正文
centos7【防火墙】常用规则
提示：扫一扫查出行【扫一扫了解最新限行尾号】
复制提示
1.防火墙常用规则
systemctl start iptables
systemctl stop iptables
systemctl restart iptables
iptables -nvL 1.屏蔽ip地址和解封ip地址
iptables -A INPUT -s 22.22.22.22 -j DROP
iptables -D INPUT -s 22.22.22.22 -j DROP
iptables -I INPUT -s 117.81.61.88 -j ACCEPT
iptables -I INPUT -s 222.93.243.191 -j ACCEPT
2.阻止端口和同意端口
阻止特定的传出连接：
iptables -A OUTPUT -p tcp --dport 80 -j DROP
同意特定的传入连接：
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
使用 multiport 我们可以一次性在单条规则中写入多个端口，例如：
iptables -A INPUT -p tcp -m multiport --dports 22,80,443 -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --sports 22,80,443 -j ACCEPT
在 IPtables 中 IP 地址范围是可以直接使用 CIDR 进行表示的，例如：
iptables -A OUTPUT -p tcp -d 192.168.100.0/24 --dport 22 -j ACCEPT
3.端口转发
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 25 -j REDIRECT --to-port 2525
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 20022 -j DNAT --to-destination 192.168.1.150:22
端口转出参考：http://www.cnblogs.com/kevingrace/p/5865792.html
4.屏蔽HTTP服务Flood攻击
命令会将连接限制到每分钟 100 个，上限设定为 200
iptables -A INPUT -p tcp --dport 80 -m limit --limit 100/minute --limit-burst 200 -j ACCEPT
5.禁止ping
iptables -A INPUT -p icmp -i eth0 -j DROP
6.允许访问回环网卡
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
12、屏蔽指定MAC地址
iptables -A INPUT -m mac --mac-source 00:00:00:00:00:00 -j DROP
13、限制并发连接数
iptables -A INPUT -p tcp --syn --dport 22 -m connlimit --connlimit-above 3 -j REJECT
以上规则限制每客户端不超过 3 个连接
14、清空IPtables规则
iptables -F
要清空特定的表可以使用 -t 参数进行指定，例如：
iptables -t nat –F
15.保存规则
iptables-save > ~/iptables.rules
iptables-restore < ~/iptables.rules
service iptables save
17、允许建立相关连接
随着网络流量的进出分离，要允许建立传入相关连接，可以使用如下规则：
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
允许建立传出相关连接的规则：
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
18、丢弃无效数据包
很多网络攻击都会尝试用黑客自定义的非法数据包进行尝试，我们可以使用如下命令来丢弃无效数据包：
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP
19、IPtables屏蔽邮件发送规则
如果你的系统不会用于邮件发送，我们可以在规则中屏蔽 SMTP 传出端口：
iptables -A OUTPUT -p tcp --dports 25,465,587 -j REJECT
20、阻止连接到某块网卡
如果你的系统有多块网卡，我们可以限制 IP 范围访问某块网卡：
iptables -A INPUT -i eth0 -s xxx.xxx.xxx.xxx -j DROP
21、设置默认规则
iptables -P INPUT DROP # 设置 filter 表 INPUT 链的默认规则是 DROP，如果前面没有添加允许的规则，会把自己的xshell连接DROP掉
22、按行号删除防火墙规则
iptables -nL --line-number
iptables -D INPUT
iptables -D INPUT iptables-save > ~/iptables.rules
failwall 常用规则
http://bjyun.fujieace.com/help/9.html
防火墙安装
先禁用旧防火墙管理模式
systemctl stop firewalld && systemctl disable firewalld
安装 iptables：
yum -y install iptables-services
systemctl start iptables.service && systemctl enable iptables.service
iptables -F
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dport 80,22,25,10051,10050,3306 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t filter -A INPUT -m state --state INVALID -j DROP
iptables -P INPUT DROP
service iptables save
中新金盾防火墙简单了解
http://blog.sina.com.cn/s/blog_a90c9f9b0102y815.html
防火墙规则参考链接
https://www.cnblogs.com/blogforly/p/5997287.html
iptables共享上网限速参考
1
eth0: a.b.c.d(外网的上网地址)
eth1: 172.16.44.1(做为内网的网关)
2.
配置iptables nat
#开启ip_forward
echo "">/proc/sys/net/ipv4/ip_forward #永久生效需要配置/etc/sysctl文件中修改
#清除原来的防火墙规则
iptables -F
iptables -t nat -F
iptables -t mangle -F
#添加nat转发
iptables -t nat -A POSTROUTING -s 172.16.44.0/ -o eth0 -j MASQUERADE
通过执行上面的代码后，局域网内的电脑就可以上网了。
3.
由于我的内网还挂了网站，所以要开启80端口的转发。
iptables -t nat -I PREROUTING -p tcp -d a.b.c.d --dport -j DNAT --to 172.16.44.210:
iptables -t nat -I POSTROUTING -p tcp -d 172.16.44.210 --dport -j SNAT --to 172.16.44.1
4.下载限速
#删除原来的tc规则队列
tc qdisc del dev eth1 root
#添加tc规则队列
tc qdisc add dev eth1 root handle : htb default
#生成根类
tc class add dev eth1 parent : classid : htb rate 100mbit ceil 100mbit
#支类列表用于限制速度
#这里的rate指的是保证带宽,ceil是最大带宽。
tc class add dev eth1 parent : classid : htb rate 400kbps ceil 400kbps prio #添加支类规则队列
#采用sfq伪随机队列，并且10秒重置一次散列函数。
tc qdisc add dev eth1 parent : handle : sfq perturb #建立网络包过滤器，设置fw。
tc filter add dev eth1 parent : protocol ip prio handle fw classid :
#在iptables里面设定mark值，与上面的handle值对应。
iptables -t mangle -A POSTROUTING -d 172.16.44.130 -j MARK --set-mark
通过上面的代码就可以限制172.16.44.130这台机子的下载速度到400kbps。
Tip
经过实际测试这里的kbps实际上就是KB/S每秒千字节。另一个单位是kbit，这个才是每秒千比特。这里的172.16.44.130也可以写成一个网段，比如：172.16.44.0/24
5.
上传限速的原理其实跟下载的差不多，只不过限制的网卡不同，要在eth0上过滤来源地址去限制。
#删除原来的tc规则队列
tc qdisc del dev eth0 root #添加tc规则队列
tc qdisc add dev eth0 root handle : htb default #生成根类
tc class add dev eth0 parent : classid : htb rate 100mbit ceil 100mbit #支类列表用于限制速度
tc class add dev eth0 parent : classid : htb rate 40kbps ceil 40kbps prio #添加支类规则队列
tc qdisc add dev eth0 parent : handle : sfq perturb #建立网络包过滤器
tc filter add dev eth0 parent : protocol ip prio handle fw classid :
iptables -t mangle -A PREROUTING -s 172.16.44.130 -j MARK --set-mark
Tip
跟下载不同的是POSTROUTING要改成PREROUTING，-d改成-s。
观察连接数
通过iptables的nat连接可以通过下面的代码查看。至于统计连接数可以写代码实现，也可以利用awk,grep等工具。反正里面的内容就是文本，处理起来也比较简单。
cat /proc/net/ip_conntrack
参考于
http://outofmemory.cn/code-snippet/90/linux-usage-iptables-tc-limited-liuliang
iptables -A OUTPUT -p tcp --dport -j DROP
iptables -A INPUT -p tcp --dport -j ACCEPT
iptables -I INPUT -s xx.163.94. -j ACCEPT
iptables -I INPUT -s 192.168.1.0/ -j ACCEPT
iptables -D INPUT -s xx.163.94. -j DROP
注意mac过滤
报文经过路由后，数据包中原有的 mac 信息会被替换，所以在路由后的 iptables 中使用 mac 模块是没有意义的
如果防火墙默认是禁止可以写计划任务来防止自己被墙
sh iptables.sh
#!/bin/sh
status=$(iptables -nvL | grep 192.168.100.118 | wc -l)
if [ $status -eq ];
then
iptables -I INPUT -s 192.168.100.118 -j ACCEPT
echo "防火墙设置完成"
else
echo "防火墙已经设置过了"
exit ;
fi
vi iptables.sh #通过调用函数的方式设置防火墙
#!/bin/sh
function admin() {
status=$(iptables -nvL | grep 192.168.100.118 | wc -l)
if [ $status -eq ];
then
iptables -I INPUT -s 192.168.100.118 -j ACCEPT
echo "防火墙设置完成"
else
echo "防火墙已经设置过了"
exit ;
fi
} function admin2() {
status=$(iptables -nvL | grep 192.168.100.119 | wc -l)
if [ $status -eq ];
then
iptables -I INPUT -s 192.168.100.119 -j ACCEPT
echo "防火墙设置完成"
else
echo "防火墙已经设置过了"
exit ;
fi
}
echo "设置防火墙通过100.119"
admin2
echo "设置防火墙通过100.118"
admin
docker服务通过防火墙控制访问权限
iptables -I DOCKER-USER -s xx.163.94.194 -j DROP
iptables -L DOCKER-USER -n --line-number
iptables -D DOCKER-USER
如果不生效可以重启一下docker服务
systemctl restart docker
iptables -I DOCKER-USER -s xx.163.94.194 -j ACCEPT
iptables -I DOCKER-USER -s 192.168.1.0/ -j DROP iptables -A DOCKER-USER -i eth0 -s xx.163.94.194 -p tcp -m conntrack --ctorigdstport -j ACCEPT
iptables -A DOCKER-USER -i eth0 -s 192.168.1.0/ -p tcp -m conntrack --ctorigdstport -j ACCEPT
iptables -A DOCKER-USER -i eth0 -p tcp -m conntrack --ctorigdstport -j DROP #默认禁用防火墙规则 从上到下生效 199K 257M RETURN all -- * * 0.0.0.0/ 0.0.0.0/ #return需要删除下面的规则才能生效 iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -c -j ACCEPT
iptables -A INPUT -m conntrack --ctstate INVALID -c -j DROP
