iptables命令详解

简介

iptables 是 Linux 系统中用于配置 IPv4 数据包过滤规则的工具。它是 Linux 内核中 Netfilter 框架的一部分，通过设置规则，可以实现网络包的过滤、NAT 转发、端口映射等功能。

基本概念

表（Tables）：
filter 表：负责过滤规则，是默认的表。
nat 表：负责网络地址转换规则。
mangle 表：用于修改数据包的特殊规则。
raw 表：用于配置豁免主机的数据包。
链（Chains）：
INPUT：处理输入数据包。
FORWARD：处理转发数据包。
OUTPUT：处理输出数据包。
自定义链：用户可以创建自己的链，并将其添加到默认链中。
目标（Targets）：
ACCEPT：接受数据包。
DROP：丢弃数据包。
REJECT：拒绝数据包并返回错误消息。
LOG：记录数据包到系统日志。
自定义目标：用户可以定义自己的目标，通常用于连接到用户定义的链。

常用命令

显示规则：

sudo iptables -L

清空规则：

sudo iptables -F

允许/拒绝特定 IP 的访问：

# 允许特定 IP 访问
sudo iptables -A INPUT -s 192.168.1.2 -j ACCEPT# 拒绝特定 IP 访问
sudo iptables -A INPUT -s 192.168.1.3 -j DROP

端口转发：

sudo iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 8080

允许/拒绝特定端口：

# 允许特定端口
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT# 拒绝特定端口
sudo iptables -A INPUT -p tcp --dport 23 -j DROP

应用规则：

sudo service iptables restart

配置示例

清空规则和设置默认策略：

sudo iptables -F
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

这将清空所有规则，并将默认策略设置为拒绝输入和转发，允许输出。
允许本地回环：

sudo iptables -A INPUT -i lo -j ACCEPT

允许已建立和相关连接：

sudo iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

允许 SSH 访问：

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

允许 HTTP 和 HTTPS 访问：

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

防止 SYN 攻击：

sudo iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
sudo iptables -A INPUT -p tcp --syn -j DROP

限制每秒 SYN 数据包的数量，防止 SYN 攻击。
防止 ICMP 攻击：

sudo iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
sudo iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

限制每秒 ICMP Echo Request 数据包的数量。
限制连接频率（可选）：

sudo iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -m limit --limit 20/s -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -j DROP

限制每秒新建立的 HTTP 连接数量。
日志规则（可选）：

sudo iptables -A INPUT -j LOG --log-prefix "IPTABLES: "

范本示例

# 清空规则和设置默认策略
iptables -F
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT# 允许本地回环访问
iptables -A INPUT -i lo -j ACCEPT# 允许已建立和相关连接通过
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT# 允许 SSH 访问 (只有特定 IP)
iptables -A INPUT -p tcp --dport 22 -s 203.0.113.1 -j ACCEPT# 允许 HTTP 和 HTTPS 访问 (使用连接追踪)
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW -j ACCEPT# 防止 SYN 攻击 (限制每秒 50 个，爆发 200 个)
iptables -A INPUT -p tcp --syn -m limit --limit 50/s --limit-burst 200 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP# 防止 ICMP 攻击 (限制每秒 1 个)
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP# 限制连接频率 (每秒 20 个新连接)
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -m limit --limit 20/s -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -j DROP# 防止端口扫描 (限制每秒 1 个新连接)
iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -j DROP# 拒绝无效数据包
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP# 允许特定 IP 访问特定端口 (限制每秒 5 个连接)
iptables -A INPUT -p tcp -s 203.0.113.2 --dport 8080 -m conntrack --ctstate NEW -m limit --limit 5/s -j ACCEPT
iptables -A INPUT -p tcp -s 203.0.113.2 --dport 8080 -m conntrack --ctstate NEW -j DROP# 日志未匹配的数据包
iptables -A INPUT -j LOG --log-prefix "IPTABLES: " --log-level 7# 保存规则
service iptables save# 应用规则
service iptables restart

这个例子包含了一系列规则，用于保护服务器免受各种攻击。需要根据实际环境进行适当调整。以下是配置中一些主要特性的解释：
SYN 攻击防护： 限制每秒只允许50个 SYN 数据包，并在短时间内允许爆发200个。这有助于防止 SYN 攻击。
ICMP 限制： 限制每秒只允许1个 ICMP Echo Request 数据包，以防止 ICMP 攻击。
连接频率限制： 对于HTTP（端口80），限制每秒新建立连接的数量为20个。
端口扫描防护： 通过限制每秒只允许1个 RST 数据包，防止端口扫描。
无效数据包拒绝： 拒绝无效的连接状态。
特定 IP 的连接频率限制： 对于特定IP（203.0.113.2）访问端口8080，限制每秒新连接的数量

UFW配置

ufw（Uncomplicated Firewall）是一个在 iptables 基础上的前端工具，用于简化防火墙配置。下面是上述 iptables 配置如何在 ufw 中实现的例子.

# 启用ufw
sudo ufw enable
# 设置默认规则
sudo ufw default deny incoming
sudo ufw default allow outgoing# 允许本地回环访问
sudo ufw allow in on lo# 允许已建立和相关连接通过
sudo ufw allow in from any to any state RELATED,ESTABLISHED# 允许 SSH 访问 (只有特定 IP)
sudo ufw allow from 203.0.113.1 to any port 22# 允许 HTTP 和 HTTPS 访问
sudo ufw allow in on eth0 to any port 80 proto tcp
sudo ufw allow in on eth0 to any port 443 proto tcp# 防止 SYN 攻击
sudo ufw limit in on eth0 to any port 80 proto tcp# 防止 ICMP 攻击
sudo ufw limit in on eth0 to any icmp type echo-request# 限制连接频率
sudo ufw limit in on eth0 to any port 80 proto tcp# 防止端口扫描
sudo ufw deny in on eth0 to any tcp flags SYN,ACK,FIN,RST RST# 拒绝无效数据包
sudo ufw deny in from any to any state INVALID# 允许特定 IP 访问特定端口
sudo ufw limit in from 203.0.113.2 to any port 8080 proto tcp# 启用日志
sudo ufw logging on# 重启ufw
sudo ufw reload

上述 ufw 配置尝试模仿之前的 iptables 配置。ufw 默认情况下启用了 IPV6 的规则，如果只需考虑 IPV4，可以使用 --ipv6 off 选项。
在 ufw 中，规则的描述更直观，并且通过 allow、deny 和 limit 指令，可以轻松实现不同类型的规则。此外，ufw 还会自动配置规则以适应所选服务的需求。
在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/642814.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Nginx_入门

Nginx_入门

系列文章目录 提示：这里可以添加系列文章的所有文章的目录，目录需要自己手动添加 Nginx_入门 提示：写完文章后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录 系列文章目录前言一、Nginx概述二、Nginx的应用…
阅读更多...
GPU与SSD间的P2P DMA访问机制

GPU与SSD间的P2P DMA访问机制

基于PCIe（Peripheral Component Interconnect Express）总线连接CPU、独立GPU和NVMe SSD的系统架构。 在该架构中，PCIe Swicth支持GPU与SSD之间快速的点对点直接内存访问（peer-to-peer, p2p DMA）。通常情况下&#xff0…
阅读更多...
Qt-QFileDialog保存文件及获取带扩展名的文件名

Qt-QFileDialog保存文件及获取带扩展名的文件名

正确用法 QFileDialog dialog(this, "Save File", QDir::currentPath(), "Text Files (.txt)"); dialog.setAcceptMode(QFileDialog::AcceptSave); dialog.setDefaultSuffix("txt"); // << if (!dialog.exec())return; QString fileName …
阅读更多...
latex添加图片以及引用的实例教程

latex添加图片以及引用的实例教程

原理 在 LaTeX 中插入图片&#xff0c;通常是使用 \includegraphics 命令&#xff0c;它是由 graphicx 包提供的。首先&#xff0c;确保在文档的前言部分&#xff08;\documentclass 之后和 \begin{document} 之前&#xff09;包含了 graphicx 包。 下面是一个基本的例子来展…
阅读更多...
全志D1-H芯片Tengine支持

全志D1-H芯片Tengine支持

简介 ​ Tengine 是 OPEN AI LAB 推出的边缘 AI 计算框架&#xff0c;致力于解决 AIoT 产业链碎片化问题&#xff0c;加速 AI 产业化落地。Tengine 为了解决 AIoT 应用落地问题&#xff0c;重点关注嵌入式设备上的边缘 AI 计算推理&#xff0c;为海量 AIoT 应用和设备提供高性…
阅读更多...
（学习日记）2024.01.20：通用工具库stdlib.h里好玩的函数

（学习日记）2024.01.20：通用工具库stdlib.h里好玩的函数

写在前面&#xff1a; 由于时间的不足与学习的碎片化&#xff0c;写博客变得有些奢侈。 但是对于记录学习&#xff08;忘了以后能快速复习&#xff09;的渴望一天天变得强烈。 既然如此 不如以天为单位&#xff0c;以时间为顺序&#xff0c;仅仅将博客当做一个知识学习的目录&a…
阅读更多...
LeetCode 2765.最长交替子数组：O(n)的做法（两次遍历）

LeetCode 2765.最长交替子数组：O(n)的做法（两次遍历）

【LetMeFly】2765.最长交替子数组&#xff1a;O(n)的做法&#xff08;两次遍历&#xff09; 力扣题目链接&#xff1a;https://leetcode.cn/problems/longest-alternating-subarray/ 给你一个下标从 0 开始的整数数组 nums 。如果 nums 中长度为 m 的子数组 s 满足以下条件&a…
阅读更多...
开始学习vue2基础篇（指令）

开始学习vue2基础篇（指令）

一、 内容渲染指令 > {{}} 模板渲染&#xff08;模板引擎&#xff09; 1. {{数据绑定}} 2. {{简单计算}} 3. {{简单逻辑运算}}&#xff08;三元运算&#xff09; 4. {{做简单 js 判断}} 注意&#xff1a;不能写语句、不能解析 html 渲染、不能放在在属性身上 > v-…
阅读更多...
使用Flink的所有pom文件

使用Flink的所有pom文件

Flink中所有的pom文件中的索引 <project xmlns"http://maven.apache.org/POM/4.0.0" xmlns:xsi"http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation"http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xs…
阅读更多...
[小程序]页面的构建

[小程序]页面的构建

一、视图容器组件 ①View 视图区域组件&#xff0c;类似于HTML中的div&#xff0c;可以用来按块实现页面布局效果&#xff0c;具体实例如下&#xff1a; <view class"dock"><view>A</view><view>B</view><view>C</view> &…
阅读更多...
大数据基础设施搭建 - Hbase

大数据基础设施搭建 - Hbase

文章目录 一、解压压缩包二、配置环境变量三、修改配置文件3.1 修改hbase-env.sh3.2 修改hbase-site.xml3.3 修改regionservers 四、解决HBase和Hadoop的log4j兼容性问题&#xff0c;使用Hadoop的jar包五、HBase远程发送到其他集群六、启动七、停止八、基本操作8.1 进入Hbase客…
阅读更多...
常用界面设计组件 —— 按钮组件、布局组件

常用界面设计组件 —— 按钮组件、布局组件

2.4 按钮组件2.5 布局组件 2.4 按钮组件 QPushButton、QRadioButton 、QCheckBox都从 QAbstractButton&#xff0c;拥有一些共同的属性&#xff0c;如下图所 示&#xff1a; 图标使用setIcon()来设置&#xff0c;文本可以在构造函数或通过 setText()来设置。 可以使用 isCheck…
阅读更多...
docker运行nginx不生效

docker运行nginx不生效

docker运行nginx镜像时&#xff0c;设置端口映射&#xff0c;则只有该映射端口起作用&#xff0c;nginx配置的其他端口无效 监听端口 server {listen 8082;server_name ip地址;} server {listen 8083;server_name ip地址;}docker运行命令 docker run --name n…
阅读更多...
探索人工智能的发展与影响

探索人工智能的发展与影响

人工智能&#xff08;AI&#xff09;的快速发展正在深刻地改变着我们的生活和社会。从聊天机器人到自动驾驶汽车&#xff0c;AI的应用正日益广泛&#xff0c;为我们带来了前所未有的便利和创新。本文将深入探讨人工智能的发展历程、应用领域以及对社会的影响。 1. 人工智能的定…
阅读更多...
【深度学习PyTorch简介】7.Load and run model predictions 加载和运行模型预测

【深度学习PyTorch简介】7.Load and run model predictions 加载和运行模型预测

Load and run model predictions 加载和运行模型预测 Load the model 加载模型 在本单元中&#xff0c;我们将了解如何加载模型及其持久参数状态和推理模型预测。 %matplotlib inline import torch import onnxruntime from torch import nn import torch.onnx as onnx impo…
阅读更多...
CSS高级技巧导读

CSS高级技巧导读

1&#xff0c;精灵图 1.1 为什么需要精灵图&#xff1f; 目的&#xff1a;为了有效地减少服务器接收和发送请求的次数&#xff0c;提高页面的加载速度 核心原理&#xff1a;将网页中的一些小背景图像整合到一张大图中&#xff0c;这样服务器只需要一次请求就可以了 1.2 精灵…
阅读更多...
【WPF.NET开发】克隆打印机

【WPF.NET开发】克隆打印机

本文内容 大多数企业有时会购买多台同一型号的打印机。 通常&#xff0c;这些打印机都安装了几乎相同的配置设置。 安装每台打印机既费时又容易出错。 使用 Microsoft .NET Framework 公开的 System.Printing.IndexedProperties 命名空间和 InstallPrintQueue 类可以立即安装从…
阅读更多...
化妆-护肤品选购

化妆-护肤品选购

粉底液 在下颚线涂抹 选择贴近肤色的 在选购时不能立即选购&#xff0c;而是涂抹后逛个街吃个饭&#xff0c;再看持久程度和服帖程度&#xff0c;所有粉底液都会脱妆 品牌 韩系品牌 VDL 韩系品牌偏光泽感(因为韩国人皮肤偏好) 所以一般会带有”亮泽“ “光感” 中国品牌 …
阅读更多...
查看并解析当前jdk的垃圾收集器

查看并解析当前jdk的垃圾收集器

概述&#xff1a;复习的时候&#xff0c;学看一下。 命令&#xff1a; -XX:PrintCommandLineFlags 打开idea&#xff0c;配置jvm 把上面命令输入jvm options中即可。 举例代码 这个代码的解析&#xff0c;我上篇文章有写&#xff0c;这个跟本文没有任何关系&#xff1a; …
阅读更多...
C++--enum--枚举

C++--enum--枚举

C/C枚举类型&#xff1a; 不限定作用域的枚举类型 关键字&#xff1a;enum 声明枚举类型&#xff0c;然后可以用枚举类型来定义变量(如同结构体)&#xff1a; enum Color{white,black,yellow}; {注意分号} Color color_type; color_type 变量的值只限于枚举类型Color中的值 枚…
阅读更多...
最新文章

Copyright @ 2022~2023