位置: 编程技术 - 正文

在Ubuntu Server是配置iptables防火墙(ubuntu server initramfs)

编辑:rootadmin
关于iptables有价值的信息很多,但是大多都描述的很复杂。如果你想做些基本的配置,下面的 How To 很适合你。 ◆ 基本命令 键入: # iptables -L 列出您当前iptables中在规则。如果您是刚刚建立您的服务器,那么可能此时还没有任何规则,而且您应该看到如下: Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination ◆ 允许建立会话 我们可以允许建立会话来接受流量: # iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT ◆ 在指定端口上允许入站流量 阻断所有流量您也可以启动系统,但是您可能正在通过SSH工作,所有在您阻断其他流量前有必要允许SSH流量。 为了在端口号(默认的SSH端口)上的允许流量入站,您可以告诉iptables允许您的网卡接受所有的目的端口为的TCP流量。 # iptables -A INPUT -p tcp -i eth0 --dport ssh -j ACCEPT 特别的,这将向表中追加(-A)INPUT规则,允许目的端口号为SSH的所有流量进入接口(-i) eth0,以便iptables完成跳转(-j)或动作:ACCEPT 让我们核对下这些规则:(这里仅显示了少数行,您应该看到更多) # iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:ssh 现在,让我们允许所有的web流量 # iptables -A INPUT -p tcp -i eth0 --dport -j ACCEPT 检查我们现有的规则 # iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:ssh ACCEPT tcp -- anywhere anywhere tcp dpt:www 我们已经指定SSH和web端口为允许通过的TCP流量,但是因为我们还没阻断任何流量,所以到目前为止所有的流量仍然可以进入。 ◆ 阻断流量 一旦一条规则对一个包进行了匹配,其他规则不再对这个包有效。因为我们的规则首先允许SSH和WEB流量,所以只要我们阻断所有流量的规则紧跟其後,我们依然能接受我们感兴趣的流量。我们要做的仅仅是把阻断所有流量的规则放在最後,所以我们需要再次用到它。 # iptables -A INPUT -j DROP # iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:ssh ACCEPT tcp -- anywhere anywhere tcp dpt:www DROP all -- anywhere anywhere 因为我们刚才没有指定一个接口或一个协议,所以除了web和ssh流量外其他任何流量都会被阻断。 ◆ 编辑 iptables 到目前为止我们设置过程中唯一的问题是回环端口(loopbakc)也被阻断了。我们本可以通过指定 -i eth0 来仅仅丢弃eth0上的数据包,但我们也可以为回环端口(loopback)添加一条规则。如果我们追加这条规则,这将太晚了----因为所有的流量已经 被丢弃。我们必须插入这条跪着到第4行。 # iptables -I INPUT 4 -i lo -j ACCEPT # iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:ssh ACCEPT tcp -- anywhere anywhere tcp dpt:www ACCEPT all -- anywhere anywhere DROP all -- anywhere anywhere 最後2行看起来几乎一样,因此我们可以让iptables列的更详细些。 # iptables -L -v ◆ 日志记录 在上面的例子中,所有的流量都不会被记录。如果您愿意在syslog中记录被丢弃的包, 下面将是最快捷的方式: # iptables -I INPUT 5 -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7 看 提示 段获得更多关于logging的ideas. ◆ 保存 iptables 如果您现在要重新启动机器的话,您的iptables配置将会消失。为了不用每次重新启动时敲入这些命令,您可以保存你的配置,让它在系统启动时自动启动。你可以通过iptables-save 和iptables-restore命令来保存配置。 ◆ 配置启动时自动加载规则 保存您的防火墙股则到一个文件 # iptables-save > /etc/iptables.up.rules 接着修改 /etc/network/interfaces 脚本自动应用这些规则(末行是添加的) auto eth0 iface eth0 inet dhcp pre-up iptables-restore < /etc/iptables.up.rules 你也可以准备一组规则冰并自动应用它 auto eth0 iface eth0 inet dhcp pre-up iptables-restore < /etc/iptables.up.rules post-down iptables-restore < /etc/iptables.down.rules ◆ 提示 ◆ 如果你要在一个规则基础上手动编辑iptables 下面的步骤复习了怎样建立你的防火墙规则,并假定它们相对固定(而且对于大多数人来说它们也应该是)。但是如果你要做许多研究工作,你也许想要你的 iptables在你每次重启时保存一次。你可以在 /etc/network/interfaces 里添加像下面的一行: pre-up iptables-restore < /etc/iptables.up.rules post-down iptables-save > /etc/iptables.up.rules "post-down iptables-save > /etc/iptables.up.rules" 此行将保存规则用于下次启动时使用。 ◆ 用iptables-save/restore来测试规则 如果你超出了这个指南来编辑iptables,你可能想利用iptables-save和iptables-restore来编辑和测试你的规则。你可以通过使用你喜爱的文本编辑器(此处为gedit)来打开这些规则文件来完成编辑。 # iptables-save > /etc/iptables.test.rules # gedit /etc/iptables.test.rules 你会得到一个如下类似的文件(下面是紧接上的例子文件): # Generated by iptables-save v1.3.1 on Sun Apr :: *filter :INPUT ACCEPT [:] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [:] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -i eth0 -p tcp -m tcp --dport -j ACCEPT -A INPUT -i eth0 -p tcp -m tcp --dport -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7 -A INPUT -j DROP COMMIT # Completed on Sun Apr :: 注意到这些都是减去iptables命令的iptables语句。随意编辑这些命令、完成後保存它们。然後简单的测试下: # iptables-restore < /etc/iptables.test.rules 测试完毕後,如果你还没添加iptables-save命令 到 /etc/network/interfaces 里面,记得不要丢失了你的更改: # iptables-save > /etc/iptables.up.rules ◆ 更详细的日志 为了在你的syslog中获得更多细节,你可能想创建一个额外的链。下面是个很简短的例子---我的 /etc/iptables.up.rules ,它将展示我是如何设置iptables记录到syslog中的: # Generated by iptables-save v1.3.1 on Sun Apr :: *filter :INPUT ACCEPT [:] :FORWARD ACCEPT [0:0] :LOGNDROP - [0:0] :OUTPUT ACCEPT [:] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -i eth0 -p tcp -m tcp --dport -j ACCEPT -A INPUT -i eth0 -p tcp -m tcp --dport -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -j LOGNDROP -A LOGNDROP -p tcp -m limit --limit 5/min -j LOG --log-prefix "Denied TCP: " --log-level 7 -A LOGNDROP -p udp -m limit --limit 5/min -j LOG --log-prefix "Denied UDP: " --log-level 7 -A LOGNDROP -p icmp -m limit --limit 5/min -j LOG --log-prefix "Denied ICMP: " --log-level 7 -A LOGNDROP -j DROP COMMIT # Completed on Sun Apr :: 请注意 一个名为 LOGNDROP的链在文件顶部。而且,INPUT链底部标准的DROP被替换成了LOGNDROP,同时添加了协议描述so it makes sense looking at the log。最後我们在LOGNDROP链尾部丢弃了这些流量。下面的行告诉我们发生了什么: * --limit 设置记录相同规则到syslog中的次数 * --log-prefix "Denied..." 添加一个前缀使得在syslog中查找更easy * --log-level 7 设置syslog的消息级别 (see man syslog for more detail, but you can probably leave this) ◆ 禁用防火墙 如果您要临时禁用防火墙,您可以通过下面的命令清空所偶的规则: # iptables -F ◆ 轻松配置通过 GUI 新手可以利用 Firetarter(一个gui工具)---仓库中的可用软件(新立德或apt-get 获得)来配置她或他的iptables规则,而需要命令行知识。请查看指南,尽管...... 配置很简单,但是对于高级用户来说可能远远不能满足。然而它对于大多数的家庭用户来说是足够的...... 。(我)建议您使用firestarter在策略表中将出站配置为 “限制”,而将您需要的连接类型(如用于http的、https的,msn chat的等等)加入白名单。您也可以通过它查看进出您计算机的活动连接...... 。防火墙会一直保持下去一旦通过向导配置完毕。拨号用户必须在向导中指定它在拨号时自动启动。 firestarter主页: (再次, 仓库源中可用, 不需要编译) 指南: 个人笔记:不幸运的是,它没有阻断(或询问用户)特定应用/程序的选项......。因此,我的理解是一旦启用了端口(例如,用于访问网页),那么任何程序都可以通过端口连接任何服务器、做任何它想做的事......

推荐整理分享在Ubuntu Server是配置iptables防火墙(ubuntu server initramfs),希望有所帮助,仅作参考,欢迎阅读内容。

在Ubuntu Server是配置iptables防火墙(ubuntu server initramfs)

文章相关热门搜索词:ubuntu server gui,ubuntu server initramfs,ubuntu server name servers,ubuntu server bond,ubuntu server稳定吗,ubuntu-server,ubuntu server稳定吗,ubuntu-server,内容如对您有帮助,希望把文章链接给更多的朋友!

Ubuntu . 更新源大全(国内) 1.sudogedit/etc/apt/sources.list编辑你的源列表,将原来的内容全部删除,添加下面列表中最适合你的源(注意不要全部添加),选择一个最合适你的即可,复

用国内软件源为Ubuntu的apt-get提速方法 默认的,apt-get会连接

squid的dns配置问题 今天查了一下,squid对dns的支持是这样一个原理:1、如果dnsserver发送域名时带有ttl,则以此ttl为准,一般dnsserver都会带有对ttl的支持,现在我用的dnsmasq

标签: ubuntu server initramfs

本文链接地址:https://www.jiuchutong.com/biancheng/356400.html 转载请保留说明!

上一篇:Ubuntu(Linux)下配置IP地址的方法(ubuntu linux)

下一篇:Ubuntu 10.04 更新源大全(国内)(ubuntu更新版本)

  • 北京外贸进出口公司
  • 税务人员岗位有哪些
  • 坏账准备怎么做T型账户
  • 信息技术服务费入什么科目
  • 五险一金计提缴纳分录
  • 怎么开具商业承兑票据
  • 追加的固定资产当月计提折旧吗
  • 应交税费减免税额结转
  • 工程技术服务费和技术服务费
  • 技术服务费可以计入研发费用吗
  • 药企常见税务风险及措施
  • 增值税发票查验平台显示查无此票
  • 小规模开票是含税的吗
  • 分公司注销总公司会计分录
  • win10专业版如何改为家庭版
  • 公司收到利息怎么记账
  • macbook 运行windows
  • win10商店在哪打开
  • windows无法配置用户文件
  • PHP:oci_field_name()的用法_Oracle函数
  • 应收账款挂账多年
  • apache是什么文件
  • php yeid
  • 鼠标按键多有用吗
  • 委托加工物资账务怎么做
  • 增值税报了所得税未报可以买发票吗
  • ValueError: The device should not be ‘gpu‘, since PaddlePaddle is not compiled with CUDA问题解决(Paddle)
  • axure rp9视频教程
  • php 封装
  • 装修费还没摊销完就搬家了
  • web前端基础是什么
  • 遮天传官网
  • 本月的进项票可以抵扣上月税款吗?
  • 如何理性看待国企改革
  • 运输客票属于什么发票
  • 关于存货跌价准备
  • 诉讼费发票丢失可以补开吗
  • 进料余料结转 报关单
  • 住房租金专项附加扣除
  • 公司对公账户转给个人
  • 增值税 附加税费
  • 短期借款利息的使用账户是
  • 预付在建工程款的会计分录
  • 应交税费会计核算
  • 母公司和子公司是两个完全独立的法人
  • 多计费用以前年度损益调整账务处理
  • 小规模纳税人租赁发票税率是多少
  • 融资租赁本金和租金的区别
  • 材料采购办法
  • 资产负债表日指的是什么
  • 社区养老服务平台
  • 获取数据库最新的一条记录
  • 因windowssystem32
  • centos操作命令
  • debian reference
  • Ubuntu安装搜狗输入法
  • 如何设置滑屏方式
  • linux-c
  • linux批量处理文件
  • windows7开机提示盗版
  • win8高级设置在哪里
  • pptd40nt.exe是什么进程 有什么用 pptd40nt进程查询
  • win10每周更新
  • win7登录账号
  • 玩大型游戏时CPU多少度正常
  • js 高级技巧
  • ext.grid.editorgridpanel
  • linux怎么调用python
  • 天干地支在择时中的应用初探
  • shell脚本运行linux命令
  • js设置颜色代码
  • jquery 3d旋转
  • python中迭代例子
  • Android IntentFilter 匹配原则浅析
  • 安卓自定义app
  • 税务工作秘密管理暂行办法
  • Excel表格如何导出
  • 北京市国家税务网
  • 国家税务总局l
  • 2023年新乡契税补贴政策
  • 免责声明:网站部分图片文字素材来源于网络,如有侵权,请及时告知,我们会第一时间删除,谢谢! 邮箱:opceo@qq.com

    鄂ICP备2023003026号

    网站地图: 企业信息 工商信息 财税知识 网络常识 编程技术

    友情链接: 武汉网站建设