Linux系统iptables服务
2017-08-17 22:38
543 查看
一iptables服务
IPTABLES 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或LAN、服务器或连接 LAN 和因特网的代理服务器, 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。
防火墙在做信息包过滤决定时,有一套遵循和组成的规则,这些规则存储在专用的信 息包过滤表中,而这些表集成在 Linux
内核中。在信息包过滤表中,规则被分组放在我们所谓的链(chain)中。而netfilter/iptables IP
信息包过滤系统是一款功能强大的工具,可用于添加、编辑和移除规则。 虽然 netfilter/iptables IP
信息包过滤系统被称为单个实体,但它实际上由两个组件netfilter 和 iptables 组成。 netfilter
组件也称为内核空间(kernelspace),是内核的一部分,由一些信息包过滤表组成,这些表包含内核用来控制信息包过滤处理的规则集。
iptables 组件是一种工具,也称为用户空间(userspace),它使插入、修改和除去信息包过滤表中的规则变得容易。除非您正在使用
Red Hat Linux 7.1 或更高版本,否则需要下载该工具并安装使用它
安装及环境配置
1 yum install iptables-service.x86_64 -y ##下载安装 2 systemctl stop firewalld ##停止firewall -->systemctl disable firewalld ##设置开机不启动 -->systemctl mask firewalld.service ##冻结firewal 3 systemctl start iptables.service ##开启iptables服务 -->systemctl enable iptables.service ##设置iptables服务开机启动
安装iptables
关闭firewalld,设置开机不启动,并冻结
开启iptables,设置开机启动
2 相关命令
iptable -t ##指定表名称 -n ##不作解析 -L ##列出指定表中的策略 -A ##增加策略 -p ##网络协议 --dport ##端口 -s ##数据来源 -j ##动作 ACCEPT ##允许 REJECT ##拒绝 DROP ##丢弃 -N ##增加链 -E ##修改链名称 -X ##删除链 -D ##删除指定策略 -I ##插入 -R ##修改策略 -P ##修改默认策略
1 iptables -t filter -nL ##查看filter表中的策略 2 iptables -F ##刷掉filter表中的所有策略,当没有用-t指定表名称时默认时filter 3 service iptables save ##保存当前的策略,如果没有保存,重启服务会回到原来的策略 4 iptables -p INPUT ACCEPT | DROP ##把INPUT表中的策略改为ACCEPT允许或者DROP关闭 5 iptables -A INPUT -j REJECT ##拒绝所有主机的数据来源 6 ptables -I INPUT 1 -i lo -j ACCEPT ##允许lo 7 iptables -I INPUT 2 -s 172.25.254. -p tcp --dport 22 -j ACCEPT ##允许27主机访问22端口 8 iptables -I INPUT 3 -p tcp --dport 80 -j ACCEPT ##插入策略到第三条
查看filter表中的策略
刷掉filter表中的所有策略(临时生效,重启服务会失效)
永久刷掉,并保存当前策略
接收所有主机访问
拒绝所有主机访问
测试
丢弃所有
拒绝所有,lftp,httpd都用不了
允许lo
接收22端口,ftp可以链接
接收80端口,可以访问apache
删除INPUT表第三条链
自定义增加链 1 iptables -D INPUT 3 ##删除INPUT链第三条策略 2 iptables -D INPUT 1 ##删除INPUT链第一条策略 3 iptables -D INPUT 2 ##删除INPUT链第二条策略 4 iptables -t filter -nL ##列出filter表中的策略 5 iptables -N HELLO ##增加HELLO链 6 iptables -E HELLO NIHAO ##改变HELLO链名为NIHAO 7 iptables -X NIHAO ##删除NIHAO链,此命令只对自定义链起作用,对系统存在的链不起作用
删除INPUT链第一、二条策略
增加HELLO链
修改HELLO链名为NIHAO
删除NIHAO链,该命令只针对自定义链起作用
二、设定策略的端口
> 引用块内容 iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -A INPUT -m state --state NEW -i lo -j ACCEPT iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT cat /etc/services | grep dns ##查看服务的端口
设置前,先刷掉所有的策略,设置端口后,并保存当前策略
查看当前策略
以ftp为例,比较特殊有主动和被动端口 1 systemctl restart vsftpd ##重启vsftpd服务 2 service iptables save ##保存前策略 -->iptables -nL ##列出当前策略 3 vim /etc/vsftpd/vsftpd.conf ##编辑vsftpd配置文件 -->systemctl restart vsftpd.service ##重启服务 4 iptables -A INPUT -m state --state NEW -p udp --dport 7000 -j ACCEPT ##将1100端口策略写入 5 vim /etc/vsftpd/vsftpd.conf ##编辑vsftpd配置文件 --> systemctl restart vsftpd.service ##重启服务 6 iptables -A INPUT -m state --state NEW -p udp --dport 7000 -j ACCEPT ##将7000端口策略写入 7 setenforce 0 ##selinux设为警告模式 8 client测试
设置ftp配置文件中端口为1000
客户端连接lftp不成功
设置端口为7000
设置selinux为警告模式
将该端口写入策略
连接成功
注意:端口必须大于 4000,大于4000,固定在某一个值不安全
三、伪装数据包来源及目的地
1 sysctl -a | grep forward ##查找并过滤sysctl服务中的forward --> vim /etc/sysctl.conf ##编辑sysctl配置文件 -->sysctl -p ##重新加载sysctl服务 2 iptables -F ##掉filter表中的所有策略 -->service iptables save ##保存当前策略 3 iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 172.25.254.127 ##讲数据包来源伪装成127主机 4 iptables -t nat -A PREROUTING -i eth0 -j DNAT --to-dest 172.25.27.227 ##将数据包目的地来源伪装成27.227主机
1环境配置
列出systl的foreard2 编辑该文件并重新加载刷新
4 刷掉所有策略,并保存当前策略
2 数据来源伪装
从eth0出去的所有数据都是254.127的ip测试:
用27.227的主机ssh连接254.27的主机
显示是254.127主机登陆的
3 目的地伪装
从eth0出去的所有数据都指向27.227的ip测试:用27主机连接127主机,显示iP是227的
相关文章推荐
- linux系统之网络防火墙(firewalld服务和iptables服务)
- linux系统本地yum服务配置
- Linux运维笔记-文档总结-NFS网络文件系统和autofs自动挂载服务
- linux chkconfig命令参数及用法详解--linux系统服务设置命令
- Linux系统下tomcat加入系统服务以及开机自动启动
- virtualbox中linux系统使用samba服务实现和windows系统共享
- 将tomcat添加为linux系统服务 开机自启动
- 介绍Linux系统如何初始化和启动系统服务的
- centOS安装telnet服务和xinetd服务和iptables和linux运行级别
- redis在linux系统作为服务启动
- linux系统服务优化--关闭无用的服务
- 关于Linux设置跟随系统启动的服务
- linux ubuntu 系统启动服务设置
- Linux系统基础知识(三)进程及服务的控制
- linux下将apache和mysql加入系统服务
- Linux下配置Tomcat为系统服务并开机自启动
- 优化linux系统中的服务
- 典型的Linux系统启动需要完成的服务
- linux系统,启动、停止、重启crontab服务
- Linux的系统服务