从指定的ipset中删除条目。

iptables和firewalld防火墙总结（史上最全）

iptables和firewalld防火墙总结（史上最全）

iptables和firewalld防⽕墙总结（史上最全）防⽕墙管理⼯具保证数据的安全性是继可⽤性之后最为重要的⼀项⼯作，防⽕墙技术作为公⽹与内⽹之间的保护屏障，起着⾄关重要的作⽤。

⾯对同学们普遍不了解在RHEL7系统中新旧两款防⽕墙的差异，认识在RHEL7系统中firewalld防⽕墙服务与iptables防⽕墙服务之间的关系，从理论和事实层⾯剖析真相。

本章节内将会分别使⽤iptables、firewall-cmd、firewall-config和Tcp_wrappers等防⽕墙策略配置服务来完成数⼗个根据真实⼯作需求⽽设计的防⽕墙策略配置实验，让同学们不仅能够熟练的对请求数据包流量进⾏过滤，还能够基于服务程序进⾏允许和关闭操作，做到保证安全万⽆⼀失。

保证数据安全性是继可⽤性之后最为重要的⼀项⼯作，众所周知外部公⽹相⽐企业内⽹更加的“罪恶丛⽣”，因此防⽕墙技术作为公⽹与内⽹之间的保护屏障，虽然有软件或硬件之分，但主要功能都是依据策略对外部请求进⾏过滤。

防⽕墙技术能够做到监控每⼀个数据包并判断是否有相应的匹配策略规则，直到匹配到其中⼀条策略规则或执⾏默认策略为⽌，防⽕墙策略可以基于来源地址、请求动作或协议等信息来定制，最终仅让合法的⽤户请求流⼊到内⽹中，其余的均被丢弃。

图8-1 防⽕墙作为公⽹与内⽹之间的保护屏障在红帽RHEL7系统中Firewalld服务取代了Iptables服务，对于接触系统⽐较早或学习过红帽RHEL6系统的读者来讲，突然改⽤Firewalld服务后确实不免会有些抵触⼼理，或许会觉得Firewalld服务是⼀次不⼩的改变。

但其实Iptables服务与Firewalld服务都不是真正的防⽕墙，它们都只是⽤来定义防⽕墙策略功能的“防⽕墙管理⼯具”⽽已，iptables服务会把配置好的防⽕墙策略交由内核层⾯的netfilter⽹络过滤器来处理，⽽firewalld服务则是把配置好的防⽕墙策略交由内核层⾯的nftables包过滤框架来处理。

Linux命令高级技巧使用iptables和ufw命令进行网络防火墙配置

Linux命令高级技巧使用iptables和ufw命令进行网络防火墙配置

Linux命令高级技巧使用iptables和ufw命令进行网络防火墙配置Linux命令高级技巧：使用iptables和ufw命令进行网络防火墙配置在Linux操作系统中，网络防火墙是保护系统网络安全的重要组成部分。

通过合理配置网络防火墙规则，可以控制网络流量的进出，阻挡恶意攻击和未经授权的访问，确保系统的安全性。

本文将介绍Linux 中的两个重要命令iptables和ufw，以及使用它们进行网络防火墙配置的高级技巧。

一、iptables命令iptables是Linux中主要的防火墙工具，可以在内核级别对进出的网络流量进行过滤、转发和NAT(Network Address Translation)等操作。

下面是一些常用的iptables命令及其用法：1. 启用IP转发功能在做网络防火墙配置之前，需要确保系统开启了IP转发功能。

可以使用以下命令启用：```shellsysctl -w net.ipv4.ip_forward=1```此命令将系统的`net.ipv4.ip_forward`参数设置为1，即开启IP转发功能。

2. 基本规则设置使用以下命令创建一条基本的防火墙规则，允许本地主机的所有传入和传出流量：```shelliptables -P INPUT ACCEPTiptables -P OUTPUT ACCEPTiptables -P FORWARD ACCEPT```这些命令将INPUT、OUTPUT和FORWARD链的默认策略都设置为ACCEPT，即允许全部流量。

3. 添加规则可以使用iptables命令添加特定的防火墙规则，以允许或拒绝特定的流量。

例如，以下命令将允许来自192.168.1.100的主机的SSH连接：```shelliptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT```此命令将在INPUT链中添加一条规则，允许源IP为192.168.1.100，目标端口为22的TCP连接。