求web服务器的iptables规则

wzypunk

运行那个脚本类似service iptables start

luza

感谢上面各位好心人给出的指导，我现在把上面的总结一下，各位再帮忙看看。
需求：外网卡：eth0 :220.135.22.* 内网卡：192.168.1.2
要求 1.服务器对外只提供HTTP服务，即只开放80端口，其他一律不接受。
     2.内网可以通过服务器上网，并且通过内网连接服务器进行FTP,SSH操作。

脚步如下：


#!/bin/bash
/sbin/modprobe ip_conntrac
/sbin/modprobe ip_conntrack_ftp
echo "1" > /proc/sys/net/ipv4/ip_forward


/sbin/iptables -F
/sbin/iptables -t nat -F
/sbin/iptables -X
/sbin/iptables -t nat -X
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A INPUT -p tcp --syn -m state --state NEW -m multiport --dports 80 -j ACCEPT
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
/sbin/iptables -A INPUT -p tcp -s 192.168.1.2 -m multiport --dports 21,22,53,80 -j ACCEPT
/sbin/iptables -t nat -A POSTROUTING -s  192.168.1.2/32 -o eth0  -j SNAT --to 220.135.22.*

请大家看看，作为一个www服务器安全系数够了吗？还需要加什么吗？

chenyx

/sbin/iptables -A INPUT -p tcp --syn -m state --state NEW -m multiport --dports 80 -j ACCEPT

这行-m multiport 去掉

/sbin/iptables -t nat -A POSTROUTING -s  192.168.1.2/32 -o eth0  -j SNAT --to 220.135.22.*

把192.168.1.2/32改成192.168.1.0/24

[ 本帖最后由 chenyx 于 2009-10-23 09:55 编辑 ]

luza

再加一点防护

#!/bin/bash
/sbin/modprobe ip_conntrac
/sbin/modprobe ip_conntrack_ftp
echo "1" > /proc/sys/net/ipv4/ip_forward


/sbin/iptables -F
/sbin/iptables -t nat -F
/sbin/iptables -X
/sbin/iptables -t nat -X
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -A INPUT -i lo -j ACCEPT
#开放80
/sbin/iptables -A INPUT -p tcp --syn -m state --state NEW --dports 80 -j ACCEPT
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#内网代理
/sbin/iptables -A INPUT -p tcp -d192.168.1.2 -m multiport --dports 21,22,53,80 -j ACCEPT
/sbin/iptables -t nat -A POSTROUTING -s  192.168.1.0/24 -o eth0  -j SNAT --to 220.135.22.*

#控制单个IP的最大并发连接数
iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT
#控制单个IP在一定的时间（比如60秒）内允许新建立的连接数
iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 30 -j REJECT
iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT


还没有测试，请大家看看。

[ 本帖最后由 luza 于 2009-10-23 10:01 编辑 ]

luza

原帖由 chenyx 于 2009-10-23 09:53 发表

这行-m multiport 去掉

把192.168.1.2/32改成192.168.1.0/24

感谢，感谢。确实是只有一个80端口，没注意。

这个地方还有点问题，dports 要改成 dport

[ 本帖最后由 luza 于 2009-10-23 11:34 编辑 ]

chenyx

/sbin/iptables -A INPUT -p tcp -s 192.168.1.2 -m multiport --dports 21,22,53,80 -j ACCEPT

应该是-d 192.168.1.2 吧

luza

原帖由 chenyx 于 2009-10-23 09:57 发表

应该是-d 192.168.1.2 吧

应该是-d

luza

#控制单个IP的最大并发连接数
iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT
#控制单个IP在一定的时间（比如60秒）内允许新建立的连接数
iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 30 -j REJECT
iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT


这两句运行起来出错，不知哪里问题

chenyx

出错信息贴上来啊

laolinux

不错，学习