无论如何，iptables是一个需要特别谨慎设置的东西，万一服务器不在你身边，很有可能导致无法SSH连接，这将是很认人头疼的事.&以下内容是为了防止这种情况发生而写的,如果SSH端口是22（这里不建议用默认端口最好改掉SSH端口）.iptables -A INPUT -p tcp &dport 22 -j ACCEPTiptables -A OUTPUT -p tcp &sport 22 -j ACCEPT注意要/etc/rc.d/init.d/iptables save，以下每一步都最好执行一遍此语句，以下不再累述, 否则直接执行service iptables restart命令后, 刚才添加的将丢失.
1.首先介绍一下指令和相关配置文件
启动指令:service iptables start重启指令:service iptables restart关闭指令:service iptables stop
然后是相关配置:/etc/sysconfig/iptables
如何操作该配置呢？vim /etc/sysconfig/iptables2.下面介绍一些指令用法
-A：指定链名-p：指定协议类型-d：指定目标地址&dport：指定目标端口（destination port 目的端口）&sport：指定源端口（source port 源端口）-j：指定动作类型
3.全局DROP规则.
iptables -P INPUT DROPiptables -P OUTPUT DROPiptables -P FORWARD DROP
这个步骤是把所有不符合自己配置的规则ACCEPT的连接全部DROP掉，执行完以后如果咱SSH还没掉，那么谢天谢地，安全了，重启下iptables后继续下面的配置！
4.可能有时候需要删除规则，使用指令完成的命令删除规则的方法：语法是： iptables -D chain rulenum [options]
其中： chain 是链的意思，就是INPUT FORWARD 之类的rulenum 是规则的编号。从1 开始。可以使用 &line-numbers 列出规则的编号
所以，例如上面要删除一个INPUT链的规则的话可以这样：iptables -D INPUT 3意思是删除第3条规则。
5.最后补充一下，对某IP进行单独开放端口可以如下配置：
如果我需要对内网某机器单独开放mysql端口，应该如下配置：iptables -A INPUT -s 192.168.2.6 -p tcp -m tcp &dport 3306 -j ACCEPTiptables -A OUTPUT -s 192.168.2.6 -p tcp -m tcp &sport 3306 -j ACCEPT
下面咱就不细说了，具体就是看自己服务器要开放哪些端口或者是要访问哪些端口来做具体的配置，下面是我自己的机器的配置：
/etc/sysconfig/iptables文件配置如下:# Generated by iptables-save v1.4.7 on Fri Mar 2 19:59:43 2012*filter:INPUT DROP [0:0]:FORWARD DROP [0:0]:OUTPUT DROP [8:496]-A INPUT -m state &state RELATED,ESTABLISHED -j ACCEPT
#ping使用的端口-A INPUT -p icmp -j ACCEPT-A INPUT -i lo -j ACCEPT
#允许服务器自己的SSH（对外部请求来说服务器是目标所以使用&dport）-A INPUT -p tcp -m tcp &dport 22 -j ACCEPT
#80端口不用说了吧，服务器网站访问端口-A INPUT -p tcp -m tcp &dport 80 -j ACCEPT-A INPUT -p tcp -m tcp &dport 3306 -j ACCEPT-A INPUT -p tcp -m tcp &dport 11211 -j ACCEPT-A INPUT -p tcp -m tcp &dport 11212 -j ACCEPT-A FORWARD -j REJECT &reject-with icmp-host-prohibited
#53端口是DNS相关，TCP和UDP都要配置-A INPUT -p tcp -m tcp &dport 53 -j ACCEPT-A INPUT -p udp -m udp &dport 53 -j ACCEPT#允许服务器SSH到其他机器（使用外部端口就使用&dport）-A OUTPUT -p tcp -m tcp &dport 22 -j ACCEPT
#允许服务器自己的SSH（自已为源输出就使用&sport）-A OUTPUT -p tcp -m tcp &sport 22 -j ACCEPT
#访问外部网站80端口（使用外部端口就使用&dport）-A OUTPUT -p tcp -m tcp &dport 80 -j ACCEPT
#如果服务器需要访问外部网站，那么OUTPUT也需要配置53端口（使用外部端口就使用&dport）-A OUTPUT -p tcp -m tcp &dport 53 -j ACCEPT-A OUTPUT -p udp -m udp &dport 53 -j ACCEPT
#如果有访问外部邮箱，那么打开邮箱相关端口（使用外部端口就使用&dport）-A OUTPUT -p tcp -m tcp &dport 465 -j ACCEPT-A OUTPUT -p tcp -m tcp &dport 25 -j ACCEPT-A OUTPUT -p tcp -m tcp &dport 110 -j ACCEPT
#服务器网站访问端口（自已为源输出就使用&sport）-A OUTPUT -p tcp -m tcp &sport 80 -j ACCEPT-A OUTPUT -p tcp -m tcp &sport 3306 -j ACCEPT-A OUTPUT -p tcp -m tcp &sport 11211 -j ACCEPT-A OUTPUT -p tcp -m tcp &sport 11212 -j ACCEPT
COMMIT# Completed on Fri Mar 2 19:59:43 2012
======================说一下上面的 &line-numbers 选项，如下面的命令：iptables -L INPUT &line-numbers 列出INPUT 链所有的规则num target prot opt source destination1 REJECT tcp & anywhere anywhere tcp dpt:microsoft-ds reject-with icmp-port-unreachable2 REJECT tcp & anywhere anywhere tcp dpt:135 reject-with icmp-port-unreachable3 REJECT tcp & anywhere anywhere tcp dpt:netbios-ssn reject-with icmp-port-unreachable&&
#屏蔽单个IP的命令是iptables -I INPUT -s 123.45.6.7 -j DROP
#封整个段即从123.0.0.1到123.255.255.254的命令iptables -I INPUT -s 123.0.0.0/8 -j DROP
#封IP段即从123.45.0.1到123.45.255.254的命令iptables -I INPUT -s 124.45.0.0/16 -j DROP
#封IP段即从123.45.6.1到123.45.6.254的命令是iptables -I INPUT -s 123.45.6.0/24 -j DROP
指令I是insert指令 但是该指令会insert在正确位置并不像A指令看你自己的排序位置，因此用屏蔽因为必须在一开始就要加载屏蔽IP，所以必须使用I命令加载，然后注意执行/etc/rc.d/init.d/iptables save进行保存后重启服务即可 .
兄弟连IT教育为你解决更多IT技术问题。
阅读(...) 评论()为Linux设置IPTables防火墙 - skyfree - 博客园
posts - 9, comments - 45, trackbacks - 0, articles - 0
我们 来讨论一下如何为你的CentOS 服务器来设置简单的防火墙。 这里我们以DigitalOcean的CentOS 6 VPS为基础来讨论的，同样也适用于 阿里云上其他类型的LINUX系统。 （阿里云有个云盾系统，因此在你自己的VPS上不设置防火墙也是可以的）
需要说明的是： 本文只涉及最基础最常用的防火墙设置，能屏蔽一些常用的攻击，但并不能彻底保证你的服务器的安全。
&以及&&仍然是保证系统安全非常重要的步骤。
如果你需要更全面的了解iptables，阅读本文后，请google或是阅读更加深入的资料!
首先简单介绍一下什么是IPTables:
iptables是Linux内核中内置的防火墙，可以允许管理员通过设置table, chain以及相关的规则来进行数据包过滤和NAT。 一般来讲，iptables防火墙已经内置于CentOS 6及其他Linux版本中，而且iptables服务默认都是启动的。 &iptables应用于IPv4, 如果要用IPv6，需要使用ip6tables.
iptables的命令格式：
&iptables&[-t&table]&command&[chain]&[rules]&[-j&target]&
[-t table]&：用来指明使用的表， 有三种选项: filter, nat 和 mangle，如果未指定，则使用filter作为缺省表。 事实上，对于单个服务器的防火墙配置，一般来讲，我们只需要对filter表进行配件就OK了。filter表包括 INPUT, OUTPUT,和FORWARD三个chain.
command 表明iptables命名要做什么，比如
-A （&append): 该命令会把一条规则附件到chain的末尾。
-D（&delete)用来删除某个规则。
-F （&flush) 如果指定了chain, 删除该chain中的所有规则，如果未指定chain, 则删除所有chain中的所有规则。
target: 是由规则指定的操作。 包括下面几种：
ACCEPT: 接收信息包(允许它前往目的地），并且将停止遍历chain.
DROP： &拒绝，
此外还有REJECT, RETURN, LOG, REDIRECT, MARK, MIRROR, MAQUERADE等。
具体的iptables的语法和概念就不再多说了，请参照&.
简单来说，iptables防火墙是由一系列的规则(rule)组成， &一个数据请求进来， 会依次和这些规则进行比较，如果正好符合规则的定义，那这个数据请求要么会被接收ACCEPT，要么被拒绝DRIP。如果不符合任何规则的定义，最后缺省的规则会被应用。
开始操作之前：
注意：一定要把你在DigitalOcean/ Linode/ 阿里云上的服务器做一下快照备份&， 否则一旦你 iptables的配置出了问题，极有可能把你自己挡在门外，你自己都无法连接到服务器了！！ 出现这种情况可是会欲哭无泪呀，除了重新做系统好像没有更好的办法了。（ DigitalOcean提供了一个web console的界面，有时候会给你反悔和擦除iptables设置的机会，但阿里云没有）
&决定哪些端口需要开放
首先， SSH 的端口22自然是需要开放的，否则我们就无法登录服务器了。
一般来讲，CentOS的VPS经常作为用LAMP搭建的Web服务器，FTP服务器， Mail服务器等。
对于Web服务来说，需要开放80端口，如果是HTTPS/SSL协议的话，还需用开放443端口
对于Mail服务来说，由于涉及SMTP, POP3, IMAP协议，需要开放的端口如下：
SMTP : 25 & Secure SMTP:465 &POP3: 110 & Secure POP3: 995 & IMAP: 143 & IMAP over SSL: 993
对于FTP服务来说，需要开放 20, 21两个端口
第一步： 屏蔽最常见的攻击
缺省情况下，CentOS的iptables的设置是允许任何数据通过的。
我们首先要清空iptables中的所有的规则：
iptables -F
然后我们加上阻止简单扫描和攻击的规则
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP & & & & & & #NONE 包(所有标识bit都没有设置)主要是扫描类的数据包
iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP & & #防止sync-flood 攻击
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP & & & & & & &#ALL包（所有的标注bit都被设置了）也是网络扫描的数据包
关于sync-flood, 请参照&的解释。
第二步： 为相应的服务开放对应的端口
首先我们应该接受本机localhost的任何请求，否则，数据库连接等将无法工作
iptables -A INPUT -i lo -j ACCEPT
对于不同的服务需要开放不同的端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT & & &# SSH
iptables -A INPUT -p tcp --dport 80 -j ACCEPT & & &# HTTP
iptables -A INPUT -p tcp --dport 443 -j ACCEPT & & #HTTPS
iptables -A INPUT -p tcp --dport 25 -j ACCEPT & #SMTP
iptables -A INPUT -p tcp --dport 465 &-j ACCEPT #Secure SMTP
iptables -A INPUT -p tcp --dport 110 -j ACCEPT & #POP3
iptables -A INPUT -p tcp --dport 995 -j ACCEPT & #Secure POP3
iptables -A INPUT -p tcp --dport 143 -j ACCEPT & #IMAP
iptables -A INPUT -p tcp --dport 993 -j ACCEPT & #Secure IMAP
第三步： 加上通用的规则
首先要允许所有从服务器端发起的连接，由此返回的响应数据应该是允许的！比如VPS发起的yum update , 必须要允许外部的update数据进来
iptables -I INPUT -m state &--state ESTABLISHED, RELATED -j ACCEPT
最后，设置缺省的策略：屏蔽任何进入的数据请求，允许所有从Server发出的请求
iptables -P OUTPUT ACCEPT
iptables -P INPUT DROP
至此，规则设置完毕
第四步： 保存设置
首先通过下面的命令查看一下我们的设置是否正确！
iptable -L -n
确认没有问题后，执行下面的命令
service iptables save
执行上述命令后，相应的规则会写入 /etc/sysconfig/iptables这个文件，你可以检查一下看看。
service iptables restart
重新启动iptables防火墙，以使上述设置生效。
最佳的方法：
为了更方便的修改和维护自己的iptables的设置，我一般是把所有的iptables的设置先写到一个单独文件中，测试没有问题后。然后再保存到iptable的配置文件中。
下面是我自己的iptables文件 & &~/script/firewall.sh
#!/bin/bash
# A simple iptables firewall configuration
PATH=/sbin:/bin:/usr/sbin:/usr/ export PATH
#flush/erase original rules
iptables -F #清除所有已制定的rule
iptables -X #清除用户自定义的chain/table
iptables -Z #将所有的chain的计数和流量统计归零
#Accept localhost connetting, no matter what it is
iptables -A INPUT -i lo -j ACCEPT
#Accept any response package which is initiated from inside
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#block most common network attacks(recon packets and syn-flood attack)
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
#open ports for different services
iptables -A INPUT -p tcp --dport 22 -j ACCEPT #SSH
iptables -A INPUT -p tcp --dport 80 -j ACCEPT #HTTP
#iptables -A INPUT -p tcp --dport 443 -j ACCEPT #HTTPS
#iptables -A INPUT -p tcp --dport 25 -j ACCEPT #SMTP
#iptables -A INPUT -p tcp --dport 465 -j ACCEPT #Secure SMTP
#iptables -A INPUT -p tcp --dport 110 -j ACCEPT #POP3
#iptables -A INPUT -p tcp --dport 995 -j ACCEPT #Secure POP
#ICMP configuration
#To prevent ICMP DDOS,we do not allow ICMP type 8(echo-request) or limit this request with 1/second
#some ICMP requests are allowed.
icmp_type="0 3 4 11 12 14 16 18"
for ticmp in $icmp_type
&&&&iptables -A INPUT -p icmp --icmp-type $ticmp -j ACCEPT
#iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 1/second -j ACCEPT
#default policies
iptables -P OUTPUT ACCEPT
iptables -P INPUT DROP
#save to /etc/sysconfig/iptables
/etc/init.d/iptables save
你可以根据你的需要进行相应的修改。博客访问： 3524444
博文数量： 1037
博客积分： 12070
博客等级： 上将
技术积分： 11447
注册时间：
IT168企业级官微
微信号：IT168qiye
系统架构师大会
微信号：SACC2013
分类： LINUX
网上看到这个配置讲解得还比较易懂，就转过来了，大家一起看下，希望对您工作能有所帮助。
网管员的安全意识要比空喊Linux安全重要得多。
iptables -F
iptables -X
iptables -F -t mangle
iptables -t mangle -X
iptables -F -t nat
iptables -t nat -X
首先，把三个表清空，把自建的规则清空。
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT
设定INPUT、OUTPUT的默认策略为DROP，FORWARD为ACCEPT。
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
先把“回环”打开，以免有不必要的麻烦。
iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j ACCEPT
iptables -A OUTPUT -o eth+ -p icmp --icmp-type 0 -j ACCEPT
在所有网卡上打开ping功能，便于维护和检测。
iptables -A INPUT -i eth0 -s 192.168.100.250 -d 192.168.100.1 -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -o eth0 -d 192.168.100.250 -s 192.168.100.1 -p tcp --sport 22 -j ACCEPT
打开22端口，允许远程管理。（设定了很多的附加条件：管理机器IP必须是250，并且必须从eth0网卡进入）
iptables -A INPUT -i eth0 -s 192.168.100.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -d 192.168.100.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth1 -s 192.168.168.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -d 192.168.168.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth2 -p tcp --dport
-m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth2 -p tcp --sport
-m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth2 -p udp --dport 53 -j ACCEPT
iptables -A INPUT -i eth2 -p udp --sport 53 -j ACCEPT
上面这几句是比较头痛的，我做逐一解释。
iptables -A INPUT -i eth0 -s 192.168.100.0/24 -p tcp --dport 3128 -m state --state NEW,ESTABLISHED -j ACCEPT
允许192.168.100.0/24网段的机器发送数据包从eth0网卡进入。如果数据包是tcp协议，而且目的端口是3128（因为REDIRECT已经把80改为3128了。nat表的PREROUTING是在filter表的INPUT前面的。）的，再而且，数据包的状态必须是NEW或者ESTABLISHED的（NEW代表tcp三段式握手的“第一握”，换句话说就是，允许客户端机器向服务器发出链接申请。ESTABLISHED表示通过握手已经建立起链接），通过。
iptables -A OUTPUT -o eth2 -p tcp --sport
-m state --state NEW,ESTABLISHED -j ACCEPT
我们先来看这一句。现在你的数据包已经进入到linux服务器防火墙上来了。squid需要代替你去访问，所以这时，服务器就成了客户端的角色，所以它要使用32768到61000的私有端口进行访问。（大家会奇怪应该是1024到65535吧。其实CentOS版的linux所定义的私有端口是32768到61000的，你可以通过cat /proc/sys/net/ipv4/ip_local_port_range，查看一下。）再次声明：这里是squid以客户端的身份去访问其他的服务器，所以这里的源端口是，而不是3128！
iptables -A INPUT -i eth2 -p tcp --dport
-m state --state ESTABLISHED -j ACCEPT
当然了，数据有去就有回。
iptables -A OUTPUT -o eth0 -d 192.168.100.0/24 -p tcp --sport 3128 -m state --state ESTABLISHED -j ACCEPT
数据包还得通过服务器，转到内网网卡上。请注意，这里，是squid帮你去访问了你想要访问的网站。所以在内网中，你的机器是客户端角色，而squid是服务器角色。这与刚才对外访问的过程是不同的。所以在这里，源端口是3128，而不是。
iptables -A OUTPUT -o eth2 -p udp --dport 53 -j ACCEPT
iptables -A INPUT -i eth2 -p udp --sport 53 -j ACCEPT
当然，DNS是不可缺少的。
iptables -A INPUT -i eth+ -p tcp --dport 80 -j LOG --log-prefix "iptables_80_alert" --log-level info
iptables -A INPUT -i eth+ -p tcp --dport 21 -j LOG --log-prefix "iptables_21_alert" --log-level info
iptables -A INPUT -i eth+ -p tcp --dport 22 -j LOG --log-prefix "iptables_22_alert" --log-level info
iptables -A INPUT -i eth+ -p tcp --dport 25 -j LOG --log-prefix "iptables_25_alert" --log-level info
iptables -A INPUT -i eth+ -p icmp --icmp-type 8 -j LOG --log-prefix "iptables_icmp8_alert" --log-level info
当然了，来点日志记录会对网管员有所帮助。
iptables 基本命令使用举例
一、链的基本操作
1、清除所有的规则。
1）清除预设表filter中所有规则链中的规则。
# iptables -F
2）清除预设表filter中使用者自定链中的规则。
#iptables -X
#iptables -Z
2、设置链的默认策略。一般有两种方法。
1）首先允许所有的包，然后再禁止有危险的包通过放火墙。
#iptables -P INPUT ACCEPT
#iptables -P OUTPUT ACCEPT
#iptables -P FORWARD ACCEPT
2）首先禁止所有的包，然后根据需要的服务允许特定的包通过防火墙。
#iptables -P INPUT DROP
#iptables -P OUTPUT DROP
#iptables -P FORWARD DROP
3、列出表/链中的所有规则。默认只列出filter表。
#iptables -L
4、向链中添加规则。下面的语句用于开放网络接口：
#iptables -A INPUT -i lo -j ACCEPT
#iptables -A OUTPUT -o lo -j ACCEPT
#iptables -A INPUT -i eth0 -j ACEPT
#iptables -A OUTPUT -o eth1 -j ACCEPT
#iptables -A FORWARD -i eth1 -j ACCEPT
#iptables -A FORWARD -0 eth1 -j ACCEPT
注意:由于本地进程不会经过FORWARD链，因此回环接口lo只在INPUT和OUTPUT两个链上作用。
5、使用者自定义链。
#iptables -N custom
#iptables -A custom -s 0/0 -d 0/0 -p icmp -j DROP
#iptables -A INPUT -s 0/0 -d 0/0 -j DROP
二、设置基本的规则匹配
1、指定协议匹配。
1）匹配指定协议。
#iptables -A INPUT -p tcp
2）匹配指定协议之外的所有协议。
#iptables -A INPUT -p !tcp
2、指定地址匹配。
1）指定匹配的主机。
#iptables -A INPUT -s 192.168.0.18
2）指定匹配的网络。
#iptables -A INPUT -s 192.168.2.0/24
3）匹配指定主机之外的地址。
#iptables -A FORWARD -s !192.168.0.19
4）匹配指定网络之外的网络。
#iptables -A FORWARD -s ! 192.168.3.0/24
3、指定网络接口匹配。
1）指定单一的网络接口匹配。
#iptables -A INPUT -i eth0
#iptables -A FORWARD -o eth0
2）指定同类型的网络接口匹配。
#iptables -A FORWARD -o ppp+
4、指定端口匹配。
1）指定单一端口匹配。
#iptables -A INPUT -p tcp --sport www
#iptables -A INPUT -p udp –dport 53
2）匹配指定端口之外的端口。
#iptables -A INPUT -p tcp –dport !22
3）匹配端口范围。
#iptables -A INPUT -p tcp –sport 22:80
4）匹配ICMP端口和ICMP类型。
#iptables -A INOUT -p icmp –icimp-type 8
5）指定ip碎片。
个网络接口都有一个MTU（最大传输单元），这个参数定义了可以通过的数据包的最大尺寸。如果一个数据包大于这个参数值时，系统会将其划分成更小的数据包
（称为ip碎片）来传输，而接受方则对这些ip碎片再进行重组以还原整个包。这样会导致一个问题：当系统将大数据包划分成ip碎片传输时，第一个碎片含有
完整的包头信息（IP+TCP、UDP和ICMP），但是后续的碎片只有包头的部分信息（如源地址、目的地址）。因此，检查后面的ip碎片的头部（象有
TCP、UDP和ICMP一样）是不可能的。假如有这样的一条规则：
#iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.2.100 –dport 80 -j ACCEPT
并且这时的FORWARD的policy为DROP时，系统只会让第一个ip碎片通过，而余下的碎片因为包头信息不完整而无法通过。可以通过—fragment/-f 选项来指定第二个及以后的ip碎片解决上述问题。
#iptables -A FORWARD -f -s 192.168.1.0/24 -d 192.168.2.100 -j ACCEPT
注意现在有许多进行ip碎片攻击的实例，如DoS攻击，因此允许ip碎片通过是有安全隐患的，对于这一点可以采用iptables的匹配扩展来进行限制。
三、设置扩展的规则匹配（举例已忽略目标动作）
1、多端口匹配。
1）匹配多个源端口。
#iptables -A INPUT -p tcp -m multiport –sport 22,53,80,110
2）匹配多个目的端口。
#iptables -A INPUT -p tcp -m multiport –dpoort 22,53,80
3）匹配多端口(无论是源端口还是目的端口）
#iptables -A INPUT -p tcp -m multiport –port 22,53,80,110
2、指定TCP匹配扩展
使用 –tcp-flags 选项可以根据tcp包的标志位进行过滤。
#iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN
#iptables -A FROWARD -p tcp –tcp-flags ALL SYN,ACK
上实例中第一个表示SYN、ACK、FIN的标志都检查，但是只有SYN匹配。第二个表示ALL（SYN，ACK，FIN，RST，URG，PSH）的标志都检查，但是只有设置了SYN和ACK的匹配。
#iptables -A FORWARD -p tcp --syn
选项—syn相当于”--tcp-flags SYN,RST,ACK SYN”的简写。
3、limit速率匹配扩展。
1）指定单位时间内允许通过的数据包个数，单位时间可以是/second、/minute、/hour、/day或使用第一个子母。
#iptables -A INPUT -m limit --limit 300/hour
2 )指定触发事件的阀值。
#iptables -A INPUT -m limit –limit-burst 10
用来比对一次同时涌入的封包是否超过10个，超过此上限的包将直接丢弃。
3）同时指定速率限制和触发阀值。
#iptables -A INPUT -p icmp -m limit –-limit 3/m –limit-burst 3
表示每分钟允许的最大包数量为限制速率（本例为3）加上当前的触发阀值burst数。任何情况下，都可保证3个数据包通过，触发阀值burst相当于允许额外的包数量。
4）基于状态的匹配扩展（连接跟踪）
每个网络连接包括以下信息：源地址、目标地址、源端口、目的端口，称为套接字对（socket pairs）；协议类型、连接状态（TCP协议）
和超时时间等。防火墙把这些信息称为状态（stateful）。状态包过滤防火墙能在内存中维护一个跟踪状态的表，比简单包过滤防火墙具有更大的安全性，命令格式如下：
iptables -m state –-state [!]state [,state,state,state]
其中，state表是一个逗号分割的列表，用来指定连接状态，4种：
&NEW: 该包想要开始一个新的连接（重新连接或连接重定向）
&RELATED:该包是属于某个已经建立的连接所建立的新连接。举例：
FTP的数据传输连接和控制连接之间就是RELATED关系。
&ESTABLISHED：该包属于某个已经建立的连接。
&INVALID:该包不匹配于任何连接，通常这些包被DROP。
（1）在INPUT链添加一条规则，匹配已经建立的连接或由已经建立的连接所建立的新连接。即匹配所有的TCP回应包。
#iptables -A INPUT -m state –state RELATED,ESTABLISHED
（2）在INPUT链链添加一条规则，匹配所有从非eth0接口来的连接请求包。
#iptables -A INPUT -m state -–state NEW -i !eth0
又如，对于ftp连接可以使用下面的连接跟踪：
（1）被动（Passive）ftp连接模式。
#iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state –-state ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m
state -–state ESTABLISHED,RELATED -j ACCEPT
（2）主动（Active）ftp连接模式
#iptables -A INNPUT -p tcp --sport 20 -m state –-state ESTABLISHED,RELATED -j ACCEPT
#iptables -A OUTPUT -p tcp –OUTPUT -p tcp –dport 20 -m state --state ESTABLISHED -j ACCEPT
阅读(71191) | 评论(2) | 转发(14) |
相关热门文章
给主人留下些什么吧！~~
赞，博主对实操总结的很全面，我总结了一片理论的，链接如下，欢迎交流http://www.zsythink.net/archives/1199
很有个性，我喜欢
请登录后评论。}