iptables (2) 基本配置

iptables 基本命令使用举例

一、链的基本操作

1、清除所有的规则。
1）清除预设表filter中所有规则链中的规则。
# iptables -F

 

-F, --flush [chain]Flush the selected chain (all the chains in the table if none is given).  This is equivalent to deleting all  the  rules  one by one.

 

2）清除预设表filter中使用者自定链中的规则。

#iptables -X   

-X 是删除使用者自订 table 项目，一般使用 iptables -N xxx 新增自订 chain 后，可以使用 iptables -X xxx 删除之。

 

-X, --delete-chain [chain]Delete the optional user-defined chain specified.  There must be no  references  to  the chain.  If there are, you must delete or replace the referring rules before the chain can be deleted.  If no  argument  is  given,  it  will  attempt to delete every nonbuiltin chain in the table.

2、设置链的默认策略。一般有两种方法。
1）首先允许所有的包，然后再禁止有危险的包通过放火墙。
#iptables -P INPUT ACCEPT
#iptables -P OUTPUT ACCEPT
#iptables -P FORWARD ACCEPT
2）首先禁止所有的包，然后根据需要的服务允许特定的包通过防火墙。
#iptables -P INPUT DROP
#iptables -P OUTPUT DROP
#iptables -P FORWARD DROP
3、列出表/链中的所有规则。默认只列出filter表。
#iptables -L
4、向链中添加规则。下面的语句用于开放网络接口：
#iptables -A INPUT -i lo -j ACCEPT
#iptables -A OUTPUT -o lo -j ACCEPT
#iptables -A INPUT -i eth0 -j ACEPT
#iptables -A OUTPUT -o eth1 -j ACCEPT
#iptables -A FORWARD -i eth1 -j ACCEPT
#iptables -A FORWARD -0 eth1 -j ACCEPT
注意:由于本地进程不会经过FORWARD链，因此回环接口lo只在INPUT和OUTPUT两个链上作用。
5、使用者自定义链。
#iptables -N custom
#iptables -A custom -s 0/0 -d 0/0 -p icmp -j DROP
#iptables -A INPUT -s 0/0 -d 0/0 -j DROP
二、设置基本的规则匹配
1、指定协议匹配。
1）匹配指定协议。
#iptables -A INPUT -p tcp
2）匹配指定协议之外的所有协议。
#iptables -A INPUT -p !tcp
2、指定地址匹配。
1）指定匹配的主机。
#iptables -A INPUT -s 192.168.0.18
2）指定匹配的网络。
#iptables -A INPUT -s 192.168.2.0/24
3）匹配指定主机之外的地址。
#iptables -A FORWARD -s !192.168.0.19
4）匹配指定网络之外的网络。
#iptables -A FORWARD -s ! 192.168.3.0/24
3、指定网络接口匹配。
1）指定单一的网络接口匹配。
#iptables -A INPUT -i eth0
#iptables -A FORWARD -o eth0
2）指定同类型的网络接口匹配。
#iptables -A FORWARD -o ppp+
4、指定端口匹配。
1）指定单一端口匹配。
#iptables -A INPUT -p tcp --sport www
#iptables -A INPUT -p udp –dport 53
2）匹配指定端口之外的端口。
#iptables -A INPUT -p tcp –dport !22
3）匹配端口范围。
#iptables -A INPUT -p tcp –sport 22:80
4）匹配ICMP端口和ICMP类型。
#iptables -A INOUT -p icmp –icimp-type 8
5）指定ip碎片。
每
个网络接口都有一个MTU（最大传输单元），这个参数定义了可以通过的数据包的最大尺寸。如果一个数据包大于这个参数值时，系统会将其划分成更小的数据包
（称为ip碎片）来传输，而接受方则对这些ip碎片再进行重组以还原整个包。这样会导致一个问题：当系统将大数据包划分成ip碎片传输时，第一个碎片含有
完整的包头信息（IP+TCP、UDP和ICMP），但是后续的碎片只有包头的部分信息（如源地址、目的地址）。因此，检查后面的ip碎片的头部（象有
TCP、UDP和ICMP一样）是不可能的。假如有这样的一条规则：
#iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.2.100 –dport 80 -j ACCEPT
并且这时的FORWARD的policy为DROP时，系统只会让第一个ip碎片通过，而余下的碎片因为包头信息不完整而无法通过。可以通过—fragment/-f 选项来指定第二个及以后的ip碎片解决上述问题。
#iptables -A FORWARD -f -s 192.168.1.0/24 -d 192.168.2.100 -j ACCEPT
注意现在有许多进行ip碎片攻击的实例，如DoS攻击，因此允许ip碎片通过是有安全隐患的，对于这一点可以采用iptables的匹配扩展来进行限制。
三、设置扩展的规则匹配（举例已忽略目标动作）
1、多端口匹配。
1）匹配多个源端口。
#iptables -A INPUT -p tcp -m multiport –sport 22,53,80,110
2）匹配多个目的端口。
#iptables -A INPUT -p tcp -m multiport –dpoort 22,53,80
3）匹配多端口(无论是源端口还是目的端口）
#iptables -A INPUT -p tcp -m multiport –port 22,53,80,110
2、指定TCP匹配扩展
使用 –tcp-flags 选项可以根据tcp包的标志位进行过滤。
#iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN
#iptables -A FROWARD -p tcp –tcp-flags ALL SYN,ACK
上实例中第一个表示SYN、ACK、FIN的标志都检查，但是只有SYN匹配。第二个表示ALL（SYN，ACK，FIN，RST，URG，PSH）的标志都检查，但是只有设置了SYN和ACK的匹配。
#iptables -A FORWARD -p tcp --syn
选项—syn相当于”--tcp-flags SYN,RST,ACK SYN”的简写。
3、limit速率匹配扩展。
1）指定单位时间内允许通过的数据包个数，单位时间可以是/second、/minute、/hour、/day或使用第一个子母。
#iptables -A INPUT -m limit --limit 300/hour
2 )指定触发事件的阀值。
#iptables -A INPUT -m limit –limit-burst 10 
用来比对一次同时涌入的封包是否超过10个，超过此上限的包将直接丢弃。
3）同时指定速率限制和触发阀值。
#iptables -A INPUT -p icmp -m limit –-limit 3/m –limit-burst 3
表示每分钟允许的最大包数量为限制速率（本例为3）加上当前的触发阀值burst数。任何情况下，都可保证3个数据包通过，触发阀值burst相当于允许额外的包数量。 
4）基于状态的匹配扩展（连接跟踪）
每个网络连接包括以下信息：源地址、目标地址、源端口、目的端口，称为套接字对（socket pairs）；协议类型、连接状态（TCP协议）
和超时时间等。防火墙把这些信息称为状态（stateful）。状态包过滤防火墙能在内存中维护一个跟踪状态的表，比简单包过滤防火墙具有更大的安全性，命令格式如下： 
iptables -m state –-state [!]state [,state,state,state]
其中，state表是一个逗号分割的列表，用来指定连接状态，4种：
>NEW: 该包想要开始一个新的连接（重新连接或连接重定向）
>RELATED:该包是属于某个已经建立的连接所建立的新连接。举例：
FTP的数据传输连接和控制连接之间就是RELATED关系。
>ESTABLISHED：该包属于某个已经建立的连接。
>INVALID:该包不匹配于任何连接，通常这些包被DROP。
例如：
（1）在INPUT链添加一条规则，匹配已经建立的连接或由已经建立的连接所建立的新连接。即匹配所有的TCP回应包。
#iptables -A INPUT -m state –state RELATED,ESTABLISHED
（2）在INPUT链链添加一条规则，匹配所有从非eth0接口来的连接请求包。
#iptables -A INPUT -m state -–state NEW -i !eth0
又如，对于ftp连接可以使用下面的连接跟踪：
（1）被动（Passive）ftp连接模式。
#iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state –-state ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m 
state -–state ESTABLISHED,RELATED -j ACCEPT
（2）主动（Active）ftp连接模式
#iptables -A INNPUT -p tcp --sport 20 -m state –-state ESTABLISHED,RELATED -j ACCEPT
#iptables -A OUTPUT -p tcp –OUTPUT -p tcp –dport 20 -m state --state ESTABLISHED -j ACCEPT

转载于:https://www.cnblogs.com/lilidun/p/5547829.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/287487.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

[python opencv 计算机视觉零基础到实战] 十六、用opencv画画

[python opencv 计算机视觉零基础到实战] 十六、用opencv画画

一、学习目标 了解如何使用line方法了解如何使用rectangle方法了解如何使用ellipse方法 如有错误欢迎指出~ 二、了解OpenCV的绘图方法 2.1 了解直线绘图方法 我们在前两节中有了解使用OpenCV中的矩形绘制，接下来我们了解一下更多的图形绘制方法。我们在OpenCV中…
阅读更多...
基于.NetCore开发博客项目 StarBlog - (5) 开始搭建Web项目

基于.NetCore开发博客项目 StarBlog - (5) 开始搭建Web项目

系列文章基于.NetCore开发博客项目 StarBlog - (1) 为什么需要自己写一个博客？基于.NetCore开发博客项目 StarBlog - (2) 环境准备和创建项目基于.NetCore开发博客项目 StarBlog - (3) 模型设计基于.NetCore开发博客项目 StarBlog - (4) markdown博客批量导入基于.N…
阅读更多...
java计算每个元素出现的百分比_Java程序计算百分比

java计算每个元素出现的百分比_Java程序计算百分比

百分数表示百分数(百)，即百分数与100之比。百分数的符号为％。我们通常会计算获得的商标，投资回报率等百分比。该百分比也可以超过100％。例如，假设我们有总数和一部分。所以我们说那一部分占总数的百分之几，…
阅读更多...
ECShop 前台用户中心调整左侧栏目及中心部分呈现页面

ECShop 前台用户中心调整左侧栏目及中心部分呈现页面

1、首先调整用户中心左侧栏目，在 .dwt 里面我修改了半天，页面没改动。。后来某大神说这个是在另一个文件里：/themes/你用的模板目录/library/user_menu.lbi 文件改一个试试吧~ 不出意外的成功了吧2、中心部分呈现内容的调整。（今天…
阅读更多...
【测绘程序设计】高斯克吕格投影：带号及中央经度计算神器V1.0（附源程序）

【测绘程序设计】高斯克吕格投影：带号及中央经度计算神器V1.0（附源程序）

【问题描述】：很多情况下，我们知道某一地点的坐标（经纬度），需要计算其在高斯克吕格投影中的带号及中央经度。关于该问题，有具体的公式可言，只是计算过程稍微繁琐一些，当然啦，我们可以写程序来解决，谁叫我们是名副其实的GISer呢？另外，这些复杂的计算过程还是交给计算…
阅读更多...
外部中断0（含知识点）

外部中断0（含知识点）

1 #include "stm32f10x.h" // 相当于51单片机中的 #include <reg51.h>2 #include "stm32f10x_gpio.h"3 #include "stm32f10x_exti.h"4 #include "misc.h"5 6 /*外部中断配置*/7 8 9 int main(void)10 {11 /*************…
阅读更多...
Git之tag

Git之tag

1 tag相关命令 1) 打上tag git tag v1.0.0 git tag -a v1.0.0 -m info 2) 查看tag git tag 3) 切换tag git checkout tagname 4) 删除tag git tag -d v1.0.0 5) 推送远程 推送单个tag git push origin v1.0.0 推送所有tag git push origin --tags
阅读更多...
[python opencv 计算机视觉零基础到实战] 十七、用鼠标画画

[python opencv 计算机视觉零基础到实战] 十七、用鼠标画画

一、学习目标 了解长轴和短轴参数了解旋转角度参数了解起始角度参数了解终止角度参数 二、深入了解OpenCV的ellipse方法 2.1 纵横 椭圆的绘制方法在上一节中我们已经知道了是使用ellipse&#xff0c;ellipse的函数原型如下&#xff0c;为了清晰认识ellipse方法&#xff0c;…
阅读更多...
Microsoft Build 2022 到来，开发者们做好准备了吗?

Microsoft Build 2022 到来，开发者们做好准备了吗?

Microsoft Build 2022 将会在5月24日 - 5月26日正式举行&#xff0c;作为开发者的你是否和我一样期待本次的 Build&#xff0c;它会带来什么的技术革新以及黑科技呢&#xff1f;下面我就针对今年 Build 的几个主题结合相关技术来谈谈我对 Build 的期待。开发技术和相关工具今年…
阅读更多...
【测绘程序设计】视距测量神器V1.0（附源程序）

【测绘程序设计】视距测量神器V1.0（附源程序）

神器预览： 一、视距测量概念 视距测量是利用水准仪的望远镜内十字丝分划板上的视距丝在视距尺（水准尺）上读数，根据光学和几何学原理，同时测定仪器到地面点的水平距离和高差的一种方法。 视距测量具有操作简便、速度快、不受地面起伏变化的影响的优点，被广泛应用于碎部测…
阅读更多...
补作业：随机生成二元四则运算

补作业：随机生成二元四则运算

四则运算代码如下&#xff0c;基础不好&#xff0c;刚完成作业&#xff0c;希望老师多给点平时成绩&#xff0c;谢谢老师&#xff01;#include<stdio.h>#include<stdlib.h>#include<time.h>int right0,wrong0;int a,b,c,d;/*加法运算*/void add(){int i,j;fo…
阅读更多...
java 从数据库取值_java 连接数据库取值问题

java 从数据库取值_java 连接数据库取值问题

publicvoiddoGet(HttpServletRequestrequest,HttpServletResponseresponse)throwsIOException,ServletException{//TODOAuto-generatedmethodstubXzdatasqlToolnewXzdata();//初始化并...public void doGet(HttpServletRequest request,HttpServletResponse response) throws I…
阅读更多...
条件表达式

条件表达式

1.python中&#xff1a; a 1b 2 if a>1 else 3 2.C语言中&#xff1a;max (a>b)?a:b; 说明&#xff1a;条件运算符优先于赋值运算符 也可以这样写&#xff1a;a>b? a:c>d? c:d / a>b? (a100):(b100)转载于:https://www.cnblogs.com/yjw9520/p/4841301.ht
阅读更多...
oracle导出数据库中表出现导出报错（EXP-00003）未找到段 (0,0) 的存储定义

oracle导出数据库中表出现导出报错（EXP-00003）未找到段 (0,0) 的存储定义

前两天在使用oracle数据库&#xff0c;使用dba用户利用PL/SQL 中的tool中export table导出表结构时&#xff0c;出现了如下问题&#xff1a;好多张表“报错&#xff08;EXP-00003&#xff09;未找到段 (0,0) 的存储定义 ”&#xff0c;出现这样的结果&#xff0c;经过查找相关资…
阅读更多...
Android Studio之查找当前类的位置图标没了

Android Studio之查找当前类的位置图标没了

1 问题 我们知道在Android studio里面如果想快速看到该文件所在的目录位置&#xff0c;点击这个图标 现在这个图标没了&#xff0c;找不到了 2 解决办法 把下面的Autoscroll from Source的勾去掉就行。
阅读更多...
[python opencv 计算机视觉零基础到实战] 十八、用鼠标进行画画

[python opencv 计算机视觉零基础到实战] 十八、用鼠标进行画画

一、学习目标 了解如何在图片中加入文字了解如何使用鼠标进行图像绘制 二、了解如何通过鼠标进行图像绘制 2.1 了解putText方法的使用 putText方法接收图像&#xff0c;文字内容&#xff0c; 坐标 &#xff0c;字体&#xff0c;大小&#xff0c;颜色&#xff0c;字体厚度这…
阅读更多...
【测绘程序设计】坐标正算神器V1.0（附C/C#/VB源程序）

【测绘程序设计】坐标正算神器V1.0（附C/C#/VB源程序）

坐标正算，就是根据直线的边长、坐标方位角和一个端点的坐标，计算直线另一个端点的坐标的工作。本文用C#语言和VB语言实现坐标正算，编写坐标正算神器。 计算实例： 实例1，设直线AB的边长DAB和一个端点A的坐标XA、YA为已知，则直线另一个端点B的坐标为： XB=XA+ΔXAB YB=YA+…
阅读更多...
2.2 PostgreSQL 概念

2.2 PostgreSQL 概念

PostgreSQL 是一种关系型数据库管理系统(RDBMS)。这意味着它是一种用于管理那些以关系形式存储数据的系统。关系实际上是表的数学称呼。今天&#xff0c;把数据存储在表里的概念已经快成固有的常识了&#xff0c;但是还有其它一些方法用于组织数据库。在类 Unix 操作系统上的文…
阅读更多...
Blazor University （22）路由 —— 定义路由

Blazor University （22）路由 —— 定义路由

原文链接&#xff1a;https://blazor-university.com/routing/路由与标准 ASP.NET MVC 一样&#xff0c;Blazor 路由是一种用于检查浏览器 URL 并将其匹配到要呈现的页面的技术。路由比简单地将 URL 匹配到页面更灵活。它允许我们根据文本模式进行匹配&#xff0c;例如&#xf…
阅读更多...
Linux文件I/O编程（二）lseek函数

Linux文件I/O编程（二）lseek函数

文件I/O编程处理open、read、write、close&#xff0c;等必要函数对文件进行读写操作外&#xff0c;lseek、fcntl也是I/O编程很重要的函数。lseek函数lseek函数主要用来移动当前读写位置&#xff0c;第一个参数是文件描述符fd&#xff0c;第二个参数是偏移距离&#xff0c;第三…
阅读更多...
最新文章

Copyright @ 2022~2023