linux中防火墙的配置

《linux中防火墙的配置》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、—、iptables：从这里开始删除现有规则iptables-F(OR)iptables-flush设置默认链策略iptables的filter表中有三种链:INPUTFORWARD和0UTPUT。默认的链策略是ACCEPT,你可以将它们设置成DROPoiptables-PINPUTDROPiptables-PFORWARDDROPiptables-POUTPUTDROP你需要明白，这样做会屏蔽所冇输入、输出网卡的数据包，除非你明确指定哪些数据包可以通过网卡。屏蔽指定的IP地址以下规则将屏蔽BLOCK_T

2、HIS_IP所指定的IP地址访问木地主机：BLOCK_THISJP="x.x.x.x"iptables-AINPUT-iethO-s"$BLOCK_THIS_IP"-jDROP(或者仅屏蔽来自该IP的TCP数据包)iptables-AINPUT-iethO-ptcp-s"$BLOCK_THIS_IP"-jDROP允许来自外部的ping测试iptables-AINPUT-picmp-icmp-typeecho-request-jACCEPTiptables-AOUTPUT-picmp-icmp-typeec

3、ho-reply-jACCEPT允许从木机ping外部主机iptables-AOUTPUT-picmp-icmp-typeecho-request-jACCEPTiptables-AINPUT-picmp-icmp-typeecho-reply-jACCEPT允许环回(loopback)访问iptables-AINPUT-iIo-jACCEPTiptables-AOUTPUT-oIo-jACCEPT二、iptables:协议与端口设定允许所有SSH连接请求本规则允许所冇来自外部的SSH连接请求，也就是说，

4、只允许进入ethO接口，并且目的端口为22的数据包iptables-AINPUT-iethO-ptcp-dport22-mstate-stateNEW,ESTABLISHED-jACCEPTiptables-AOUTPUT-oethO-ptcp-sport22-mstate-stateESTABLISHED-jACCEPT允许从本地发起的SSH连接木规则和上述规则有所不同，木规则意在允许本机发起SSH连接，上面的规则与此正好相反。iptables-AOUTPUT-oethO-ptcp-dport22-ms

5、tate-stateNEW,ESTABUSHED-jACCEPTiptables-AINPUT-iethO-ptcp-sport22state-stateESTABLISHED-jACCEPT仅允许来自指定网络的SSH连接请求以下规则仅允许来口192.168.100.0/24的网络：iptables-AINPUT-iethO-ptcp-s192.168.100.0/24-dport22-mstate-stateNEW,ESTABLISHED-jACCEPTiptables-AOUTPUT-oethO-pt

6、cp-sport22-mstate-stateESTABLISHED-jACCEPT上例中，你也可以使用-s192.168.100.0/255.255.255.0作为网络地址。当然使用上血的CIDR地址更容易让人明白。仅允许从本地发起到指定网络的SSH连接请求以下规则仅允许从本地主机连接到192.168.100.0/24的网络：iptables・AOUTPUT-oethO-ptcp・d192.168.100.0/24-dport22-mstate--stateNEW,ESTABLISHED-jACCEPT

7、iptables-AINPUT-iethO-ptcp-sport22-mstate-stateESTABLISHED-jACCEPT允许HTTP/HTTPS连接请求#1.允许HTTP连接：80端口iptables-AINPUT-iethO-ptcp-dport80-mstate-stateNEW,ESTABUSHED-jACCEPTiptables-AOUTPUT-oethO-ptcp-sport80-mstate-stateESTABLISHED-jACCEPT#2.允许HTTPS连接：443端口ipt

8、ables-AINPUT-iethO-ptcp-dport443-mstate-stateNEW,ESTABLISHED-jACCEPTiptables-AOUTPUT-oethO-ptcp-sport443-mstate-stateESTABLISHED-jACCEPT允许从本地发起HTTPS连接木规则可以允许用户从木地主机发起HTTPS连接，从而访问Internetoiptables-AOUTPUT-oethO-ptcp-