位置: 编程技术 - 正文
推荐整理分享linux设置iptables防火墙的详细步骤(centos防火墙设置方法)(Linux设置jdk环境变量配置),希望有所帮助,仅作参考,欢迎阅读内容。
文章相关热门搜索词:Linux设置虚拟内存,Linux设置jdk环境变量配置,Linux设置定时任务,Linux设置网关命令,Linux设置中文,Linux设置定时任务,Linux设置开机自启动,Linux设置系统日期,内容如对您有帮助,希望把文章链接给更多的朋友!
我们 来讨论一下如何为你的CentOS 服务器来设置简单的防火墙。 这里我们以DigitalOcean的CentOS 6 VPS为基础来讨论的,同样也适用于 阿里云上其他类型的LINUX系统。 (阿里云有个云盾系统,因此在你自己的VPS上不设置防火墙也是可以的)
需要说明的是: 本文只涉及最基础最常用的防火墙设置,能屏蔽一些常用的攻击,但并不能彻底保证你的服务器的安全。
系统的随时更新 以及 关闭不必要的服务 仍然是保证系统安全非常重要的步骤。
如果你需要更全面的了解iptables,阅读本文后,请google或是阅读更加深入的资料!
首先简单介绍一下什么是IPTables:
iptables是Linux内核中内置的防火墙,可以允许管理员通过设置table, chain以及相关的规则来进行数据包过滤和NAT。 一般来讲,iptables防火墙已经内置于CentOS 6及其他Linux版本中,而且iptables服务默认都是启动的。 iptables应用于IPv4, 如果要用IPv6,需要使用ip6tables.
iptables的命令格式:
复制代码代码如下:iptables[-ttable]command[chain][rules][-jtarget]
[-ttable]:用来指明使用的表,有三种选项:filter,nat和mangle,如果未指定,则使用filter作为缺省表。事实上,对于单个服务器的防火墙配置,一般来讲,我们只需要对filter表进行配件就OK了。filter表包括INPUT,OUTPUT,和FORWARD三个chain.
command表明iptables命名要做什么,比如
-A(–append):该命令会把一条规则附件到chain的末尾。
-D(–delete)用来删除某个规则。
-F(–flush)如果指定了chain,删除该chain中的所有规则,如果未指定chain,则删除所有chain中的所有规则。
target:是由规则指定的操作。包括下面几种:
ACCEPT:接收信息包(允许它前往目的地),并且将停止遍历chain.
DROP:拒绝,
此外还有REJECT,RETURN,LOG,REDIRECT,MARK,MIRROR,MAQUERADE等。
具体的iptables的语法和概念就不再多说了,请参照iptablesmanpage官方文档.
简单来说,iptables防火墙是由一系列的规则(rule)组成,一个数据请求进来,会依次和这些规则进行比较,如果正好符合规则的定义,那这个数据请求要么会被接收ACCEPT,要么被拒绝DRIP。如果不符合任何规则的定义,最后缺省的规则会被应用。
开始操作之前:
注意:一定要把你在DigitalOcean/Linode/阿里云上的服务器做一下快照备份,否则一旦你iptables的配置出了问题,极有可能把你自己挡在门外,你自己都无法连接到服务器了!!出现这种情况可是会欲哭无泪呀,除了重新做系统好像没有更好的办法了。(DigitalOcean提供了一个webconsole的界面,有时候会给你反悔和擦除iptables设置的机会,但阿里云没有)
决定哪些端口需要开放
首先,SSH的端口自然是需要开放的,否则我们就无法登录服务器了。
一般来讲,CentOS的VPS经常作为用LAMP搭建的Web服务器,FTP服务器,Mail服务器等。
对于Web服务来说,需要开放端口,如果是HTTPS/SSL协议的话,还需用开放端口
对于Mail服务来说,由于涉及SMTP,POP3,IMAP协议,需要开放的端口如下:
SMTP:SecureSMTP:POP3:SecurePOP3:IMAP:IMAPoverSSL:
对于FTP服务来说,需要开放,两个端口
第一步:屏蔽最常见的攻击
缺省情况下,CentOS的iptables的设置是允许任何数据通过的。
我们首先要清空iptables中的所有的规则:
复制代码代码如下:iptables-F
然后我们加上阻止简单扫描和攻击的规则
复制代码代码如下:iptables-AINPUT-ptcp--tcp-flagsALLNONE-jDROP#NONE包(所有标识bit都没有设置)主要是扫描类的数据包iptables-AINPUT-ptcp!--syn-mstate--stateNEW-jDROP#防止sync-flood攻击iptables-AINPUT-ptcp--tcp-flagsALLALL-jDROP#ALL包(所有的标注bit都被设置了)也是网络扫描的数据包
关于sync-flood,请参照wikipedia的解释。
第二步:为相应的服务开放对应的端口
首先我们应该接受本机localhost的任何请求,否则,数据库连接等将无法工作
1iptables-AINPUT-ilo-jACCEPT对于不同的服务需要开放不同的端口
复制代码代码如下:iptables-AINPUT-ptcp--dport-jACCEPT#SSHiptables-AINPUT-ptcp--dport-jACCEPT#HTTPiptables-AINPUT-ptcp--dport-jACCEPT#HTTPSiptables-AINPUT-ptcp--dport-jACCEPT#SMTPiptables-AINPUT-ptcp--dport-jACCEPT#SecureSMTPiptables-AINPUT-ptcp--dport-jACCEPT#POP3iptables-AINPUT-ptcp--dport-jACCEPT#SecurePOP3iptables-AINPUT-ptcp--dport-jACCEPT#IMAPiptables-AINPUT-ptcp--dport-jACCEPT#SecureIMAP
第三步:加上通用的规则
首先要允许所有从服务器端发起的连接,由此返回的响应数据应该是允许的!比如VPS发起的yumupdate,必须要允许外部的update数据进来
复制代码代码如下:iptables-IINPUT-mstate--stateESTABLISHED,RELATED-jACCEPT
最后,设置缺省的策略:屏蔽任何进入的数据请求,允许所有从Server发出的请求
复制代码代码如下:iptables-POUTPUTACCEPT</p><p>iptables-PINPUTDROP
至此,规则设置完毕
第四步:保存设置
首先通过下面的命令查看一下我们的设置是否正确!
复制代码代码如下:iptable-L-n
确认没有问题后,执行下面的命令
复制代码代码如下:serviceiptablessave
执行上述命令后,相应的规则会写入/etc/sysconfig/iptables这个文件,你可以检查一下看看。
最后执行
复制代码代码如下:serviceiptablesrestart.
重新启动iptables防火墙,以使上述设置生效。
最佳的方法:
为了更方便的修改和维护自己的iptables的设置,我一般是把所有的iptables的设置先写到一个单独文件中,测试没有问题后。然后再保存到iptable的配置文件中。
下面是我自己的iptables文件~/script/firewall.sh
复制代码代码如下:#!/bin/bash#Asimpleiptablesfirewallconfiguration</p><p>PATH=/sbin:/bin:/usr/sbin:/usr/bin;exportPATH</p><p>#flush/eraseoriginalrulesiptables-F#清除所有已制定的ruleiptables-X#清除用户自定义的chain/tableiptables-Z#将所有的chain的计数和流量统计归零</p><p>#Acceptlocalhostconnetting,nomatterwhatitisiptables-AINPUT-ilo-jACCEPT</p><p>#Acceptanyresponsepackagewhichisinitiatedfrominsideiptables-AINPUT-mstate--stateESTABLISHED,RELATED-jACCEPT</p><p>#blockmostcommonnetworkattacks(reconpacketsandsyn-floodattack)iptables-AINPUT-ptcp--tcp-flagsALLNONE-jDROPiptables-AINPUT-ptcp!--syn-mstate--stateNEW-jDROPiptables-AINPUT-ptcp--tcp-flagsALLALL-jDROP</p><p>#openportsfordifferentservicesiptables-AINPUT-ptcp--dport-jACCEPT#SSHiptables-AINPUT-ptcp--dport-jACCEPT#HTTP#iptables-AINPUT-ptcp--dport-jACCEPT#HTTPS#iptables-AINPUT-ptcp--dport-jACCEPT#SMTP#iptables-AINPUT-ptcp--dport-jACCEPT#SecureSMTP#iptables-AINPUT-ptcp--dport-jACCEPT#POP3#iptables-AINPUT-ptcp--dport-jACCEPT#SecurePOP</p><p>#ICMPconfiguration#TopreventICMPDDOS,wedonotallowICMPtype8(echo-request)orlimitthisrequestwith1/second#someICMPrequestsareallowed.icmp_type=""forticmpin$icmp_typedoiptables-AINPUT-picmp--icmp-type$ticmp-jACCEPTdone#iptables-AINPUT-picmp--icmp-type8-mlimit--limit1/second-jACCEPT</p><p>#defaultpoliciesiptables-POUTPUTACCEPTiptables-PINPUTDROP</p><p>#saveto/etc/sysconfig/iptables/etc/init.d/iptablessave
你可以根据你的需要进行相应的修改。
centos安装mysql数据库的方法 1、首先下载MySQL的安装文件,我这里安装的是MySQL5.1.7版本的,2、安装MySQL数据库服务器进入安装包所在文件夹,执行命令rpm-ivhMySQL-server-5.1.7-0.i.rpm安
virtualbox虚拟机安装centos并配置网络使宿主机和虚拟机能够互相访问 配置步骤安装virtualbox之后它会在宿主机上面安装一个虚拟网卡,如图双击它,查看详情,信息如图所示在虚拟机上面配置网络我使用的是host-only方式,
怎么破解CentOS的root密码?具体该如何操作 如何破解CentOS的root密码?开机后,在倒数读秒的时候按任意键、跳转画面后,再按E键,进入如下界面:此时把光标定位到第二行,再按E键(意为:在启动
标签: Linux设置jdk环境变量配置
本文链接地址:https://www.jiuchutong.com/biancheng/353759.html 转载请保留说明!上一篇:centos6.3使用ntfs-3g挂载windows ntfs分区的方法(centos安装ntfs 3g)
下一篇:virtualbox虚拟机安装centos并配置网络使宿主机和虚拟机能够互相访问(VirtualBox虚拟机中文免费)
友情链接: 武汉网站建设