下面以自己的Web服务器举例说明之，系统的默认策略是INPUT为DROP，OUTPUT、FORWARD链为ACCEPT，DROP设置得比较宽松，因为我们知道出去的数据包比较安全；为了验证脚本的通用性，我特的查看了服务器的内核及iptables版本，命令如下所示：

1
2
3
4
5
6
7
8
9
10
uname -a
Linux ud50041 2.6.9-34.ELsmp #1 SMP Fri Feb 24 16:54:53 EST 2006 i686 i686 i386 GNU/Linux
iptables -V
iptables v1.2.11
lsb_release -a
LSB Version:    :core-3.0-ia32:core-3.0-noarch:graphics-3.0-ia32:graphics-3.0-noarch
Distributor ID:    RedHatEnterpriseAS
Description:    Red Hat Enterprise Linux AS release 4 (Nahant Update 3)
Release:    4
Codename:    NahantUpdate3

大家可以发现，此系统为RHEL4_i386系统，系统内核版本为2.6.9-34，iptables版本为1.2.11；另外我在别的Centos5.5 x86_64机器上也成功部署了此脚本；由于后续的recent安全模块对系统内核有要求（这个作为主机防护脚本也经常用到），如果大家要采用iptables作为主机防火墙时，建议用Centos5.6 x86_64或更高级版本，不然系统会有如下提示错误信息：

1
2
3
4
5
iptables: Unknown error 18446744073709551615
iptables:Invalid argument
在tail -f /var/log/messages时能发下面的的出错提示
ip_tables: connlimit match: invalid size 32 != 16
ip_tables: connlimit match: invalid size 32 != 24

另外，在生产环境下调试iptables脚本前，强烈建议编写crontab任务，每5分钟关闭一次iptalbes脚本，防止将SSH客户端锁在外面，命令如下所示：

1
*/5 * * * * root /etc/init.d/iptables stop

脚本代码如下所示：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
#!/bin/bash
iptables -F
iptables -F -t nat
iptables -X
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
#load connection-tracking modules
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
iptables -A INPUT -f -m limit --limit 100/sec --limit-burst 100 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 10 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -m limit --limit 20/sec --limit-burst 200 -j ACCEPT
iptables -A INPUT -s 122.70.x.x -j ACCEPT
iptables -A INPUT -s 122.70.x.x -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dport 80,22 -j ACCEPT

这里有一种特殊情况，由于此Web服务器是置于负载均衡器后面，所以与负载均衡器的连接还是很频繁的；所以我们要允许数据源地址为负载均衡器的数据包通过；另外，我的许多基于LNMP的小网站上面也部署了此脚本，即Web服务和MySQL数据库同时安装在一台机器上，也没有开放3306端口，这个靠Web调用PHP程序实现访问。

成功运行此脚本后系统应该是不会报错的，命令如下：

1
iptables -nv –L

此命令显示结果如下（此为另一台LNMP机器的脚本显示结果）：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
Chain INPUT (policy DROP 610 packets, 50967 bytes)
 pkts bytes target     prot opt in     out     source               destination      
    0     0 ACCEPT     all  -f  *      *       0.0.0.0/0            0.0.0.0/0           limit: avg 100/sec burst 100
 6100  314K ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x16/0x02 limit: avg 20/sec burst 200
 1052 67637 ACCEPT     all  --  *      *       122.70.x.x        0.0.0.0/0        
  986 58112 ACCEPT     all  --  *      *       122.70.x.x        0.0.0.0/0        
  918  131K ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0        
97056   12M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
 4325  218K ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           multiport dports 80,22
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination      
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 8 limit: avg 1/sec burst 10
Chain OUTPUT (policy ACCEPT 144K packets, 155M bytes)
 pkts bytes target     prot opt in     out     source               destination      
  956  134K ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0

下面我稍为详细的解释下此脚本：
在主机的防护上我们配置了一些安全措施，以防止外部的ping和SYN洪水攻击，并且考虑到外部的疯狂端口扫描软件可能会影响服务器的入口带宽，所以在这里也做了限制。命令如下所示：

1
iptables -A INPUT -p tcp --syn -m limit --limit 100/s --limit-burst 100 -j  ACCEPT

上面的命令每秒钟最多允许100个新连接，请注意这里的新连接指的是state为New的数据包，在后面我们也配置了允许状态为ESTABLISHED和RELATED的数据通过；另外，100这个阀值则要根据服务器的实际情况来调整，如果是并发量不大的服务器这个数值就要调小，如果是访问量非常大且并发数不小的服务器，这个值则还需要调大。再看以下命令：

1
2
3
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s –limit-burst 10 -j ACCEPT
这是为了防止ping洪水攻击，限制每秒的ping包不超过10个。
iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -m limit --limit 20/sec --limit-burst 200 -j ACCEPT

上面的命令防止各种端口扫描，将SYN及ACK SYN限制为每秒钟不超过200个，免得把数务器带宽耗尽了。
iptables防火墙运行后，我们可以运行nmap工具进行扫描，命令如下：

1
nmap -P0 -sS 211.143.6.x

此命令的执行结果如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2009-03-29 16:21 CST
Interesting ports on 211.143.6.X:
Not shown: 1668 closed ports
PORT     STATE SERVICE
22/tcp open   ssh
25/tcp open   smtp
80/tcp open   http
110/tcp   open   pop3
111/tcp   open   rpcbind
143/tcp   open   imap
443/tcp   open   https
465/tcp   open   smtps
587/tcp   open   submission
993/tcp   open   imaps
995/tcp   open   pop3s
1014/tcp open   unknown

在这里，我们发现一个1014端被某个进程打开了，用lsof -i:1014查看发现又是rpc.statd打开的，这服务每次用的端口都不一样啊！本来想置之不理的，但是如果rpc.statd不能正确处理SIGPID信号，远程攻击者可利用这个漏洞关闭进程，进行拒绝服务攻击，所以还是得想办法解决掉，我们发现rpc.statd是由服务nfslock开启的，进一步查询得知它是一个可选的进程，它允许NFS客户端在服务器上对文件加锁。这个进程对应于nfslock服务，于是我们关掉了此服务，命令如下所示：

1
2
service nfslock stop
chkconfig nfslock off

如果没有硬件防火墙保护的话，置于IDC机房并且有公网的Web服务器还是很有用iptables保护的必要，如果发现有人用工具恶意频繁连接我们的Web服务器，我们可以调用recent模块来阻止它们，我们的做法是：尽量在每一台有公网IP的机器上部署iptables防火墙。

本文转自 抚琴煮酒 51CTO博客，原文链接：http://blog.51cto.com/yuhongchun/716016，如需转载请自行联系原作者

安全的Web主机iptables防火墙脚本相关推荐

  1. 保护你的Web服务器 iptables防火墙脚本全解读

    本文假设你已经对iptables有基本的了解,否则请先阅读iptables入门. 在我们的Web服务器上,系统的默认策略是INPUT为DROP,OUTPUT:FORWARD链为ACCEPT,DROP则 ...

  2. 实用防火墙（Iptables）脚本分析

    实用防火墙(Iptables)脚本分析 --Redhat,CentOS,Ubuntu等常见Linux发行版中都会预装Iptables防火墙,大多数初学者设置起来由于对这款软件比较陌生,设置起来比较困难 ...

  3. linux充当防火墙,Linux下主机充当防火墙的巧妙应用之iptables!.doc

    Linux下主机充当防火墙的巧妙应用之iptables! Linux下主机充当防火墙的巧妙应用之iptables! 实验综合拓扑图: 注意事项:防火墙由Red Hat Linux 5.4 版本的机器充 ...

  4. Iptables防火墙配置详解

    iptables防火墙配置详解 iptables简介 iptables是基于内核的防火墙,功能非常强大,iptables内置了filter,nat和mangle三张表. (1)filter表负责过滤数 ...

  5. Linux iptables防火墙设置与NAT服务配置

    Linux iptables防火墙设置与NAT服务配置 - 摘要: linux教程,NAT服务器,iptables防火墙设置与NAT服务配置, 防火墙是指设置在不同网络或网络安全域之间的一系列部件的组 ...

  6. iptables —— Iptables防火墙规则使用梳理

    iptables是组成Linux平台下的包过滤防火墙,与大多数的Linux软件一样,这个包过滤防火墙是免费的,它可以代替昂贵的商业防火墙解决方案,完成封包过滤.封包重定向和网络地址转换(NAT)等功能 ...

  7. iptables防火墙（二）

    防伪码:要输就输给追求,要嫁就嫁给幸福 第十一章 iptables防火墙(二) 前言:本章我们来学习使用iptables做网关服务器,并使用NAT功能共享上网以及发布服务器,和我们之前学过的nat原理 ...

  8. zabbix监控iptables防火墙状态之是否有丢弃的包(攻-击)

    概述 之前有介绍通过saltstack统一管理线上防火墙规则,并且是在默认规则为DROP策略下,即意味着,如果没有明确允许开放或允许出去访问,则防火墙会拒绝请求;特别是在线上防火墙改造时,可能由于历史 ...

  9. iptables防火墙详解及使用layer7阻止qq,酷狗,等P2P软件

    iptables防火墙详解及使用layer7阻止qq,酷狗,等P2P软件   防火墙其实就是一个加固主机或者网络安全的一个设备或者软件而已,通过防火墙可以隔离风险区域与安全区域的连接,同时不会妨碍风险 ...

最新文章

  1. 昆山第二中等专业学校计算机分数线,昆山第二职业中学录取分数线
  2. 日期加星期存入mysql_在MySQL中添加两个星期的日期？
  3. Python 生成器与列表解析
  4. XElement 和 XDocument 到底有什么区别？
  5. 2019蓝桥杯省赛---java---C---5(最大降雨量)
  6. 【转】AI-900认证考试攻略
  7. kmp2-HDU1358 HUST1010 POJ2406 POJ2752
  8. 高并发内存占用持续下降_师兄，为什么删除数据后，Redis内存占用依然很高？...
  9. 中关村Win11 32位微软原版ISO V2021.08
  10. raspberry pi_Raspberry Pi，CNC铣削，WTF，Cypht，HomeBank，Wekan等的使用方法
  11. Spring Boot 整合 Kafka 分布式消息系统快速入门
  12. java中do until_RxJava—takeUntil实践
  13. Java实现的企业员工考勤管理系统
  14. matlab变压器温度仿真
  15. 运维基础实用知识点--软件篇
  16. 经典坦克大战——C++实现（附源码）
  17. 77. Combinations
  18. 杭州治堵有“智慧” 阿里云数加激活城市大脑
  19. 群晖Download Station套件 BT搜索使用教程
  20. linux中i的英文单词,i的发音有几种

热门文章

  1. ASP.NET遍历配置文件的连接字符串
  2. 使用Repeater的Template
  3. 提高C++性能的编程技术笔记：虚函数、返回值优化+测试代码
  4. 【Live555】live555源码详解（六）：FramedSource、RTPSource、RTPSink
  5. 【Git】在本地创建git库管理自己的代码
  6. 【linux】Matchbox（二）：基本概念
  7. 河南科技大学c语言章节作业答案,河南科技大学C语言试题
  8. catia三维轴承_浅谈基于CATIA二次开发的单排四点接触球轴承三维设计论文
  9. python mysql批量insert数据、返回id_Python3 操作 MySQL 插入一条数据并返回主键 id的实例...
  10. java i18n实例_Java SpringMVC实现国际化整合案例分析（i18n） 专题