由於在服務器部署時,爲了方便部署,把本機的iptables都關上了,然後還手欠的保存了設置,再想找回來是不可能了,那就重新設置一些適合我的防火牆策略吧!
如果你使用遠程連接到你的服務器,那麼ssh端口是不可少的,不要把自己關在外面!
ssh默認端口號是22,可以通過/etc/sshd/sshd.conf來修改
iptables -I INPUT -p tcp --dport 22 -j ACCEPT
然後是拒絕所有的進入鏈接,有很多人用的DROP,下面簡單說一下兩者的區別:
iptables -A INPUT -j REJECT
REJECT和DROP的區別是什麼?某天聽到Sery的解釋,感覺說的很容易理解:
“就好象騙子給你打電話,drop就是直接拒收。reject的話,相當於你還給騙子回個電話。”
其實對於到底是使用DROP還是REJECT,從很久以前開始就非常多的人提出這方面的疑問。REJECT其實就比DROP多返回一個ICMP錯誤信息包,兩個策略各有優劣,簡單總結如下:
DROP比REJECT好在節省資源,而且延緩******的進度(因爲不會給***返回任何有關服務器的信息);壞在容易讓企業的網絡問題難以排查,而且在DDoS***的情況容易耗盡所有的帶寬。
REJECT比DROP的好處在於容易診斷和調試網絡設備或防火牆造成的問題;壞處上面也說了,你給騙子回個電話,相當於暴露了自己的服務器信息。
所以一般的建議是在上游防火牆中使用REJECT,在比較危險的面向外網的基礎防火牆上,使用DROP要相對安全一些。(文章取自百度知道)
iptables -A是在當前已有記錄下面追加一條規則,優先級比他上面的規則低
iptables -I 是在當前已有記錄上面插入一條規則,優先級比他下面的規則高
所以,當添加好一天拒絕所有連接的規則後,下面配置的規則都應該在他的上面!
下面開始一些主要服務的端口開啓:
開放icmp應答,ftp傳輸:
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
一.網站服務器
開放8080(tomcat)端口(httpd默認端口80):
iptables -I INPUT -p tcp --dport 8080 -j ACCEPT
二.文件服務器NFS
1.開放2049(NFS)端口和111(RPC):
iptables -I INPUT -p tcp --dport 2049 -j ACCEPT
iptables -I INPUT -p tcp --dport 111 -j ACCEPT
iptables -I INPUT -p ucp --dport 111 -j ACCEPT
2.文件服務啓動服務需開放回環端口
iptables -I INPUT -i lo -j ACCEPT
3.開放mountd和lockd端口
①vim /etc/sysconfig/nfs
RQUOTAD_PORT=875
LOCKD_TCPPORT=32803
LOCKD_UDPPORT=32769
MOUNTD_PORT=892
②
iptables -I INPUT -p tcp --dport 892 -j ACCEPT
iptables -I INPUT -p udp --dport 892 -j ACCEPT
iptables -I INPUT -p tcp --dport 32803 -j ACCEPT
iptables -I INPUT -p udp --dport 32803 -j ACCEPT
iptables -I INPUT -p tcp --dport 32769 -j ACCEPT
iptables -I INPUT -p udp --dport 32769 -j ACCEPT
iptables -I INPUT -p udp --dport 875 -j ACCEPT
iptables -I INPUT -p tcp --dport 875 -j ACCEPT
三.網絡***防禦
允許一個網段ping
iptables -I INPUT -p icmp -s 192.168.6.0/24 -j ACCEPT
防Ddos***:
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
--litmit 25/minute 指示每分鐘限制最大連接數爲25
--litmit-burst 100 指示當總連接數超過100時,啓動 litmit/minute 限制
禁止Ping入
#允許內網(192.168.1.*)的ping入,允許ping出,禁止其它網段的ping入
iptables -A INPUT -p icmp --icmp-type 8 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 8 -j DROP
四.端口轉發
將本機80端口的請求轉發到8080端口:
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
將本機的81端口的請求全部轉發到192.168.1.1:80
#首先要啓用ipv4的轉發功能:
echo 1 > /proc/sys/net/ipv4/ip_forward
#或者是修改/etc/sysctl.conf以便重啓後也會啓用轉發,然後設定iptables:
iptables -t nat -A PREROUTING -p tcp --dport 81 -j DNAT --to 192.168.1.1:80
iptables -t nat -A POSTROUTING -j MASQUERADE
#如果開啓了防火牆功能,注意要將80和81兩個端口都打開
五.防火牆規則刪除
顯示所有規則的行號:
iptables -L INPUT --line-numbers
刪除對應的行號的規則:
iptables -D chain rulenum [options]
iptables -D INPUT number
注意:刪除第一條規則後,第二條規則會成爲第一條規則!
六.自動化規則設置
當你設置好一臺服務器的規則時,還有很多規則差不多的服務器需要設置規則,這樣的話,建議把所有規則複製到shell腳本中,直接一執行規則就設置好了!
本文出自 “linux運維技術” 博客,請務必保留此出處http://forall.blog.51cto.com/12356505/1908421