linux防火墙iptables常用规则.doc

《linux防火墙iptables常用规则.doc》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、.word可编辑.linux防火墙iptables常用规则(屏蔽IP地址、禁用ping、协议设置、NAT与转发、负载平衡、自定义链)一、iptables：从这里开始删除现有规则iptables-F(OR)iptables--flush设置默认链策略iptables的filter表中有三种链：INPUT,FORWARD和OUTPUT。默认的链策略是ACCEPT，你可以将它们设置成DROP。iptables-PINPUTDROPiptables-PFORWARDDROPiptables-POUTPU

2、TDROP.专业.专注..word可编辑.你需要明白，这样做会屏蔽所有输入、输出网卡的数据包，除非你明确指定哪些数据包可以通过网卡。屏蔽指定的IP地址以下规则将屏蔽BLOCK_THIS_IP所指定的IP地址访问本地主机：BLOCK_THIS_IP="x.x.x.x"iptables-AINPUT-ieth0-s"$BLOCK_THIS_IP"-jDROP(或者仅屏蔽来自该IP的TCP数据包）iptables-AINPUT-ieth0-ptcp-s"$BLOCK_THIS_IP"-jDROP允许来

3、自外部的ping测试iptables-AINPUT-picmp--icmp-typeecho-request-jACCEPTiptables-AOUTPUT-picmp--icmp-typeecho-reply-jACCEPT允许从本机ping外部主机iptables-AOUTPUT-picmp--icmp-typeecho-request-jACCEPTiptables-AINPUT-picmp--icmp-typeecho-reply-jACCEPT允许环回(loopback)访问.专业.专

4、注..word可编辑.iptables-AINPUT-ilo-jACCEPTiptables-AOUTPUT-olo-jACCEPT二、iptables：协议与端口设定允许所有SSH连接请求本规则允许所有来自外部的SSH连接请求，也就是说，只允许进入eth0接口，并且目的端口为22的数据包iptables-AINPUT-ieth0-ptcp--dport22-mstate--stateNEW,ESTABLISHED-jACCEPTiptables-AOUTPUT-oeth0-ptcp--spor

5、t22-mstate--stateESTABLISHED-jACCEPT允许从本地发起的SSH连接本规则和上述规则有所不同，本规则意在允许本机发起SSH连接，上面的规则与此正好相反。iptables-AOUTPUT-oeth0-ptcp--dport22-mstate--stateNEW,ESTABLISHED-jACCEPTiptables-AINPUT-ieth0-ptcp--sport22-mstate--stateESTABLISHED-jACCEPT仅允许来自指定网络的SSH连接请求.

6、专业.专注..word可编辑.以下规则仅允许来自192.168.100.0/24的网络：iptables-AINPUT-ieth0-ptcp-s192.168.100.0/24--dport22-mstate--stateNEW,ESTABLISHED-jACCEPTiptables-AOUTPUT-oeth0-ptcp--sport22-mstate--stateESTABLISHED-jACCEPT上例中，你也可以使用-s192.168.100.0/255.255.255.0作为网络地址。当

7、然使用上面的CIDR地址更容易让人明白。仅允许从本地发起到指定网络的SSH连接请求以下规则仅允许从本地主机连接到192.168.100.0/24的网络：iptables-AOUTPUT-oeth0-ptcp-d192.168.100.0/24--dport22-mstate--stateNEW,ESTABLISHED-jACCEPTiptables-AINPUT-ieth0-ptcp--sport22-mstate--stateESTABLISHED-jACCEPT允许HTTP/HTTPS连接请

8、求#1.允许HTTP连接：80端口iptables-AINPUT-ieth0-ptcp--dport80-mstate--stateNEW,ESTABLISHED-jACCEPT.专业.专注..word可编辑.iptables-AOUTPUT-oeth0-ptcp--sport80-mstate--stateESTABLISHED-jACCEPT#2.允许HTTPS连接：443端口iptables-AINPUT-ieth0-ptcp--dport443-mstate--stateNEW,ESTA