Linux下iptables 禁止端口和开放端口

<p>1、关闭所有的 INPUT FORWARD OUTPUT 只对某些端口开放。</p><p>下面是命令实现:</p><p>iptables -P INPUT DROP</p><p>iptables -P FORWARD DROP</p><p>iptables -P OUTPUT DROP</p><p>再用命令 iptables -L -n 查看 是否设置好, 好看到全部 DROP 了</p><p>这样的设置好了,只是临时的, 重启服务器还是会恢复原来没有设置的状态</p><p>还要使用 service iptables save 进行保存</p><p>看到信息 firewall rules 防火墙的规则 其实就是保存在 /etc/sysconfig/iptables</p><p>可以打开文件查看 vi /etc/sysconfig/iptables</p><p>2、下面只打开22端口,就是下面2个语句</p><p>iptables -A INPUT -p tcp --dport 22 -j ACCEPT</p><p>iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT</p><p>再查看下 iptables -L -n 是否添加上去, 看到添加了</p><p>Chain INPUT (policy DROP)</p><p>target prot opt source destination</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22</p><p>Chain FORWARD (policy DROP)</p><p>target prot opt source destination</p><p>Chain OUTPUT (policy DROP)</p><p>target prot opt source destination</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:22</p><p>现在Linux服务器只打开了22端口,用putty.exe测试一下是否可以链接上去。</p><p>可以链接上去了,说明没有问题。</p><p>最后别忘记了保存 对防火墙的设置</p><p>通过命令:service iptables save 进行保存</p><p>iptables -A INPUT -p tcp --dport 22 -j ACCEPT</p><p>iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT</p><p>针对这2条命令进行一些讲解吧</p><p>-A 参数就看成是添加一条 INPUT 的规则</p><p>-p 指定是什么协议,常用的tcp 协议,当然也有udp 例如53端口的DNS</p><p>到时要配置DNS用到53端口,就会发现使用udp协议的</p><p>而 --dport 就是目标端口 当数据从外部进入服务器为目标端口</p><p>反之 数据从服务器出去 则为数据源端口 使用 --sport</p><p>-j 就是指定是 ACCEPT 接收 或者 DROP 不接收</p><p>3、禁止某个IP访问</p><p>1台Linux服务器,2台windows xp 操作系统进行访问</p><p>Linux服务器ip 192.168.1.99</p><p>xp1 ip: 192.168.1.2</p><p>xp2 ip: 192.168.1.8</p><p>下面看看2台xp 都可以访问的</p><p>192.168.1.2 这是 xp1 可以访问的,</p><p>192.168.1.8 xp2 也是可以正常访问的。</p><p>那么现在禁止 192.168.1.2 xp1 访问, xp2 正常访问,</p><p>下面看看演示</p><p>通过命令 iptables -A INPUT -p tcp -s 192.168.1.2 -j DROP</p><p>这里意思就是 -A 就是添加新的规则, 怎样的规则呢? 由于访问网站使用tcp的,</p><p>就用 -p tcp , 如果是 udp 就写udp,这里就用tcp了, -s就是 来源的意思,</p><p>ip来源于 192.168.1.2 ,-j 怎么做 拒绝它 这里应该是 DROP</p><p>好,看看效果。好添加成功。下面进行验证 一下是否生效</p><p>一直出现等待状态 最后 该页无法显示 ,这是 192.168.1.2 xp1 的访问被拒绝了。</p><p>再看看另外一台 xp 是否可以访问, 是可以正常访问的 192.168.1.8 是可以正常访问的</p><p>4、如何删除规则</p><p>首先要知道 这条规则的编号,每条规则都有一个编号</p><p>通过 iptables -L -n --line-number 可以显示规则和相对应的编号</p><p>num target prot opt source destination</p><p>1 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:3306</p><p>2 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:21</p><p>3 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80</p><p>多了 num 这一列, 这样就可以 看到刚才的规则对应的是 编号2</p><p>那么就可以进行删除了</p><p>iptables -D INPUT 2</p><p>删除INPUT链编号为2的规则。</p><p>再 iptables -L -n 查看一下 已经被清除了。</p><p>5、过滤无效的数据包</p><p>假设有人进入了服务器,或者有病毒木马程序,它可以通过22,80端口像服务器外传送数据。</p><p>它的这种方式就和正常访问22,80端口区别。它发向外发的数据不是通过访问网页请求</p><p>而回应的数据包。</p><p>下面要禁止这些没有通过请求回应的数据包,统统把它们堵住掉。</p><p>iptables 提供了一个参数 是检查状态的,下面来配置下 22 和 80 端口,防止无效的数据包。</p><p>iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT</p><p>可以看到和以前使用的:</p><p>iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT</p><p>多了一个状态判断。</p><p>同样80端口也一样, 现在删掉原来的2条规则,</p><p>iptables -L -n --line-number 这个是查看规则而且带上编号。看到编号就可以</p><p>删除对应的规则了。</p><p>iptables -D OUTPUT 1 这里的1表示第一条规则。</p><p>当你删除了前面的规则, 编号也会随之改变。看到了吧。</p><p>好,删除了前面2个规则,22端口还可以正常使用,说明没问题了</p><p>下面进行保存,别忘记了,不然的话重启就会还原到原来的样子。</p><p>service iptables save 进行保存。</p><p>Saving firewall rules to /etc/sysconfig/iptables: [ OK ]</p><p>其实就是把刚才设置的规则写入到 /etc/sysconfig/iptables 文件中。</p><p>6、DNS端口53设置</p><p>下面来看看如何设置iptables来打开DNS端口,DNS端口对应的是53</p><p>只开放22和80端口, 现在看看能不能解析域名。</p><p>hostwww.google.com 输入这个命令后,一直等待,说明DNS不通</p><p>出现下面提示 :</p><p>;; connection timed out; no servers could be reached</p><p>ping 一下域名也是不通</p><p>[root@localhost ~pingwww.google.com</p><p>ping: unknown hostwww.google.com</p><p>这里的原因就是 iptables 限制了53端口。</p><p>有些服务器,特别是Web服务器减慢,DNS其实也有关系的,无法发送包到DNS服务器导致的。</p><p>下面演示下如何使用 iptables 来设置DNS 53这个端口,如果你不知道 域名服务端口号,你</p><p>可以用命令 : grep domain /etc/services</p><p>[root@localhost ~grep domain /etc/services</p><p>domain 53/tcp # name-domain server</p><p>domain 53/udp</p><p>domaintime 9909/tcp # domaintime</p><p>domaintime 9909/udp # domaintime</p><p>看到了吧, 一般使用 udp 协议。</p><p>好了, 开始设置。。。</p><p>iptables -A OUTPUT -p udp --dport 53 -j ACCEPT</p><p>这是 ping 一个域名,数据就是从本机出去,所以先设置 OUTPUT,按照ping这个流程来设置。</p><p>然后 DNS 服务器收到发出去的包,就回应一个回来</p><p>iptables -A INPUT -p udp --sport 53 -j ACCEPT</p><p>同时还要设置</p><p>iptables -A INPUT -p udp --dport 53 -j ACCEPT</p><p>iptables -A OUTPUT -p udp --sport 53 -j ACCEPT</p><p>好了, 下面开始测试下, 可以用 iptables -L -n 查看设置情况,确定没有问题就可以测试了</p><p>[root@localhost ~iptables -L -n</p><p>Chain INPUT (policy DROP)</p><p>target prot opt source destination</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80</p><p>ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp spt:53</p><p>ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53</p><p>Chain FORWARD (policy DROP)</p><p>target prot opt source destination</p><p>Chain OUTPUT (policy DROP)</p><p>target prot opt source destination</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:22 state ESTABLISHED</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:80 state ESTABLISHED</p><p>ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53</p><p>ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp spt:53</p><p>可以测试一下 是否 DNS 可以通过iptables 了。</p><p>[root@localhost ~hostwww.google.com</p><p>www.google.comis an alias forwww.l.google.com.</p><p>www.l.google.comis an alias for www-china.l.google.com.</p><p>www-china.l.google.com has address 64.233.189.104</p><p>www-china.l.google.com has address 64.233.189.147</p><p>www-china.l.google.com has address 64.233.189.99</p><p>正常可以解析 google 域名。</p><p>ping 方面可能还要设置些东西。</p><p>用 nslookup 看看吧</p><p>[root@localhost ~nslookup</p><p>&gt;www.google.com</p><p>Server: 192.168.1.1</p><p>Address: 192.168.1.1#53</p><p>Non-authoritative answer:</p><p>www.google.comcanonical name =www.l.google.com.</p><p>www.l.google.com canonical name = www-china.l.google.com.</p><p>Name: www-china.l.google.com</p><p>Address: 64.233.189.147</p><p>Name: www-china.l.google.com</p><p>Address: 64.233.189.99</p><p>Name: www-china.l.google.com</p><p>Address: 64.233.189.104</p><p>说明本机DNS正常, iptables 允许53这个端口的访问。</p><p>7、iptables对ftp的设置</p><p>现在开始对ftp端口的设置,按照以前的视频,添加需要开放的端口</p><p>ftp连接端口有2个 21 和 20 端口,现在添加对应的规则。</p><p>[root@localhost rootiptables -A INPUT -p tcp --dport 21 -j ACCEPT</p><p>[root@localhost rootiptables -A INPUT -p tcp --dport 20 -j ACCEPT</p><p>[root@localhost rootiptables -A OUTPUT -p tcp --sport 21 -j ACCEPT</p><p>[root@localhost rootiptables -A OUTPUT -p tcp --sport 20 -j ACCEPT</p><p>好,这样就添加完了,用浏览器访问一下ftp,出现超时。</p><p>所以刚才说 ftp 是比较特殊的端口,它还有一些端口是 数据传输端口,</p><p>例如目录列表, 上传 ,下载 文件都要用到这些端口。</p><p>而这些端口是 任意 端口。。。 这个 任意 真的比较特殊。</p><p>如果不指定什么一个端口范围, iptables 很难对任意端口开放的,</p><p>如果iptables允许任意端口访问, 那和不设置防火墙没什么区别,所以不现实的。</p><p>那么的解决办法就是 指定这个数据传输端口的一个范围。</p><p>下面修改一下ftp配置文件。</p><p>这里使用vsftpd来修改演示,其他ftp不知道哪里修改,大家可以找找资料。</p><p>[root@localhost rootvi /etc/vsftpd.conf</p><p>在配置文件的最下面 加入</p><p>pasv_min_port=30001</p><p>pasv_max_port=31000</p><p>然后保存退出。</p><p>这两句话的意思告诉vsftpd, 要传输数据的端口范围就在30001到31000 这个范围内传送。</p><p>这样们使用 iptables 就好办多了,们就打开 30001到31000 这些端口。</p><p>[root@localhost rootiptables -A INPUT -p tcp --dport 30001:31000 -j ACCEPT</p><p>[root@localhost rootiptables -A OUTPUT -p tcp --sport 30001:31000 -j ACCEPT</p><p>[root@localhost rootservice iptables save</p><p>最后进行保存, 然后再用浏览器范围下 ftp。可以正常访问</p><p>用个账号登陆上去,也没有问题,上传一些文件上去看看。</p><p>看到了吧,上传和下载都正常。。 再查看下 iptables 的设置</p><p>[root@localhost rootiptables -L -n</p><p>Chain INPUT (policy DROP)</p><p>target prot opt source destination</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:21</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:20</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpts:30001:31000</p><p>Chain FORWARD (policy DROP)</p><p>target prot opt source destination</p><p>Chain OUTPUT (policy DROP)</p><p>target prot opt source destination</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:22</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:21</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:20</p><p>ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spts:30001:31000</p><p>这是我为了演示ftp特殊端口做的简单规则,大家可以添加一些对数据包的验证</p><p>例如 -m state --state ESTABLISHED,RELATED 等等要求更加高的验证</p><p></p>
RangeTime:0.006153s
RangeMem:215.6 KB
返回顶部 留言