iptables配置基本思路

gdfgd

配置规则基本思路
1，允许本地访问
2，允许已监听状态数据包通过
3，允许规则中允许的数据包通过
4，拒绝未被允许的数据包
iptables规则保存成配置文件
注意开放ssh远程管理端口

1 2 3 4 5 6 7 8 9 10 11 12

[iyunv@www ~]# iptables -F [iyunv@www ~]# iptables -I INPUT -i lo -j ACCEPT [iyunv@www ~]# iptables -I INPUT -m state --state ESTABLISH,RELATED -j ACCEPT [iyunv@www ~]# iptables -A INPUT -s 10.10.122.0/24 -j ACCEPT [iyunv@www ~]# iptables -A INPUT -s 10.10.123.0/24 -j ACCEPT [iyunv@www ~]# iptables -A INPUT -s 192.168.10.23  -j ACCEPT [iyunv@www ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT [iyunv@www ~]# iptables -A INPUT -p tcp --dport 1723 -j ACCEPT [iyunv@www ~]# iptables -A INPUT -p tcp --dport 110 -j ACCEPT [iyunv@www ~]# iptables -A INPUT -p tcp --dport 25 -j ACCEPT [iyunv@www ~]# iptables -I INPUT -p icmp -j ACCEPT [iyunv@www ~]# iptables -A INPUT -j REJECT

1	[iyunv@www~]#/etc/init.d/iptables save

1	[iyunv@www~]# cat /etc/sysconfig/iptables

# Generated by iptables-save v1.4.7 on Thu May 14 21:53:11 2015
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [68:8284]
-A INPUT -p icmp -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 10.10.122.0/24 -j ACCEPT
-A INPUT -s 10.10.123.0/24 -j ACCEPT
-A INPUT -s 192.168.10.23/32 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1723 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 110 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Thu May 14 21:53:11 2015



1） iptables模拟控制并发的httpd访问

1	iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 10 -j REJECT

2）场景
1：对所有地址开放本机的tcp(80,22,10-21)的端口访问；

1	iptables -I INPUT -p tcp --dport 80 -j ACCEPT

1	iptables -I INPUT -p tcp --dport 22 -j ACCEPT

1	iptables -I INPUT -p tcp --dport 10：21 -j ACCEPT

2：允许对所有的地址开放本机的基于icmp协议的数据包访问；

1	iptables -I INPUT -p icmp  -j ACCEPT

3：其他未被允许的端口则禁止访问；

1	iptables -A INPUT -j REJECT

以上场景存在以下问题：1本机无法访问本机2本机无法访问其他主机
允许访问lo设备

1	iptables -I INPUT -i lo -j ACCEPT

本机主动发往外部的请求要OK的

1	iptables -I INPUT -m state --state ESTABLISH,RELATED -j ACCEPT

iptables在FTP主动模式下

1	iptables -I INPUT -p tcp --dport 21 -j ACCEPT

iptables在FTP被动模式下
法1：

1	iptables -I INPUT -p tcp --dport 21 -j ACCEPT

1	iptables -I INPUT -p tcp --dport 50000:60000 -j ACCEPT

法2：

1	iptables -I INPUT -p tcp --dport 21 -j ACCEPT

1	iptables -I INPUT -m state --state ESTABLISH,RELATED -j ACCEPT

modprobe nf_conntrack_ftp  临时设置
[root@www ~]# grep -n nf_conntrack_ftp /etc/sysconfig/iptables-config  永久设置
6:IPTABLES_MODULES="nf_conntrack_ftp"
NAT表规则配置
SNAT  ------POSTROUTING

1	iptable -t nat -A POSTROUTING -s 10.10.122.0/24 -j SNAT --to 10.10.121.12

DNAT-------PREROUTING

1	iptable -t nat -A PREROUTING -d 10.10.10.23 -p tcp --dport 80 -j DNAT --to 10.10.20.222:80

iptables 防CC攻击
connlimit模块，限制每一个客户端ip的并发连接数

1	iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 10 -j REJECT

limit模块,限速，控制流量

1	iptables -A INPUT -m limit --limiy 3/hour

1	iptables -A INPUT -p icmp -m limit --limit 1/m --limit-burst 10 -j ACCEPT

1	iptables -A INPUT -p icmp -j DROP