求web服务器的iptables规则

luza

回楼上，是这么作的。

另，在网上看到一段脚本，如下：
朋友公司的web服务器的iptables脚本
　　echo "##################kernel sys##################"
　　echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all
　　echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
　　echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route
　　for interface in /proc/sys/net/ipv4/conf/*/accept_redirects; do
　　echo "0" > ${interface}
　　done
　　echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
　　echo "1" > /proc/sys/net/ipv4/conf/all/log_martians
　　echo "###########################starting firewall##############"
　　iptables -F
　　iptables -X
　　iptables -I INPUT -p icmp --icmp-type echo-request -m limit --limit 6/min --limit-burst 4 -j ACCEPT
　　# NMAP FIN/URG/PSH
　　iptables -A INPUT -i eth0 -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
　　# Xmas Tree
　　iptables -A INPUT -i eth0 -p tcp --tcp-flags ALL ALL -j DROP
　　# Another Xmas Tree
　　iptables -A INPUT -i eth0 -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
　　# Null Scan(possibly)
　　iptables -A INPUT -i eth0 -p tcp --tcp-flags ALL NONE -j DROP
　　# SYN/RST
　　iptables -A INPUT -i eth0 -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
　　# SYN/FIN -- Scan(possibly)
　　iptables -A INPUT -i eth0 -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
　　iptables -N synfoold
　　iptables -A synfoold -p tcp --syn -m limit --limit 1/s --limit-burst 4 -j RETURN
　　iptables -A synfoold -p tcp -j REJECT --reject-with tcp-reset
　　iptables -A INPUT -p tcp -m state --state NEW -j synfoold
　　iptables -N bad-ping
　　iptables -A bad-ping -p icmp --icmp-type echo-request -m limit --limit 1/s -j RETURN
　　iptables -A bad-ping -p icmp -j REJECT
　　iptables -I INPUT -p icmp --icmp-type echo-request -m state --state NE* -* *ad-ping
　　#iptables -t nat -A PREROUTING -p tcp --dport 22 -j REDIRECT --to-ports 1234

这个${interface} 是个变量吗？还是要换成我的网卡"eth0"?谢谢


我的IPTABLES版本 1.3.5

[ 本帖最后由 luza 于 2009-10-21 09:58 编辑 ]

chenyx

这个${interface} 是个变量,不能换成"eth0".

jxwoy

/sbin/iptables -A INPUT -p tcp --sport 21 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT

可以改成
/sbin/iptables -A INPUT -p tcp --syn -m state --state NEW -m multiport --dports 21,22,80 -j ACCEPT

这样安全性更高。

luza

这个IPTABLES不需要启动iptables服务器吗？
我关闭了iptables服务（/etc/init.d/iptables stop)，规则依然起作用，为什么？

jonelaw

顶起 关注！

jonelaw

原帖由 luza 于 2009-10-21 11:11 发表
这个IPTABLES不需要启动iptables服务器吗？
我关闭了iptables服务（/etc/init.d/iptables stop)，规则依然起作用，为什么？

以前我也碰到过，后来觉得有点难就没有再进行下去了。

bottlelee

我用 ufw...基于 iptables 的

ufw default deny //* 先设置默认全部拒绝
ufw allow http //* 等同于 ufw allow 80/tcp
ufw allow 22/tcp //* 等同于 ufw allow ssh
ufw enable //* 启用

最后把你的 ufw 服务跑起来. 如果规则修改过了, 就运行

ufw reload

luza

用了2楼给的规则可以了，现在又有点需求，不知道怎么搞？

我的公网IP是220.135.22.* ，我想通过服务器的另一块网卡192.168.1.2实现iptables代理上网，即：

外网只能访问80端口，内网的用户可以进行ftp,ssh，即开放给192.168.1.2   20，21，22端口，并实现上互联网的功能，应该怎么配置？

现有的规则为：

#!/bin/bash
/sbin/modprobe ip_conntrac
/sbin/modprobe ip_conntrack_ftp

/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A INPUT -p tcp --sport 21 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -p udp --dport 53 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT


要怎么加规则才能满足需求？

renxiao2003

厉害啊。我发现有的人一不会了就重做系统。最好的办法是中道问题解决它。

gamester88

iptables -A INPUT -p tcp -s 192.168.1.2 -m multiport --dports 21,22,53,80 -j ACCEPT
iptables -t nat -A POSTROUTING -s  内网网段 -o 外网网卡号  -j SNAT --to 220.135.22.*