欢迎来到天天文库
浏览记录
ID:38157480
大小:35.03 KB
页数:12页
时间:2019-06-06
《iptables 防火墙》由会员上传分享,免费在线阅读,更多相关内容在教育资源-天天文库。
1、iptables防火墙CentOS6:serviceiptables{start
2、stop
3、restart
4、status}start:读取事先保存的规则,并应用到netfilter上stop:清空netfilter上的规则,以及还原默认策略等status:显示生效的规则restart:清空netfilter上的规则,再读取事先保存的规则,并应用到netfilter上;CentOS7:systemctlstart
5、status
6、stop
7、restart
8、disablefirewalld.service装完系统一定最好关掉,禁止开机启动,用iptables管理,这个太麻烦最后启动的脚本/
9、etc/rc.d/rc.local[root@yph7~]#iptables-Nmychain添加链[root@yph7~]#iptables-L–n查看[root@yph7~]#iptables-Xmychain删除链-F:默认清空整张表的所有链清空nat表的prerouting链[root@yph7~]#iptables-tnat-FPREROUTING禁止访问,用filter表,IP为网段的话用172.16.0.0/16[root@yph7~]#iptables-tfilter-AINPUT-s172.16.59.20-d172.16.59.10-jDROP[root@yph7
10、~]#iptables-tfilter-L-n[root@yph7~]#iptables-tfilter-L-n--line-numbers-vChainINPUT(policyACCEPT293packets,22875bytes)numpktsbytestargetprotoptinoutsourcedestination100DROPall--**172.16.59.20172.16.59.10policyACCEPT:表示默认就算不指明也是允许的num:规则编号pkts:规则匹配到的报文个数bytes:所有报文大小target:处理动作prot:协议opt:选项in:从哪个网
11、卡进来out:从哪个网卡出去source:源IPdestination:目的地[root@yph7~]#watch-n1'iptables-tfilter-L-n-v'然后拿172.16.59.20主机ping此主机,会发现pkts一直增加[root@y7-2~]#hping--faster172.16.59.10修改链,修改序列号为1的链为:[root@yph7~]#iptables-tfilter-RINPUT1-s172.16.59.20-d172.16.59.10-picmp-jREJECT只拒收来自172.16.59.20的IP的icmp协议,但tcp协议正常功能:filt
12、er:过滤,防火墙;nat:networdaddresstranslation:用于修改源IP或目标IP,也可以改端口mangle:拆解报文,作出修改,并重新封装raw:关闭nat表上启用的连接追踪功能功能<--链raw:PREROUTINGOUTPUTmangle:PREROUTINGINPUTFORWARDOUTPUTPOSTROUTINGnat:PREROUTING[INPUT]OUTPUTPOSTROUTINGfilter:INPUTFORWARDOUTPUT链---功能PREROUTING:rawmanglenatINPUT:manglefilterFORWARD:mang
13、lefilterOUTPUT:rawmanglenatfilterPOSTROUTING:manglenat报文流向:流入本机:PREROUTING-->INPUT由本机流出:OUTPUT-->POSTROUTING转发:PREROUTING-->FORWARD-->POSTROUTING添加规则时的考量点1、要实现的功能:判断添加到哪张表上2、报文流经的路径:判断添加到哪条链上链上的规则次序,即为检查次序;1、同类规则(访问同一应用),匹配范围小的放上面2、不同类的规则(访问不同应用),匹配到的报文频率较大的放在上面3、将那些可由一条规则描述的多个规则合并起来4、设置默认策略-tt
14、able:raw,mangle,nat,[filter]为默认COMMAND:链管理:-N:new,自定义一条新规则连-X:delete,删除自定义规则连-P:policy,设置默认策略;对filter表中的链而言,默认策略有ACCEPT:接受DROP:丢弃REJECT:拒绝-E:重命名自定义链,引用计数不为0时自定义链不能被重命名,也不能被删除规则管理:-A:append,追加-I:insert,插入要指明位置-D:delete,删除,1、指明规则序号2
此文档下载收益归作者所有