iptables使用示例

iptables规则

iptables使用示例

  • 1.系统的INPUT和OUTPUT默认策略为DROP;
    iptables -P INPUT  DROP
    iptables -P OUTPUT  DROP
  • 2.限制本地主机的web服务器在周一不允许访问;新请求的速率不能超过100个每秒;web服务器包含了admin字段的页面不允许访问;web服务器仅允许响应报文离开本机;
    iptables -A INPUT -d x.x.x.x -p tcp --dport 80 -m time --weekdays Mon -j ACCEPT
    iptables -A INPUT -d x.x.x.x -p tcp --dport 80 -m limit --limit 100/second  -j ACCEPT
    iptables -A OUTPUT -s x.x.x.x -p tcp --sport 80 -m string -algo bm --string "admin" -j REJECT
    iptables -A OUTPUT -s x.x.x.x -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
  • 3.在工作时间,即周一到周五的8:30-18:00,开放本机的ftp服务给172.16.0.0网络中的主机访问;数据下载请求的次数每分钟不得超过5个;
    内核加载模块:modprobe nf_conn_ftp
    放行命令连接请求:iptables -A INPUT -s 172.16.0.0 -d x.x.x.x -p tcp --dport 21 -m time ! --weekdays Sat,Sun --timestart 08:30 --timestop 18:00 -m limit --limit 5/minute -j ACCEPT
    放行数据连接请求:iptables -A INPUT -s 172.16.0.0 -d x.x.x.x -p tcp -m time ! --weekdays Sat,Sun --timestart 08:30 --timestop 18:00 -m limit --limit 5/minute -m state --state ESTABLISED,RELATED -j ACCEPT
    放行响应数据:iptables -A OUTPUT -d 172.16.0.0 -s x.x.x.x -p tcp  -m state --state ESTABLISHED -j ACCEPT
  • 4.开放本机的ssh服务给172.16.20.1-172.16.20.100中的主机,新请求建立的速率一分钟不得超过2个;仅允许响应报文通过其服务端口离开本机;
    iptables -A INPUT -d x.x.x.x -p tcp --dport 22 -m iprange --src-range 172.16.20.1-172.16.20.100 -m limit --limit 2/minute -j ACCEPT
    iptables -A OUTPUT -s x.x.x.x -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
  • 5.拒绝TCP标志位全部为1及全部为0的报文访问本机;
    iptables -A INPUT -d x.x.x.x -p tcp  --tcp-flags ALL ALL -j REJECT
    iptables -A INPUT -d x.x.x.x -p tcp  --tcp-flags ALL ALL -j REJECT
  • 6.判断下述规则的意义
    • iptables -N clean_in
      自定义名为clean_in的新链
    • iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP
      在自定义链上实现过滤,丢弃目标地址是与本机同网段的所有主机且协议类型为icmp的数据包
    • iptables -A clean_in -d 172.16.255.255 -p icmp -j DROP
      在自定义链上实现过滤,丢弃目标地址是172.16.0.0网段的所有主机且协议类型为icmp的数据包
    • iptables -A clean_in -p tcp ! –syn -m state –state NEW -j DROP
      在自定义链上实现过滤,丢弃tcp标志位syn为0而状态为NEW的数据包
    • iptables -A clean_in -p tcp –tcp-flags ALL ALL -j DROP
      在自定义链上实现过滤,丢弃tcp标志位全为1的数据包
    • iptables -A clean_in -p tcp –tcp-flags ALL NONE -j DROP
      在自定义链上实现过滤,丢弃tcp标志位全为0的数据包
    • iptables -A clean_in -p tcp -d 172.16.100.7 -j RETURN
      在自定义链上实现过滤,对于协议为tcp且目标主机为172.16.100.7的数据包返回主链进一步处理
    • iptables -A INPUT -d 172.16.100.7 -j clean_in
      在INPUT链上实现过滤,对于目标主机为172.16.100.7的数据包调用自定义链clean_in进一步处理
    • iptables -A INPUT -i lo -j ACCEPT
      在INPUT链上实现过滤,放行流入本地回环接口lo的数据包
    • iptables -A OUTPUT -o lo -j ACCEPT
      在OUTPUT链上实现过滤,放行流出本地回环接口lo的数据包
#KC0atgjSTips { position: absolute; left: 9999999999em; z-index:999999999;width:56px; height:24px} #KC0atgjSTips a { background: url(http://mat1.gtimg.com/www/sogou/sogou_tips_v1.png) no-repeat 0 0; display: block; width: auto; height: 24px; line-height: 24px; padding-left: 23px; color: #000; font-size: 12px; text-decoration: none; _position:relative; margin: -32px 0 0; } #KC0atgjSTips a:hover { color:#45a1ea; background-position: 0 -34px } 搜索

本文来自投稿,不代表Linux运维部落立场,如若转载,请注明出处:http://www.178linux.com/87806

(1)
N27_xiaoniN27_xiaoni
上一篇 2017-10-14
下一篇 2017-10-14

相关推荐

  • grep与正则表达式

    文本处理中比较强悍的三个工具是:grep、sed、awk。 其中grep主要作用是对于用户给出“模式”对文本逐行进行匹配检查,然后进行打印。   模式:由正则表达式字符及文本字符编写的过滤条件 格式:grep [选项] [正则表达式字符]  文件  常用的选项:     -v:反向查找,显示没有被匹配的的行 …

    Linux干货 2016-08-08
  • CIDR,子网掩码以及划分子网超网

    对于中小企业,假如有两千台机器,给他分个B类地址,6万多个,太浪费了,分个C类地址,一个C类地址254个,又不够,又得多申请几个,所以A,B,C类IP地址划分太过僵硬,很不灵活,因此又提出无类域间路(CIDR)由划分IP地址的方法。 无类域间路由(CIDR) 传统划分IP地址的方法都是8位划分的,要不就是前8位网络ID,后24位主机ID;或前16位网络ID,…

    2017-09-16
  • PXE自动化安装系统服务

    PXE PXE(preboot execute environment,预启动执行环境)是由Intel公司开发的最新技术,工作于Client/Server的网络模式,支持工作站通过网络从远端服务器下载映像,并由此支持通过网络启动操作系统,在启动过程中,终端要求服务器分配IP地址,再用TFTP(trivial file transfer protocol)或M…

    Linux干货 2016-11-07
  • OpenSSL

    三个组件: openssl: 多用途的命令行工具; libcrypto: 加密解密库; libssl:ssl协议的实现; PKI:Public Key Infrastructure CA RA CRL 证书存取库  建立私有CA: OpenCA openssl  证书申请及签署步骤: 1、生成申请请求; 2、RA核验; 3、CA签署; 4…

    Linux干货 2015-03-21
  • 网络配置的常用工具

    一、网络配置的常用工具     例如:                ifcfg:ifconfig、route、netstat    &nb…

    Linux干货 2016-09-09
  • 文件系统的创建和管理

    作业:文件系统的创建和管理 思路:管理通常就是增删改查[*代表某一数值,测试机centos6使用的就是ext4,不要问我为什么了,马哥告诉我的,你问他吧!];   事情准备检查系统支持和使用的文件系统格式:         #lsmod  &nbsp…

    Linux干货 2016-01-19