bl双性强迫侵犯h_国产在线观看人成激情视频_蜜芽188_被诱拐的少孩全彩啪啪漫画

iptables基本命令-創新互聯

一、鏈的基本操作

創新互聯建站自2013年創立以來,先為開州等服務建站,開州等地企業,進行企業商務咨詢服務。為開州企業網站制作PC+手機+微官網三網同步一站式服務解決您的所有建站問題。

1、清除所有的規則。

1)清除預設表filter中所有規則鏈中的規則。

  1. # iptables -F 

  清除鏈中的所有規則,如果在之前運行了iptables -P INPUT -j DROP/ACCEPT 剛無法清除此默認

2)清除預設表filter中使用者自定鏈中的規則。

  1. # iptables -X [chain-name

2、設置鏈的默認策略。一般有兩種方法。

1)首先允許所有的包,然后再禁止有危險的包通過放火墻。

  1. # iptables -P INPUT ACCEPT 
  2. OUTPUT
  3. FORWARD

2)首先禁止所有的包,然后根據需要的服務允許特定的包通過防火墻。

  1. # iptables -P INPUT DROP
  2. OUTPUTDROP
  3. FORWARDDROP

3、列出表/鏈中的所有規則。默認只列出filter表。

  1. # iptables -L 

4、向鏈中添加規則。下面的語句用于開放網絡接口:

  1. # iptables -A INPUT -i lo -j ACCEPT 
  2. OUTPUT
  3. OUTPUT
  4. FORWARD
  5. FORWARD

注意:由于本地進程不會經過FORWARD鏈,因此回環接口lo只在INPUT和OUTPUT兩個鏈上作用。

5、使用者自定義鏈。

  1. # iptables -N custom 
  2. DROP
  3. DROP

二、設置基本的規則匹配

1、指定協議匹配。

1)匹配指定協議。

  1. # iptables -A INPUT -p tcp 

2)匹配指定協議之外的所有協議。

  1. # iptables -A INPUT -p !tcp 

2、指定地址匹配。

1)指定匹配的主機。

  1. # iptables -A INPUT -s 192.168.0.2 

2)指定匹配的網絡。

  1. # iptables -A INPUT -s 192.168.2.0/24 

3)匹配指定主機之外的地址。

  1. # iptables -A FORWARD

4)匹配指定網絡之外的網絡。

  1. # iptables -A FORWARD

3、指定網絡接口匹配。

1)指定單一的網絡接口匹配。

  1. # iptables -A INPUT -i eth0 
  2. FORWARD

2)指定同類型的網絡接口匹配。

  1. # iptables -A FORWARD

4、指定端口匹配。

1)指定單一端口匹配。

  1. # iptables -A INPUT -p tcp --sport www

2)匹配指定端口之外的端口。

  1. # iptables -A INPUT -p tcp –dport !22 

3)匹配端口范圍。

  1. # iptables -A INPUT -p tcp –sport 22:80 

4)匹配ICMP端口和ICMP類型。

  1. # iptables -A INOUT -p icmp –icimp-type 8 

5)指定ip碎片。

每個網絡接口都有一個MTU(大傳輸單元),這個參數定義了可以通過的數據包的大尺寸。如果一個數據包大于這個參數值時,系統會將其劃分成更小的數據包(稱為ip碎片)來傳輸,而接受方則對這些ip碎片再進行重組以還原整個包。這樣會導致一個問題:當系統將大數據包劃分成ip碎片傳輸時,第一個碎片含有完整的包頭信息(IP+TCP、UDP和ICMP),但是后續的碎片只有包頭的部分信息(如源地址、目的地址)。因此,檢查后面的ip碎片的頭部(象有TCP、UDP和ICMP一樣)是不可能的。假如有這樣的一條規則:

  1. # iptables -A FORWARD

并且這時的FORWARD的policy為DROP時,系統只會讓第一個ip碎片通過,而余下的碎片因為包頭信息不完整而無法通過。可以通過—fragment/-f 選項來指定第二個及以后的ip碎片解決上述問題。

  1. # iptables -A FORWARD

注意現在有許多進行ip碎片***的實例,如DoS***,因此允許ip碎片通過是有安全隱患的,對于這一點可以采用iptables的匹配擴展來進行限制。

三、設置擴展的規則匹配(舉例已忽略目標動作)

1、多端口匹配。

1)匹配多個源端口。

  1. # iptables -A INPUT -p tcp -m multiport –sport 22,53,80,110 

2)匹配多個目的端口。

  1. # iptables -A INPUT -p tcp -m multiport –dpoort 22,53,80 

3)匹配多端口(無論是源端口還是目的端口)

  1. # iptables -A INPUT -p tcp -m multiport –port 22,53,80,110 

2、指定TCP匹配擴展

使用 –tcp-flags 選項可以根據tcp包的標志位進行過濾。

  1. # iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN 
  2. ALL

上實例中第一個表示SYN、ACK、FIN的標志都檢查,但是只有SYN匹配。第二個表示ALL(SYN,ACK,FIN,RST,URG,PSH)的標志都檢查,但是只有設置了SYN和ACK的匹配。

  1. # iptables -A FORWARD--syn

選項—syn相當于”--tcp-flags SYN,RST,ACK SYN”的簡寫。

3、limit速率匹配擴展。

1)指定單位時間內允許通過的數據包個數,單位時間可以是/second、/minute、/hour、/day或使用第一個子母。

  1. # iptables -A INPUT -m limit --limit 300/hour

2 )指定觸發事件的閥值。

  1. # iptables -A INPUT -m limit –limit-burst 10  

用來比對一次同時涌入的封包是否超過10個,超過此上限的包將直接丟棄。

3)同時指定速率限制和觸發閥值。

  1. # iptables -A INPUT -p icmp -m limit –-limit 3/m –limit-burst 3 

表示每分鐘允許的大包數量為限制速率(本例為3)加上當前的觸發閥值burst數。任何情況下,都可保證3個數據包通過,觸發閥值burst相當于允許額外的包數量。
==============
對端口限速的例子

  1. # vim control_flow.sh 
  1. #!/bin/bash 
  2. --dport 8080 -m limit --limit 800/s  -j ACCEPT
  3. --dport 8080 -j DROP

==============

4)基于狀態的匹配擴展(連接跟蹤)

每個網絡連接包括以下信息:源地址、目標地址、源端口、目的端口,稱為套接字對(socket pairs);協議類型、連接狀態(TCP協議)

和超時時間等。防火墻把這些信息稱為狀態(stateful)。狀態包過濾防火墻能在內存中維護一個跟蹤狀態的表,比簡單包過濾防火墻具有更大的安全性,命令格式如下:

  1. # iptables -m state –-state [!]state [,state,state,state] 

其中,state表是一個逗號分割的列表,用來指定連接狀態,4種:

>NEW: 該包想要開始一個新的連接(重新連接或連接重定向)

>RELATED:該包是屬于某個已經建立的連接所建立的新連接。舉例:

FTP的數據傳輸連接和控制連接之間就是RELATED關系。

>ESTABLISHED:該包屬于某個已經建立的連接。

>INVALID:該包不匹配于任何連接,通常這些包被DROP。

例如:

(1)在INPUT鏈添加一條規則,匹配已經建立的連接或由已經建立的連接所建立的新連接。即匹配所有的TCP回應包。

  1. # iptables -A INPUT -m state –state RELATED,ESTABLISHED 

(2)在INPUT鏈鏈添加一條規則,匹配所有從非eth0接口來的連接請求包。

  1. # iptables -A INPUT -m state -–state NEW -i !eth0 

又如,對于ftp連接可以使用下面的連接跟蹤:

(1)被動(Passive)ftp連接模式。

  1. # iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state –-state ESTABLISHED -j ACCEPT
  2. OUTPUT--sport 1024: --dport 1024: -m state -–state ESTABLISHED,RELATED -j ACCEPT

(2)主動(Active)ftp連接模式

  1. # iptables -A INNPUT -p tcp --sport 20 -m state –-state ESTABLISHED,RELATED -j ACCEPT
  2. OUTPUTOUTPUT--state ESTABLISHED -j ACCEPT
 

5)TOS匹配擴展。

四、設置目標擴展

目標擴展由內核模塊組成,而且iptables的一個可選擴展提供了新的命令行選項。
========================================================

#!/bin/bash

#Flush all policy and add default policy
iptables -F
iptables -t filter -P INPUT DROP

#Open port 80 and limit rate from 80
iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 80 -m limit --limit 800/s  -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 80 -j DROP

#Open port 22 only for 192.168.2.45
iptables -t filter -A INPUT -s 192.168.2.45 -p tcp --dport 22 -j ACCEPT
# iptables -t filter -A INPUT -s ! 192.168.2.45 -p tcp --dport 22 -j DROP

#Open the protocal icmp for all users
iptables -t filter -A INPUT -p icmp -j ACCEPT

#Make sure this host can connect any hosts
iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

=======================================================

有時連入互連網的時候網關是動態的不確定的.如adsl上網

  1. iptables -t nat -A OUTPUT

另外有需要云服務器可以了解下創新互聯scvps.cn,海內外云服務器15元起步,三天無理由+7*72小時售后在線,公司持有idc許可證,提供“云服務器、裸金屬服務器、高防服務器、香港服務器、美國服務器、虛擬主機、免備案服務器”等云主機租用服務以及企業上云的綜合解決方案,具有“安全穩定、簡單易用、服務可用性高、性價比高”等特點與優勢,專為企業上云打造定制,能夠滿足用戶豐富、多元化的應用場景需求。

分享文章:iptables基本命令-創新互聯
文章位置:http://vcdvsql.cn/article36/cdjipg.html

成都網站建設公司_創新互聯,為您提供網站營銷營銷型網站建設微信小程序小程序開發軟件開發搜索引擎優化

廣告

聲明:本網站發布的內容(圖片、視頻和文字)以用戶投稿、用戶轉載內容為主,如果涉及侵權請盡快告知,我們將會在第一時間刪除。文章觀點不代表本網站立場,如需處理請聯系客服。電話:028-86922220;郵箱:631063699@qq.com。內容未經允許不得轉載,或轉載時需注明來源: 創新互聯

網站優化排名