Fedora iptables初始化工作开始设置规则

系统 Linux
Fedora iptables是复杂的,它集成到linux内核中。用户通过Fedora iptables,可以对进出你的计算机的数据包进行过滤。通过Fedora iptables命令设置你的规则,来把守你的计算机网络──哪些数据允许通过,哪些不能通过,哪些通过的数据进行记录(log)。接下来,我将告诉你如何设置自己的规则,从现在就开始吧。

想知道到Fedora iptables系统的真相么,想知道Fedora iptables系统中藏有的内在奥义么,只有我来给大家全面讲解介绍Fedora iptables系统iptables--静态防火墙实例教程 follow me

1、Fedora iptables介绍

Fedora iptables是复杂的,它集成到linux内核中。用户通过Fedora iptables,可以对进出你的计算机的数据包进行过滤。通过Fedora iptables命令设置你的规则,来把守你的计算机网络──哪些数据允许通过,哪些不能通过,哪些通过的数据进行记录(log)。接下来,我将告诉你如何设置自己的规则,从现在就开始吧。

2、Fedora iptables初始化工作

在shell提示符 # 下打入iptables -Fiptables -Xiptables -t nat -F iptables -t nat -X以上每一个命令都有它确切的含义。一般设置你的Fedora iptables之前,首先要清除所有以前设置的规则,我们就把它叫做初始化好了。虽然很多情况下它什么也不做,但是保险起见,不妨小心一点吧! 如果你用的是redhat 或fedora,那么你有更简单的办法service iptables stop

3、开始设置规则:

接下下开始设置你的规则了Fedora iptables -P INPUT DROP这一条命令将会为你构建一个非常“安全”的防火墙,我很难想象有哪个hacker能攻破这样的机器,因为它将所有从网络进入你机器的数据丢弃(drop)了。这当然是安全过头了,此时你的机器将相当于没有网络。如果你ping localhost,你就会发现屏幕一直停在那里,因为ping收不到任何回应。

4 、Fedora iptables添加规则

接着上文继续输入命令:Fedora iptables -A INPUT -i ! ppp0 -j ACCEPT这条规则的意思是:接受所有的,来源不是网络接口ppp0的数据。我们假设你有两个网络接口,eth0连接局域网,loop是回环网(localhost)。ppp0是一般的adsl上网的internet网络接口,如果你不是这种上网方式,那则有可能是eth1。

在此我假设你是adsl上网,你的internet接口是ppp0此时你即允许了局域网的访问,你也可以访问localhost此时再输入命令 ping localhost,结果还会和刚才一样吗?到此我们还不能访问www,也不能mail,接着看吧。

5、我想访问www

Fedora iptables -A INPUT -i ppp0 -p tcp --sport 80 -j ACCEPT允许来自网络接口ppp0(internet接口),并且来源端口是80的数据进入你的计算机。80端口正是www服务所使用的端口。好了,现在可以看网页了。

但是,你能看到吗?如果你在浏览器的地址中输入http://www.baidu.com/,能看到网页吗?你得到的结果一定是:找不到主机http://www.baidu.com/但是,如果你再输入220.181.27.5,你仍然能够访问baidu的网页。

为什么?如果你了解dns的话就一定知道原因了。因为如果你打入www.baidu.com,你的电脑无法取得www.baidu.com这个名称所能应的ip地址220.181.27.5。如果你确实记得这个ip,那么你仍然能够访问www,你当然可以只用ip来访问www,如果你想挑战你的记忆的话^ _ ^,当然,我们要打开DNS。

6、打开dns端口

打开你的dns端口,输入如下命令:Fedora iptables -A INPUT -i ppp0 -p udp -sport 53 -j ACCEPT这条命令的含义是,接受所有来自网络接口ppp0,upd协议的53端口的数据。53也就是著名的dns端口。此时测试一下,你能通过主机名称访问www吗?你能通过ip访问www吗?当然,都可以!

7、查看防火墙

此时可以查看你的防火墙了Fedora iptables -L 如果你只想访问www,那么就可以到此为止,你将只能访问www了。 不过先别急,将上面讲的内容总结一下,写成一个脚本。

  1. #!/bin/bash  
  2. # This is a script   
  3. # Edit by liwei  
  4. # establish static firewall  
  5. iptables -F   
  6. iptables -X  
  7. iptables -t nat -F  
  8. iptables -t nat -X  
  9. iptables -P INPUT DROP  
  10. iptables -A INPUT -i ! ppp0 -j ACCEPT  
  11. iptables -A INPUT -i ppp0 -p tcp --sport 80 -j ACCEPT  
  12. iptables -A INPUT -i ppp0 -p udp --sport 53 -j ACCEPT 

8、复杂吗?到此Fedora iptables可以按你的要求进行包过滤了。你可以再设定一些端口,允许你的机器访问这些端口。这样有可能,你不能访问QQ,也可能不能打网络游戏,是好是坏,还是要看你自己而定了。

顺便说一下,QQ这个东西还真是不好控制,用户与服务器连接使用的好像是8888端口,而QQ上好友互发消息使用的又是udp的4444端口(具体是不是4444还不太清楚)。而且QQ还可以使用www的80端口进行登录并发消息,看来学无止境,你真的想把这个家伙控制住还不容易呢?还是进入我们的正题吧。如果你的机器是服务器,怎么办?

9、如果不巧你的机器是服务器,并且要提供www服务。显然,以上的脚本就不能符合我们的要求了。但只要你撑握了规则,稍作修改同样也能很好的工作。在最后面加上一句
iptables -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT这一句也就是将自己机器上的80端口对外开放了,这样internet上的其他人就能访问你的www了。

当然,你的www服务器得工作才行。如果你的机器同时是smtp和pop3服务器,同样的再加上两条语句,将--dport后面的80改成25和110就行了。如果你还有一个ftp服务器,呵呵,如果你要打开100个端口呢……

我们的工作好像是重复性的打入类似的语句,你可能自己也想到了,我可以用一个循环语句来完成,对,此处可以有效的利用shell脚本的功能,也让你体验到了shell脚本语言的威力。看下文:

10、用脚本简化你的工作,阅读下面的脚本

  1. #!/bin/bash  
  2. # This is a script   
  3. # Edit by liwei  
  4. # establish a static firewall  
  5. # define const here  
  6. Open_ports="80 25 110 10" # 自己机器对外开放的端口  
  7. Allow_ports="53 80 20 21" # internet的数据可以进入自己机器的端口  
  8. #init  
  9. iptables -F   
  10. iptables -X  
  11. iptables -t nat -F  
  12. iptables -t nat -X  
  13. iptables -P INPUT DROP #we can use another method to instead it   
  14. iptables -A INPUT -i ! ppp0 -j ACCEPT  
  15. # define ruler so that some data can come in.  
  16. for Port in "$Allow_ports" ; do  
  17. iptables -A INPUT -i ppp0 -p tcp -sport $Port -j ACCEPT   
  18. iptables -A INPUT -i ppp0 -p udp -sport $Port -j ACCEPT   
  19. done  
  20. for Port in "$Open_ports" ; do  
  21. iptables -A INPUT -i ppp0 -p tcp -dport $Port -j ACCEPT   
  22. iptables -A INPUT -i ppp0 -p udp -dport $Port -j ACCEPT   
  23. done 

这个脚本有三个部分(最前面的一段是注释,不算在这三部分中)第一部分是定义一些端口:访问你的机器"Open_ports"端口的数据,允许进入;来源是"Allow_ports"端口的数据,也能够进入。

第二部分是Fedora iptables的初始化,第三部分是对定义的端口具体的操作。如果以后我们的要求发生了一些变化,比如,你给自己的机器加上了一个ftp服务器,那么只要在第一部分"Open_ports"的定义中,将ftp对应的20与21端口加上去就行了。呵呵,到此你也一定体会到了脚本功能的强大的伸缩性,但脚本的能力还远不止这些呢!

11、使你的防火墙更加完善

看上面的脚本init部分的倒数第二句Fedora iptables -P INPUT DROP这是给防火墙设置默认规则。当进入我们计算机的数据,不匹配我们的任何一个条件时,那么就由默认规则来处理这个数据----drop掉,不给发送方任何应答。

也就是说,如果你从internet另外的一台计算机上ping你的主机的话,ping会一直停在那里,没有回应。如果黑客用namp工具对你的电脑进行端口扫描,那么它会提示黑客,你的计算机处于防火墙的保护之中。

我可不想让黑客对我的计算机了解太多,怎么办,如果我们把drop改成其他的动作,或许能够骗过这位刚出道的黑客呢。怎么改呢?将刚才的那一句( iptables -P INPUT DROP )去掉,在脚本的最后面加上iptables -A INPUT -i ppp0 -p tcp -j REJECT --reject-with tcp-resetiptables -A INPUT -i ppp0 -p udp -j REJECT --reject-with icmp-port-unreachable

这样就好多了,黑客虽然能扫描出我们所开放的端口,但是他却很难知道,我们的机器处在防火墙的保护之中。如果你只运行了ftp并且仅仅对局域网内部访问,他很难知道你是否运行了ftp。

在此我们给不应该进入我们机器的数据,一个欺骗性的回答,而不是丢弃(drop)后就不再理会。这一个功能,在我们设计有状态的防火墙中(我这里讲的是静态的防火墙)特别有用。你可以亲自操作一下,看一看修改前后用namp扫描得到的结果会有什么不同?

12、这个教程我想到此就结束了,其中有很多东西在这里没有提到,如ip伪装,端口转发,对数据包的记录功能。还有一个很重要的东西就是:Fedora iptables处理数据包的流程.在这里我想告诉你,你设置的过滤规则的顺序很重要,在此不宜详细介绍,因为这样一来,这个教程就会拘泥于细节。

Fedora iptables是复杂的,我在linuxsir上看过很多教程,它们往往多而全,反而让人望而生畏,希望我的这个教程,能够指导你入门。加油!最后,我把完整的脚本写出来如下,你只要修改常量定义部分,就能表现出较大的伸缩性^_^

  1. #!/bin/bash  
  2. # This is a script   
  3. # Edit by liwei  
  4. # establish a static firewall  
  5. # define const here  
  6. Open_ports="80 25 110 10" # 自己机器对外开放的端口  
  7. Allow_ports="53 80 20 21" # internet的数据可以进入自己机器的端口  
  8. #init  
  9. iptables -F   
  10. iptables -X  
  11. iptables -t nat -F  
  12. iptables -t nat -X  
  13. # The follow is comment , for make it better  
  14. # iptables -P INPUT DROP   
  15. iptables -A INPUT -i ! ppp0 -j ACCEPT  
  16. # define ruler so that some data can come in.  
  17. for Port in "$Allow_ports" ; do  
  18. ptables -A INPUT -i ppp0 -p tcp -sport $Port -j ACCEPT   
  19. iptables -A INPUT -i ppp0 -p udp -sport $Port -j ACCEPT   
  20. done  
  21. for Port in "$Open_ports" ; do  
  22. iptables -A INPUT -i ppp0 -p tcp -dport $Port -j ACCEPT   
  23. iptables -A INPUT -i ppp0 -p udp -dport $Port -j ACCEPT   
  24. done  
  25. # This is the last ruler , it can make you firewall better  
  26. iptables -A INPUT -i ppp0 -p tcp -j REJECT --reject-with tcp-reset  
  27. iptables -A INPUT -i ppp0 -p udp -j REJECT --reject-with icmp-port-unreachable  

【编辑推荐】

  1. Fedora Linux分区规划还算得心应手
  2. Fedora vsftpd配置文件的说明一些常用功能的实现
  3. Fedora vsFTPd和防火墙及SELINUX的关系
  4. Fedora vsFTPd服务器的安装启动和关闭
  5. Fedora FTP用户管理解说匿名用户和用户组的理解
责任编辑:佚名 来源: CSDN
相关推荐

2011-03-16 10:52:20

2011-03-17 17:45:45

iptables规则

2011-03-18 09:26:13

Iptables规则

2011-03-16 09:30:47

iptables过滤

2011-03-16 10:59:57

2011-03-16 16:41:57

清空iptables

2023-11-12 23:08:17

C++初始化

2011-03-14 15:46:35

Iptables语法

2011-03-16 16:54:10

iptables 清空linux

2010-08-03 17:42:54

Fedora NFS

2020-07-27 17:32:21

Fedora 33FedoraBtrfs

2011-06-17 15:29:44

C#对象初始化器集合初始化器

2009-09-08 09:48:34

LINQ初始化数组

2009-11-11 15:29:15

ADO初始化

2019-11-04 13:50:36

Java数组编程语言

2011-03-15 16:48:05

iptables设置

2010-07-28 10:22:33

FlexApplica

2021-03-12 10:30:11

SpringMVC流程初始化

2020-12-03 09:50:52

容器IoC流程

2022-07-06 10:37:45

SpringServlet初始化
点赞
收藏

51CTO技术栈公众号