iptables命令、iptables应用
iptables命令
安装yum install iptables iptables-services
iptables四个表：
- filter数据包过滤
- nat网络地址转换
- mangle包重构
- raw数据跟踪处理
iptables五个链：
- PREROUTING链
- POSTROUTING链
- INPUT链
- OUTPUT链
- FORWARD链
iptables连接状态：ESTABLISHED、NEW、RELATED、INVALID
data > PREROUTING - < Destination = localhost? >
No - FORWARD(filter, mangle) \
> POSTROUTING(nat, raw, mangle)
Yes - INPUT(nat, mangle, raw) \
> localhost > OUTPUT(filter, mangle)
> POSTROUTING(nat, raw, mangle)
规则制定
# 配置文件
/etc/sysconfig/iptables # iptables规则文件
/etc/sysconfig/iptables-config # iptables配置文件
/etc/sysconfig/iptables.old # iptables恢复文件
# 查看mangle表的规则
iptables -L -t mangle
# -A append | -I insert | -D delete | -R replace
iptables [-t 表名] <-A|I|D|R> 链名 [规则编号]
[-i|o 网卡名称]
[-p 协议类型]
[-s 源IP]
[--sport 源端口]
[-d 目的IP]
[--dport 目的端口] <-j 动作>
优先级，排队和优先级有关，排在越前，优先级越高，-I和-A的区别
# 清除所有策略
iptables -F
iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 22 -j REJECT
iptables -t filter -A INPUT -p icmp -s 172.17.0.0/24 -j DROP
启用模块
iptables -t filter -A INPUT \
-p icmp \
-s 172.17.0.0/24 \
-j DROP \
-m comment --comment "drop docker container connect"
# 限制每个IP同时发出80端口请求个数为30个
iptables -t filter -A INPUT \
-p tcp \
--dport 80 \
-m connlimit -connlimit-above 30 -j DROP
# 设置IP段
iptables -t filter -A INPUT \
-m iprange -src-range 172.17.0.2-172.17.0.10 -j DROP
# 基于MAC地址的过滤
iptables -t filter -A INPUT \
-m mac -mac-source XX:XX:XX:XX:XX -j DROP
# 多个端口
iptables -t filter -A INPUT \
-p tcp -m muluiport --dport 21,22,80,443 -j DROP
# 状态过滤
iptables -t filter -A INPUT \
-m state --state ESTABLISHED,RELATED -j DROP
# 数据包内容过滤
iptables -t filter -A FORWARD \
-m string -algo bm -string baidu -j DROP
# 同一个IP每小时只允许5次SSH连接
iptables -t filter -A INPUT \
-p tcp \
--dport 22 \
-m state --state NEW \
-m recent --name SSHPOOL \
--rcheck --seconds 3600 --hitcount 5 -j DROP
iptables -t filter -A INPUT \
-p tcp \
--dport 22 \
-m state --state NEW \
-m recent --name SSHPOOL --set -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
iptables应用
为只提供web服务的服务器编写安全的访问规则
iptables -t filter -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -P INPUT DROP
ssh防护
#!/bin/bash
number=10
for i in \
`awk '/Failed/{print $(NF-3)}' /var/log/secure \
| sort \
| uniq -c \
| sort -rn | awk '{if ($1>$number){print $2}}'`
do
iptables -t filter \
-I INPUT \
-p tcp \
-s $i --dport 22 -j DROP
done
cc防护
# 允许单个IP的最大连接数为30
iptables -t filter -I INPUT \
-p tcp --dport 80 \
-m connlimit \
--connlimit-above 50 -j REJECT
# 单个IP在60s内只允许新建10个连接
iptables -t filter -A INPUT \
-p tcp \
--dport 80 \
-m recent \
--name BAD_HTTP \
--update --seconds 60 --hitcount 10 -j REJECT
iptables -t filter -A INPUT \
-p tcp \
--dport 80 \
-m recent \
--name BAD_HTTP --set -j ACCEPT
