iptables使用示例

iptables规则

iptables使用示例

  • 1.系统的INPUT和OUTPUT默认策略为DROP;
    iptables -P INPUT  DROP
    iptables -P OUTPUT  DROP
  • 2.限制本地主机的web服务器在周一不允许访问;新请求的速率不能超过100个每秒;web服务器包含了admin字段的页面不允许访问;web服务器仅允许响应报文离开本机;
    iptables -A INPUT -d x.x.x.x -p tcp --dport 80 -m time --weekdays Mon -j ACCEPT
    iptables -A INPUT -d x.x.x.x -p tcp --dport 80 -m limit --limit 100/second  -j ACCEPT
    iptables -A OUTPUT -s x.x.x.x -p tcp --sport 80 -m string -algo bm --string "admin" -j REJECT
    iptables -A OUTPUT -s x.x.x.x -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
  • 3.在工作时间,即周一到周五的8:30-18:00,开放本机的ftp服务给172.16.0.0网络中的主机访问;数据下载请求的次数每分钟不得超过5个;
    内核加载模块:modprobe nf_conn_ftp
    放行命令连接请求:iptables -A INPUT -s 172.16.0.0 -d x.x.x.x -p tcp --dport 21 -m time ! --weekdays Sat,Sun --timestart 08:30 --timestop 18:00 -m limit --limit 5/minute -j ACCEPT
    放行数据连接请求:iptables -A INPUT -s 172.16.0.0 -d x.x.x.x -p tcp -m time ! --weekdays Sat,Sun --timestart 08:30 --timestop 18:00 -m limit --limit 5/minute -m state --state ESTABLISED,RELATED -j ACCEPT
    放行响应数据:iptables -A OUTPUT -d 172.16.0.0 -s x.x.x.x -p tcp  -m state --state ESTABLISHED -j ACCEPT
  • 4.开放本机的ssh服务给172.16.20.1-172.16.20.100中的主机,新请求建立的速率一分钟不得超过2个;仅允许响应报文通过其服务端口离开本机;
    iptables -A INPUT -d x.x.x.x -p tcp --dport 22 -m iprange --src-range 172.16.20.1-172.16.20.100 -m limit --limit 2/minute -j ACCEPT
    iptables -A OUTPUT -s x.x.x.x -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
  • 5.拒绝TCP标志位全部为1及全部为0的报文访问本机;
    iptables -A INPUT -d x.x.x.x -p tcp  --tcp-flags ALL ALL -j REJECT
    iptables -A INPUT -d x.x.x.x -p tcp  --tcp-flags ALL ALL -j REJECT
  • 6.判断下述规则的意义
    • iptables -N clean_in
      自定义名为clean_in的新链
    • iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP
      在自定义链上实现过滤,丢弃目标地址是与本机同网段的所有主机且协议类型为icmp的数据包
    • iptables -A clean_in -d 172.16.255.255 -p icmp -j DROP
      在自定义链上实现过滤,丢弃目标地址是172.16.0.0网段的所有主机且协议类型为icmp的数据包
    • iptables -A clean_in -p tcp ! –syn -m state –state NEW -j DROP
      在自定义链上实现过滤,丢弃tcp标志位syn为0而状态为NEW的数据包
    • iptables -A clean_in -p tcp –tcp-flags ALL ALL -j DROP
      在自定义链上实现过滤,丢弃tcp标志位全为1的数据包
    • iptables -A clean_in -p tcp –tcp-flags ALL NONE -j DROP
      在自定义链上实现过滤,丢弃tcp标志位全为0的数据包
    • iptables -A clean_in -p tcp -d 172.16.100.7 -j RETURN
      在自定义链上实现过滤,对于协议为tcp且目标主机为172.16.100.7的数据包返回主链进一步处理
    • iptables -A INPUT -d 172.16.100.7 -j clean_in
      在INPUT链上实现过滤,对于目标主机为172.16.100.7的数据包调用自定义链clean_in进一步处理
    • iptables -A INPUT -i lo -j ACCEPT
      在INPUT链上实现过滤,放行流入本地回环接口lo的数据包
    • iptables -A OUTPUT -o lo -j ACCEPT
      在OUTPUT链上实现过滤,放行流出本地回环接口lo的数据包
#KC0atgjSTips { position: absolute; left: 9999999999em; z-index:999999999;width:56px; height:24px} #KC0atgjSTips a { background: url(http://mat1.gtimg.com/www/sogou/sogou_tips_v1.png) no-repeat 0 0; display: block; width: auto; height: 24px; line-height: 24px; padding-left: 23px; color: #000; font-size: 12px; text-decoration: none; _position:relative; margin: -32px 0 0; } #KC0atgjSTips a:hover { color:#45a1ea; background-position: 0 -34px } 搜索

本文来自投稿,不代表Linux运维部落立场,如若转载,请注明出处:http://www.178linux.com/87806

(1)
N27_xiaoniN27_xiaoni
上一篇 2017-10-14
下一篇 2017-10-14

相关推荐

  • 文本处理三剑客之grep

    文本处理三剑客之grep 正则表达式(regex) 文本处理工具 grep egrep 试验环境:CentOS 7.2 正则表达式 Linux的哲学之一“一切皆文件”,学习Linux应得掌握其基本的文本处理工具,这些工具主要包括: 文件内容:less和cat 文件截取:head和tail 文件抽取:cut 关键字搜索:grep 正则表达式是计算机科…

    Linux干货 2016-08-07
  • Linux系统分区管理

    管理分区     查看系统中的分区4种方式 [root@localhost ~]# ls /dev/sd* [来自内存] [root@localhost ~]# cat /proc/partitions [root@localhost ~]# lsblk /dev/sda  /dev/sda1  /dev/sda2  /dev/sda3 …

    Linux干货 2017-12-02
  • N25第二周视频作业:用户、组与权限管理详解

    此篇博客是根据视频要求写的,因为马哥在视频中说了,用户组、权限在linux运维过程中比较重要,所以一定要深入学习 首先,先介绍一下用户、组与权限是什么:     用户:用户时指你在服务器上的标识,通过不同类型的用户,你享受到不同的待遇,而待遇就是权限的大小。每个用户在服务器上都有唯一的id标识,即使你将此用户删除,再建…

    Linux干货 2016-11-26
  • corosync+pacemaker对mariadb实现高可用

    corosync+pacemaker对mariadb实现高可用 利用nfs共享存储,导出一个目录作为mariadb的数据目录,然后利用corosync+pacemaker对mariadb进行高可用 1、实验环境 2、实验前的分析 利用nfs导出目录作为mariadb的共享目录,要确保各个mariadb节点对该目录具有写权限,也就是要确保nfs服务器上有一个U…

    Linux干货 2016-11-24
  • LAMP组合的编译安装(apache2.4+mariadb5.5+php5.6)

    安装次序 httpd, MariaDB, php 安装apache2.4 [root@root ~]# yum groupinstall "Development Tools" "Server Platform Develoment "&n…

    Linux干货 2016-06-29
  • 马哥教育网络班21期+第9周课程练习

    1、写一个脚本,判断当前系统上所有用户的shell是否为可登录shell(即用户的shell不是/sbin/nologin);分别这两类用户的个数;通过字符串比较来实现; #!/bin/bash     #     nolog=`awk -F: '$…

    Linux干货 2016-09-19