第五章：iptables应用案例分析（包过滤服务器上设置iptables）
|
二、服务器上的iptables的设置 1）查看 #查看filter表的设置情况 iptables -t filter -L #清空filter表上的所有规则 iptables -t filter -F #让filter表的数据包计数器和流量计数器归零 iptables -t filter -Z 2）设置 ---------------------------------------------------------------------------------------------------------- #允许 任意一台主机/某个网段 连接本服务器的SSH服务（本服务器为：SSH服务器） （1）允许任意一台主机连接本服务器的SSH服务 iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT iptables -t filter -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT （2）允许某个网段连接本服务器的SSH服务 iptables -t filter -A INPUT -p tcp -s 192.168.0.0/24 --dport 22 -j ACCEPT iptables -t filter -A OUTPUT -p tcp -m -d 192.168.0.0/24 --sport 22 -m state --state ESTABLISHED -j ACCEPT （3）允许某个网段的部分主机连接本服务器的SSH服务 iptables -t filter -A INPUT -p tcp -m iprange --src-range 192.168.0.1-192.168.0.5 --dport 22 -j ACCEPT iptables -t filter -A OUTPUT -p tcp -m iprange --dst-range 192.168.0.1-192.168.0.5 --sport 22 -m state --state ESTABLISHED -j ACCEPT #允许本服务器连接远程主机的SSH服务（本服务器为：SSH客户端） iptables -t filter -A INPUT -p tcp --sport 22 -j ACCEPT iptables -t filter -A OUTPUT -p tcp --dport 22 -j ACCEPT ---------------------------------------------------------------------------------------------------------- #设置本服务器本地回环通行（因为本地回环地址：127.0.0.1，它提供了很多的服务，可通过netstat -autnlp查看） iptables -t filter -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT iptables -t filter -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT ---------------------------------------------------------------------------------------------------------- #允许本服务器发送和接收ICMP数据包（ping指令） iptables -t filter -A INPUT -p icmp -j ACCEPT iptables -t filter -A OUTPUT -p icmp -j ACCEPT （1）此外还可以对icmp类型的包进行流量的限制，例如： iptables -t filter -A INPUT -p icmp -m limit --limit 5/m --limit-burst 10 -j ACCEPT iptables -t filter -A OUTPUT -p icmp -m limit --limit 5/m --limit-burst 10 -j ACCEPT 其中，对INPUT链与OUTPUT链限制都进行限制流量：--limit 5/m表示每分钟可接受5个icmp类型的数据包；--limit-burst 10表示最多可接受10个，当达到10个时就出现丢弃该类型数据包；一般我们只对INPUT链进行限制流量即可，所以当使用ping出现丢包的时，那么可能的故障就是防火墙做了相应的限制流量规则 （2）把icmp类型包的过滤写入到日志，以方便查看 iptables -t filter -A INPUT -p icmp-m limit --limit 5/m --limit-burst 10 -j LOG --log-levelINFO --log-prefix "CentOS-ICMP: " tail -f /var/log/messages ---------------------------------------------------------------------------------------------------------- #假设本服务器为：DNS服务器（192.168.0.53） iptables -t filter -A INPUT -p udp -d 192.168.0.53 --dport 53 -j ACCEPT iptables -t filter -A OUTPUT -p udp -s 192.168.0.53 --sport 53 -j ACCEPT #允许本服务器发送和接收DNS服务（本服务器为：DNS客户端） iptables -t filter -A INPUT -p udp --sport 53 -j ACCEPT iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT ---------------------------------------------------------------------------------------------------------- #假设本服务器：WEB服务器（192.168.0.53） （1）允许所有的主机访问本WEB服务器 iptables -t filter -A INPUT -p tcp -d 192.168.0.53 --dport 80 -j ACCEPT（客户端请求） iptables -t filter -A OUTPUT -p tcp -s 192.168.0.53--sport 80 -m state --state ESTABLISHED -j ACCEPT（服务器的回应） （2）拒绝某台机子访问本WEB服务器 iptables -t filter -I INPUT -p tcp -d 192.168.0.53 --dport 80 -s 192.168.0.5 -j DROP iptables -t filter -I OUTPUT -p tcp -s 192.168.0.53--sport 80 -d 192.168.0.5 -m state --state ESTABLISHED -jDROP 注意：拒绝的规则一定要写在允许的规则的前面（（2）必须写在（1）的前面，所以可以使用-I参数，即：插入规则），因为规则的执行顺序是按从上到下的 就以上面作为这例子吧，我们的WEB服务器允许所有主机访问（除了192.168.0.5），所以我们还可以有另一种写法，如下： iptables -t filter -A INPUT -p tcp -d 192.168.0.53 --dport 80 -s ! 192.168.0.5 -j ACCEPT iptables -t filter -A OUTPUT -p tcp -s 192.168.0.53 --sport 80 -d ! 192.168.0.5 -j ACCEPT #允许本服务器发送和接收httpd服务（本服务器为：web客户端） iptables -t filter -A INPUT -p tcp --sport 80 -j ACCEPT iptables -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT iptables -t filter -A INPUT -p tcp --sport 3127 -j ACCEPT iptables -t filter -A OUTPUT -p tcp --dport 3127 -j ACCEPT 注意：为什么要加上3127这个端口的相应规则呢？因为有些yum的源是提供特定端口的，此时就要自己写相应的规则 ---------------------------------------------------------------------------------------------------------- #假设本服务器为：vsftp服务器（192.168.0.53） （1）主动模式：除了打开服务器上的21端口，还得打开20端口 首先，加载相关模块 modprobe ip_nat modprobe ip_conntrack modprobe ip_conntrack_ftp modprobe ip_nat_ftp 注意以下几点 第一点：当 iptables 对 filter、nat、mangle 任意一个表进行操作的时候，会自动加载 ip_tables 模块 另外，iptable_filter、iptable_nat、iptable_mangle 模块也会自动加载 第二点：ip_conntrack 是状态检测机制，state 模块要用到，当 iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 时，ip_conntrack 自动加载 第三点：ip_nat_ftp 是通过本机的 FTP 需要用到的（若你的系统不需要路由转发，没必要用这个） 第四点：ip_conntrack_ftp，当本机做 FTP 时，且要状态检测机制时才会用到 iptables -t filter -A INPUT -d 192.168.0.53 -p tcp --dport 20:21 -j ACCEPT iptables -t filter -A OUTPUT -s 192.168.0.53 -p tcp--sport 20:21 -m state --state ESTABLISHED,RELATED -j ACCEPT 注意：因为端口：20-21是连续的（大于20，表示为"20:"；小于20，表示为":20"），所以可以--dport | --sport + 20:21这个写，如果不连续的话，那就得使用" -m multiport --dport |--sport + 端口1,端口2..."，具体请使用man iptables，例如：下面这个例子 使用multiport可以添加多个不连接的端口，最多可以添加15组。如：-A INPUT -p tcp -m multiport –dport 21:25,135:139 -j DROP 如果不使用multiport参数，只能是添加连续的端口，如：-A INPUT -p tcp –dport 21:25 -j DROP，而不能写成21：25，135：139 （2）被动模式 首先，要实现被动模式，那么必须配置/etc/vsftpd/vsftpd.conf，在该文件增加如下内容： pasv_enable=yes #启动被动模式 pasv_min_port=4040 #被动模式vsftpd服务器所使用的端口范围 pasv_max_port=4080 iptables -t filter -A INPUT -d 192.168.0.53 -p tcp --dport 21 -j ACCEPT iptables -t filter -A OUTPUT -s 192.168.0.53 -p tcp --sport 21 -j -m state --state ESTABLISHED ACCEPT iptables -t filter -A INPUT -d 192.168.0.53 -p tcp --dport 4040:4080 -j ACCEPT iptables -t filter -A OUTPUT -s 192.168.0.53 -p tcp--sport 4040:4080 -m state --state ESTABLISHED -j ACCEPT 注意：被动模式下，你要使用工具下载文件，例如：在windows系统下，你可以使用xftp、FileZilla等ftp客户端工具 ---------------------------------------------------------------------------------------------------------- #假设本服务器为：email服务器（192.168.0.53） email服务器发送邮件默认所使用的端口：25 email服务器接收邮件默认所使用的端口：110 iptables -t filter -A INPUT -d 192.168.0.53 -p tcp --dport 25 -j ACCEPT iptables -t filter -A OUTPUT -s 192.168.0.53 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT iptables -t filter -A INPUT -d 192.168.0.53 -p tcp --dport 110 -j ACCEPT iptables -t filter -A OUTPUT -s 192.168.0.53 -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPT ---------------------------------------------------------------------------------------------------------- 最后在规则的最前面插入检测状态（提高防火墙的工作效率）： iptables -t filter -I INPUT -m state --state INVALID -j DROP iptables -t filter -I INPUT -m state --state ESTABLISHED -j ACCEPT iptables -t filter -I INPUT -p tcp ! --syn -m state --state NEW -j DROP iptables -t filter -I FORWARD -m state --state INVALID -j DROP iptables -t filter -I FORWARD -m state --state ESTABLISHED -j ACCEPT |