Linux下iptables 禁止端口和开放端口示例
作者:理想几岁 发布时间:2023-08-16 10:50:55
1、关闭所有的 INPUT FORWARD OUTPUT 只对某些端口开放。
下面是命令实现:
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
再用命令
iptables -L -n
查看 是否设置好, 好看到全部 DROP 了
这样的设置好了,我们只是临时的, 重启服务器还是会恢复原来没有设置的状态
还要使用 service iptables save 进行保存
service iptables save
看到信息 firewall rules 防火墙的规则 其实就是保存在 /etc/sysconfig/iptables
可以打开文件查看 vi /etc/sysconfig/iptables
2、下面我只打开22端口,看我是如何操作的,就是下面2个语句
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
再查看下 iptables -L -n 是否添加上去, 看到添加了
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
Chain FORWARD (policy DROP)
target prot opt source destination
Chain OUTPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:22
现在Linux服务器只打开了22端口,用putty.exe测试一下是否可以链接上去。
可以链接上去了,说明没有问题。
最后别忘记了保存 对防火墙的设置
通过命令:service iptables save 进行保存
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
针对这2条命令进行一些讲解吧
-A 参数就看成是添加一条 INPUT 的规则
-p 指定是什么协议 我们常用的tcp 协议,当然也有udp 例如53端口的DNS
到时我们要配置DNS用到53端口 大家就会发现使用udp协议的
而 --dport 就是目标端口 当数据从外部进入服务器为目标端口
反之 数据从服务器出去 则为数据源端口 使用 --sport
-j 就是指定是 ACCEPT 接收 或者 DROP 不接收
3、禁止某个IP访问
1台Linux服务器,2台windows xp 操作系统进行访问
Linux服务器ip: 192.168.1.99
xp1 ip: 192.168.1.2
xp2 ip: 192.168.1.8
下面看看2台xp 都可以访问的
192.168.1.2 这是 xp1 可以访问的,
192.168.1.8 xp2 也是可以正常访问的。
那么现在我要禁止 192.168.1.2 xp1 访问, xp2 正常访问,
下面看看演示
通过命令
iptables -A INPUT -p tcp -s 192.168.1.2 -j DROP
这里意思就是 -A 就是添加新的规则, 怎样的规则呢? 由于我们访问网站使用tcp的,
我们就用 -p tcp , 如果是 udp 就写udp,这里就用tcp了, -s就是 来源的意思,
ip来源于 192.168.1.2 ,-j 怎么做 我们拒绝它 这里应该是 DROP
好,看看效果。好添加成功。下面进行验证 一下是否生效
一直出现等待状态 最后 该页无法显示 ,这是 192.168.1.2 xp1 的访问被拒绝了。
再看看另外一台 xp 是否可以访问, 是可以正常访问的 192.168.1.8 是可以正常访问的
4、如何删除规则
首先我们要知道 这条规则的编号,每条规则都有一个编号
通过 iptables -L -n --line-number 可以显示规则和相对应的编号
iptables -L -n --line-number
num target prot opt source destination
1 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:3306
2 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:21
3 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
多了 num 这一列, 这样我们就可以 看到刚才的规则对应的是 编号2
那么我们就可以进行删除了
iptables -D INPUT 2
删除INPUT链编号为2的规则。
再 iptables -L -n 查看一下 已经被清除了。
5、过滤无效的数据包
假设有人进入了服务器,或者有病毒木马程序,它可以通过22,80端口像服务器外传送数据。
它的这种方式就和我们正常访问22,80端口区别。它发向外发的数据不是我们通过访问网页请求而回应的数据包。
下面我们要禁止这些没有通过请求回应的数据包,统统把它们堵住掉。
iptables 提供了一个参数 是检查状态的,下面我们来配置下 22 和 80 端口,防止无效的数据包。
iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
可以看到和我们以前使用的:
iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
多了一个状态判断。
同样80端口也一样, 现在删掉原来的2条规则,
iptables -L -n --line-number
查看规则而且带上编号。我们看到编号就可以
删除对应的规则了。
iptables -D OUTPUT 1
这里的1表示第一条规则。
当你删除了前面的规则, 编号也会随之改变。
好,我们删除了前面2个规则,22端口还可以正常使用,说明没问题了
下面进行保存,别忘记了,不然的话重启就会还原到原来的样子。
service iptables save
进行保存。
Saving firewall rules to /etc/sysconfig/iptables: [ OK ]
其实就是把刚才设置的规则写入到 /etc/sysconfig/iptables 文件中。
6、DNS端口53设置
下面我们来看看如何设置iptables来打开DNS端口,DNS端口对应的是53
目前只开放22和80端口, 我现在看看能不能解析域名。
hostwww.google.com
输入这个命令后,一直等待,说明DNS不通
出现下面提示 :;; connection timed out; no servers could be reached
ping 一下域名也是不通
[root@localhost ~]#pingwww.google.com
ping: unknown hostwww.google.com
我这里的原因就是 iptables 限制了53端口。
有些服务器,特别是Web服务器减慢,DNS其实也有关系的,无法发送包到DNS服务器导致的。
下面演示下如何使用 iptables 来设置DNS 53这个端口,如果你不知道 域名服务端口号,你
可以用命令 :
grep domain /etc/services
[root@localhost] ~ #grep domain /etc/services
domain 53/tcp # name-domain server
domain 53/udp
domaintime 9909/tcp # domaintime
domaintime 9909/udp # domaintime
看到了吧, 我们一般使用 udp 协议。
来源:http://www.cnblogs.com/zongfa/p/7967935.html
猜你喜欢
- 搜索引擎会对恶意进行SEO的网站进行惩罚,如清除所有链接。百度对作弊的判断条件:(1)在网页源代码的任意位置,故意加入与网页内容不相关的关键
- 北京时间10月12日消息,据国外媒体报道,微软公司今日表示,由其负责提供软件运维的T-Mobile运营的Sidekick手机服务,遭遇了技术
- 网上流传了很多个版本的Google Adsense低价广告过滤清单,并且也有很多发布者就在使用这个名单。从技术角度上讲,过滤单价广告不能提高
- 主题推广新代码上线将近四个月,展现量每天都在不断的增长。为了让您更好了解新版主题推广代码的自定义功能,尤妮为您作详细介绍一下。一、自定义代码
- 大量复制内容网站有的时候会影响关键字的排名。比如说原本是你写的文章,本来应该排名很好,但是其他人抄袭或转载你的文章,而且搜索引擎不幸的判断那
- # 程序崩溃时不记录 kern.coredump=0 # lo本地数据流接收和发送空间 net.local.stream.recvspace
- 2007 年 10 月期间我们在全国6个城市举办了 AdSense 产品介绍会,期间有很多的发布商朋友提出了很多很好的意见和建议。这里我们就
- 随着互联网行业的发展,越来越多的企业认识到网站的重要性,同时网站作为一个企业对外展示的窗口也开始受到用户的注意,想找什么东西上网一搜索,几秒
- 网站可用性关系到它能为用户节省多少时间。网站可用性越高,用户体验也就越高,用户也就会增加停留在网站上的时间。当一个经验不足的用户通过你网站的
- 针对搜索引擎显示Adsense广告是一个很古老的话题,其目的是为了减少无效展示,提高eCPM,也就是所谓的有效每千次展示的费用。江湖上传言e
- 怎么知道域名是否被注册过或被K过呢?域名的注册也是有讲究的,其中最重要的就是看域名是否被搜索引擎k过。如果域名被注册过,且网站因为涉及到法律
- 初级安全篇1、物理安全服务器应该安放在安装了监视器的隔离房间内,并且监视器要保留15天以上的摄像记录。另外,机箱,键盘,电脑桌抽屉要上锁,以
- 一、HTTP协议的作用原理WWW是以Internet作为传输媒介的一个应用系统,WWW网上最基本的传输单位是Web网页。WWW的工作基于客户
- 据国外媒体介绍,Google今天宣布,将原DoubleClick旗下的Performics广告联盟整合入Google产品线,更名为Googl
- 今天打开邮箱看到了这封来自Google AdSense 小组的信《有关推介用户注册 AdSense 的更新》,讲的是关于AdSense推荐即
- 想要成为一个合格的站长,做好再讲的网站是有很多因素的,下边,就这些问题说一说,如何才能建设好一个成功的网站。首先,一个成功的网站,定位一定要
- SQL Server 2000是微软公司最新版的大型数据库服务器,其性能指标在各方面都有赶超Oracle数据库的趋势。在经历了SQL Ser
- 11月11日消息,国内领先权威调研机构艾瑞集团鼎力支持中国第一视频网站优酷在京正式发布优酷指数,以1.7亿全站优酷用户为样本基础,基于视频技
- 1.安装mysql workbench,提示未安装软件包 libpng12-0下载了MySQL Workbench 6.3.8 在安装的时候
- 在过去的半年里,百度一直同时运行两套竞价体系。百度商业运营副总裁沈浩瑜透露,“两套竞价体系在搜索推广平台上出价管理,对精