【每周一议】iptables的简单应用（20积分已转账-2012-7-11）

dooros

20积分已转账，请注意查收。

接触linux的人大都知道iptables，做运维的人，肯定知道iptables，iptables是家喻户晓的linux防火墙，功能强大，使用方便。
自RHEL 6.x以来，iptables的管理程序的易用性更是一个质的提升，无论你对防火墙是否了解，无论你对iptables的命令是否熟悉，只需要轻点鼠标就能配置好。


1.你为什么开启防火墙？在有硬件防火墙做前端的基础下，是否还有必要开启系统防火墙？
2.除了iptables，你还使用过哪些防火墙？
3.在不能轻点鼠标的情况下，你最常使用的iptables命令是什么？他们的功能是什么？欢迎大家分享单行脚本。
4.面对防火墙带来的各种问题时，你是如何着手解决的？



欢迎大家分享自己的心得，同时也欢迎大家提出好的议题站内信我，谢谢！

凡是参与讨论的网友都将获得20分的积分奖励，欢迎大家跟帖补充！！希望大家积极参与！！！

Gray1982

回复 1# dooros


   

一般情况下，流量少的情况下是可以使用的，因为表的问题，在量大的时候会断
所以 流量巨大的时候 不使用防火墙
一般除了只接受所需要的端口，其它全都不让进出，还需要防点暴力破解和简单的DDOS

shang2010

基本不开，电脑本来就是个人用的，没什么大价值

aca_jingru

偶尔用下。。用的不多，感觉这个还是比较复杂的。。对其了解不深，只会简单的封ip，封端口

飞灰烟灭

现在我都不开防火墙，开了还卡费CPU

suddenkiller

1.你为什么开启防火墙？在有硬件防火墙做前端的基础下，是否还有必要开启系统防火墙？
最初是想学习一下linux下netfilter的功能，后来用了硬件防火墙，就没怎么开了。我的测试环境vlan比较多，有时候拿linux server充当路由器，开了转发和nat，做透明代理测试，用了一下redirect。
2.除了iptables，你还使用过哪些防火墙？
juniper ssg5, windows自带的防火墙算么？
3.在不能轻点鼠标的情况下，你最常使用的iptables命令是什么？他们的功能是什么？欢迎大家分享单行脚本。
iptables -vL -t nat/forward 其它的参数就不列举了，其实很少配置的，不经常建环境。
功能无非是限制源、目的ip、端口，或者细一点的，tcp的状态，new,syc,rst,established,related等，已及icmp包的种类、方向。
做路由转发，以及端口映射，ip地址的转换。
ip重定向，配合squid做透明代理
4.面对防火墙带来的各种问题时，你是如何着手解决的？
首先停用防火墙，看看问题是否能够解决；查看机器上的规则。如果搞不清规则的具体功能，那么建立规则的时候把每天规则都加上记录log的参数，这样就可以通过日至来分析了。通过抓包来分析问题。

fire_cpp

1.你为什么开启防火墙？在有硬件防火墙做前端的基础下，是否还有必要开启系统防火墙？
为什么开？你懂的。
有硬件防火墙，一般不开吧？没钱用硬的。
相信很多人都是机器托管，数量也不多，上硬的划不来。

2.除了iptables，你还使用过哪些防火墙？
ipfilter

3.在不能轻点鼠标的情况下，你最常使用的iptables命令是什么？他们的功能是什么？欢迎大家分享单行脚本。
iptables -nv -L

4.面对防火墙带来的各种问题时，你是如何着手解决的？
没遇到太多问题，应用不大。遇到了就是规则一条条测试咯，再就是用tcpdump分析。

anonymous0502

1.你为什么开启防火墙？在有硬件防火墙做前端的基础下，是否还有必要开启系统防火墙？
有硬件防火墙的话则不开防火墙

2.除了iptables，你还使用过哪些防火墙？
没了

3.在不能轻点鼠标的情况下，你最常使用的iptables命令是什么？他们的功能是什么？欢迎大家分享单行脚本。
iptables -L -nv查看规则
iptables -A/I/D/P等等，追加/插入/删除/设置默认策略

4.面对防火墙带来的各种问题时，你是如何着手解决的？
测试过没问题才用
测试机上防火墙脚本比较方便一行行分析测试解决
实在有问题时看情况行事了

KJLCN

1.你为什么开启防火墙？在有硬件防火墙做前端的基础下，是否还有必要开启系统防火墙？
系统防护。
有必要，毕竟硬件防火墙不是装在我这台服务器上的，而且现在多用虚拟机。

2.除了iptables，你还使用过哪些防火墙？
额，基本上只有空用iptables。

3.在不能轻点鼠标的情况下，你最常使用的iptables命令是什么？他们的功能是什么？欢迎大家分享单行脚本。
iptables -A #添加常用端口
iptables -nL

4.面对防火墙带来的各种问题时，你是如何着手解决的？
1)测试：停用/启用服务，停用/启用规则等；
2)google；

liuxingyuyuni

回复 2# Gray1982


    一般除了只接受所需要的端口，其它全都不让进出，还需要防点暴力破解和简单的DDOS

　　我的input开的８０，和ＳＳＨ，其他全部DROP，这段时间有恶意ＩＰ灌水，每天能封1千到3千IP左右，累计到2万条规则，就刷新规则，没有发现特别的情况，记的看手册手册，2w条规则以内都可以很顺利处理，对系统没有太大影响。