自拍偷在线精品自拍偷,亚洲欧美中文日韩v在线观看不卡

iptables的過濾規(guī)則

作者：loveigi
運(yùn)維 系統(tǒng)運(yùn)維
iptables的過濾規(guī)則：iptables是一種集成的、便捷的IP信息包過濾系統(tǒng)，如果連接LAN的使用，則更有利于iptables在Linux下控制IP信息包。本文講述的是如何iptables的過濾規(guī)則。

iptables的過濾規(guī)則：

　　# 過濾表規(guī)則

  1. 　　*filter  
  2.  

　　# 默認(rèn)徹略

  1. 　　:FORWARD DROP [ ]  
  2.  
  3. 　　:INPUT DROP [ ]  
  4.  
  5. 　　:OUTPUT ACCEPT [ ]  
  6.  

　　# 定義新鏈

  1. 　　-N ICMP_FORWARD  
  2.  
  3. 　　-N TCP_FORWARD  
  4.  
  5. 　　-N UDP_FORWARD  
  6.  
  7. 　　-N ICMP_INPUT  
  8.  
  9. 　　-N TCP_INPUT  
  10.  
  11. 　　-N UDP_INPUT  
  12.  
  13. 　　# Fix a bug  
  14.  
  15. 　　-A OUTPUT -p icmp -m state --state INVALID -j DROP  
  16.  

　　# 以下是FORWARD鏈的規(guī)則

　　# 若是ICMP協(xié)議則跳到 ICMP_FORWARD

  1. 　　-A FORWARD -p icmp -j ICMP_FORWARD  
  2.  

　　# 若是TCP協(xié)議則跳到 TCP_FORWARD

  1. 　　-A FORWARD -p tcp -j TCP_FORWARD  
  2.  

　　# 若是UDP協(xié)議則跳到 UDP_FORWARD

  1. 　　-A FORWARD -p udp -j UDP_FORWARD  
  2.  

　　# 允許碎片通過的速率200個(gè)/s,從200開始計(jì)數(shù)

  1. 　　-A FORWARD -f -m limit --limit 200/s --limit-burst 200 -j ACCEPT  
  2.  

　　# 不匹配FORWARD鏈的所有規(guī)則,丟棄數(shù)據(jù)包,結(jié)束FORWARD鏈

  1. 　　-A FORWARD -j DROP  
  2.  

　　# 以下是FORWARD鏈中針對ICMP協(xié)議的規(guī)則

　　# 從內(nèi)網(wǎng)到外網(wǎng)的放行

  1. 　　-A ICMP_FORWARD -p icmp -s 192.168.0.0/24 -i eth0 -o ppp+ -j ACCEPT  
  2.  

　　# 從外網(wǎng)進(jìn)來的回應(yīng)包放行

  1. 　　-A ICMP_FORWARD -p icmp -m state --state ESTABLISHED,RELATED -i ppp+ -j ACCEPT  
  2.  

　　# 丟棄所有不匹配的ICMP數(shù)據(jù)包,結(jié)束FORWARD鏈

  1. 　　-A ICMP_FORWARD -p icmp -j DROP  
  2.  

　　# 以下是FORWARD鏈中針對TCP協(xié)議的規(guī)則

　　# 允許內(nèi)網(wǎng)1024以上的端口連接外網(wǎng)

  1. 　　-A TCP_FORWARD -p tcp -s 192.168.0.0/24 -m tcp --sport 1024: -i eth0 -o ppp+ -j ACCEPT  
  2.  

　　# 允許內(nèi)網(wǎng)進(jìn)行主動式的FTP

  1. 　　-A TCP_FORWARD -p tcp -m tcp --sport 21 --dport 1024: -m state --state ESTABLISHED -i ppp+ -j ACCEPT  
  2.  
  3. 　　-A TCP_FORWARD -p tcp -m tcp --sport 20 --dport 1024: -m state --state ESTABLISHED,RELATED -i ppp+ -j ACCEPT  
  4.  

　　# 允許外網(wǎng)進(jìn)來的回應(yīng)包通過

  1. 　　-A TCP_FORWARD -p tcp -m state --state ESTABLISHED -m tcp --dport 1024: -i ppp+ -j ACCEPT  
  2.  

　　# 丟棄所有不匹配的TCP數(shù)據(jù)包,結(jié)束FORWARD鏈

  1. 　　-A TCP_FORWARD -p tcp -j DROP  
  2.  

　　# 以下是FORWARD鏈中針對UDP協(xié)議的規(guī)則

　　# 允許內(nèi)網(wǎng)1024以上的端口連接外網(wǎng)

  1. 　　-A UDP_FORWARD -p udp -s 192.168.0.0/24 -m udp --sport 1024: -i eth0 -o ppp+ -j ACCEPT  
  2.  

　　# 允許外網(wǎng)中指明的DNS服務(wù)器進(jìn)行域名解析

  1. 　　-A UDP_FORWARD -p udp -s 202.96.96.68 -m udp --sport 53 --dport 1024: -i ppp+ -j ACCEPT  
  2.  
  3. 　　-A UDP_FORWARD -p udp -s 202.96.*.* -m udp --sport 53 --dport 1024: -i ppp+ -j ACCEPT  
  4.  

　　# 開放IRC OICQ 端口

  1. 　　-A UDP_FORWARD -p udp -m multiport --source-port 4000,8000 -m udp --dport 1024: -i ppp+ -j ACCEPT  
  2.  

　　# 允許從外網(wǎng)進(jìn)來的UDP回應(yīng)包通行

  1. 　　-A UDP_FORWARD -p udp -m state --state ESTABLISHED,RELATED -m udp --dport 1024: -i ppp+ -j ACCEPT  
  2.  

　　# 丟棄所有不匹配的UDP數(shù)據(jù)包,結(jié)束FORWARD鏈

  1. 　　-A UDP_FORWARD -p udp -j DROP  
  2.  

　　# 以下開始是對網(wǎng)關(guān)服務(wù)器的匹配規(guī)則

　　# 允許數(shù)據(jù)包進(jìn)入本地回環(huán)接口

  1. 　　-A INPUT -p all -i lo -j ACCEPT  
  2.  

　　# 若是ICMP協(xié)議則跳到ICMP_INPUT進(jìn)行規(guī)則匹配

  1. 　　-A INPUT -p icmp -j ICMP_INPUT  
  2.  

　　# 若是TCP協(xié)議則跳到TCP_INPUT進(jìn)行規(guī)則匹配

  1. 　　-A INPUT -p tcp -j TCP_INPUT  
  2.  

　　# 若是UDP協(xié)議則跳到UDP_INPUT進(jìn)行規(guī)則匹配

  1. 　　-A INPUT -p udp -j UDP_INPUT
     

　　# 允許碎片通過的速率200個(gè)/s,從200開始計(jì)數(shù)

  1. 　　-A INPUT -f -m limit --limit 200/s --limit-burst 200 -j ACCEPT  
  2.  

　　# 不匹配INPUT鏈的所有規(guī)則,丟棄數(shù)據(jù)包,結(jié)束INPUT鏈

  1. 　　-A INPUT -j DROP  
  2.  

　　# 以下是INPUT鏈中針對ICMP協(xié)議的規(guī)則

　　# 允許從內(nèi)網(wǎng)來的ICMP數(shù)據(jù)包

  1. 　　-A ICMP_INPUT -p icmp -i eth0 -j ACCEPT  
  2.  

　　# 允許從外網(wǎng)來的ICMP回應(yīng)包通行

  1. 　　-A ICMP_INPUT -p icmp -m state --state ESTABLISHED,RELATED -i ppp+ -j ACCEPT  
  2.  

　　# 丟棄所有不匹配的ICMP數(shù)據(jù)包,結(jié)束INPUT鏈

  1. 　　-A ICMP_INPUT -p icmp -j DROP  
  2.  

　　# 以下是INPUT鏈中針對TCP協(xié)議的規(guī)則

　　# 對內(nèi)網(wǎng)機(jī)器提供 http https 網(wǎng)上鄰居 透明代理服務(wù)

  1. 　　-A TCP_INPUT -p tcp -s 192.168.0.0/24 -m multiport --destination-port 80,443,137,138,139,8080 -i eth0 -j ACCEPT  
  2.  

　　# 允許服務(wù)器以主動方式連接外網(wǎng)的FTP服務(wù)器

  1. 　　-A TCP_INPUT -p tcp -m tcp --sport 21 --dport 1024: -m state --state ESTABLISHED -i ppp+ -j ACCEPT  
  2.  
  3. 　　-A TCP_INPUT -p tcp -m tcp --sport 20 --dport 1024: -m state --state ESTABLISHED,RELATED -i ppp+ -j ACCEPT  
  4.  

　　# 提供 ssh smtp pop3 http https 服務(wù)

  1. 　　-A TCP_INPUT -p tcp -m multiport --destination-port 22,25,110,80,443 -j ACCEPT  
  2.  

　　# 拒絕外網(wǎng)主動連接本服務(wù)器

  1. 　　-A TCP_INPUT -p tcp -m tcp --syn -i ppp+ -j DROP  
  2.  

　　# 允許進(jìn)來的回應(yīng)包通過

  1. 　　-A TCP_INPUT -p tcp -m state --state ESTABLISHED -m tcp --dport 1024: -j ACCEPT  
  2.  

　　# 丟棄所有不匹配的TCP數(shù)據(jù)包,結(jié)束INPUT鏈

  1. 　　-A TCP_INPUT -p tcp -j DROP  
  2.  

　　# 以下是INPUT鏈中針對UDP協(xié)議的規(guī)則

　　# 允許外網(wǎng)中指明的DNS服務(wù)器進(jìn)行域名解析

  1. 　　-A UDP_INPUT -p udp -s 202.96.96.68 -m udp --sport 53 --dport 1024: -i ppp+ -j ACCEPT  
  2.  
  3. 　　-A UDP_INPUT -p udp -s 202.96.*.* -m udp --sport 53 --dport 1024: -i ppp+ -j ACCEPT  
  4.  

　　# 為內(nèi)網(wǎng)的機(jī)器提供DNS和SAMBA服務(wù)

  1. 　　-A UDP_INPUT -p udp -s 192.168.0.0/24 -m multiport --destination-port 53,137,138,139 -i eth0 -j ACCEPT  
  2.  

　　# 允許服務(wù)器作為samba client

  1. 　　-A UDP_INPUT -p udp -s 192.168.0.0/24 -m udp --sport 137:139 --dport 1024: -i eth0 -j ACCEPT  
  2.  

　　# 允許進(jìn)來的回應(yīng)包通過

  1. 　　-A UDP_INPUT -p udp -m state --state ESTABLISHED,RELATED -m udp --dport 1024: -j ACCEPT  
  2.  

　　# 為內(nèi)網(wǎng)的機(jī)器提供DHCP服務(wù)

  1. 　　-A UDP_INPUT -p udp -m udp --sport 68 --dport 67 -i eth0 -j ACCEPT  
  2.  

　　# 丟棄所有不匹配的UDP數(shù)據(jù)包,結(jié)束INPUT鏈

  1. 　　-A UDP_INPUT -p udp -j DROP  
  2.  
  3. 　　COMMIT  
  4.  

　　# 路由表規(guī)則

　　*nat

　　# 默認(rèn)徹略

  1. 　　:PREROUTING ACCEPT [ ]  
  2.  
  3. 　　:POSTROUTING ACCEPT [ ]  
  4.  
  5. 　　:OUTPUT ACCEPT [ ]  
  6.  

　　# 為內(nèi)網(wǎng)機(jī)器使用squid透明代理進(jìn)行端口重定向

  1. 　　-A PREROUTING -i eth0 -p tcp -d ! 192.168.0.1 -m tcp --dport 80 -j REDIRECT --to-ports 8080  
  2.  

　　# 對內(nèi)網(wǎng)機(jī)器應(yīng)用IP偽裝

  1. 　　-A POSTROUTING -o ppp+ -j MASQUERADE  
  2.  
  3. 　　COMMIT  
  4.  

【編輯推薦】

netfilter/iptables系統(tǒng)的安裝

如何用iptables實(shí)現(xiàn)NAT

iptables常用命令及參數(shù)

責(zé)任編輯：zhaolei 來源： 163
iptables過濾
相關(guān)推薦

2011-03-15 09:59:54

2011-03-15 09:59:54

2011-03-18 09:26:13

Iptables規(guī)則

2011-03-17 17:45:45

iptables規(guī)則

2011-03-14 15:46:35

Iptables語法

2011-03-16 16:41:57

清空iptables

2011-03-16 10:59:57

2017-09-11 20:16:58

2011-03-16 16:23:23

保存iptables防火墻

2011-03-16 16:54:10

iptables 清空linux

2011-03-15 15:47:34

netfilteriptables

2011-03-16 16:48:32

iptables 清空

2010-02-24 15:10:18

2019-07-04 22:54:15

防火墻CMP系統(tǒng)安全

2011-03-17 16:43:49

2011-03-16 16:59:46

iptables 映射

2021-03-02 14:02:19

網(wǎng)絡(luò)安全系統(tǒng)安全iptables

2011-03-16 11:17:56

IptablesICMP

2011-03-14 14:40:11

iptables編譯

2010-09-09 16:51:50

點(diǎn)贊
收藏

51CTO技術(shù)棧公眾號