金御网安

iptables常见应用

发布时间:5年前热度: 553 ℃评论数:

iptables -A OUTPUT -p tcp -m multiport --dport 24,25,50,57,105,106,109,110,143,158,209,218,220,465,587 -j REJECT --reject-with tcp-reset

iptables -A OUTPUT -p tcp -m multiport --dport 993,995,1109,24554,60177,60179 -j REJECT --reject-with tcp-reset

iptables -A OUTPUT -p udp -m multiport --dport 24,25,50,57,105,106,109,110,143,158,209,218,220,465,587 -j DROP iptables -A OUTPUT -p udp -m multiport --dport 993,995,1109,24554,60177,60179 -j DROP

分享ss等服务出去的时候一定要给vps加上限制,要不然就会出现被滥发邮件等问题,以上规则屏蔽了邮件端口,来自loc的分享!

邮件相关端口:

465/tcp:通过安全套接字层的简单邮件传输协议(SMTPS)
587:邮件消息提交代理(MSA)
993:通过安全套接字层的互联网消息存取协议(IMAPS)
995:通过安全套接字层的邮局协议版本3(POPS3)
1109:Kerberos 邮局协议(KPOP)
24554:Binkley TCP/IP Fidonet 邮寄程序守护进程
60177:Ifmail FidoNet 兼容邮寄服务

60179:FidoNet 电子邮件和新闻网络

------------------------

[root@vps]# iptables -L -n

Chain INPUT (policy ACCEPT)

target prot opt source destination

Chain FORWARD (policy ACCEPT)

target prot optsource destination

Chain OUTPUT (policy ACCEPT)

target prot optsource destination

默认链状态

这样的状态就是没有启用iptables的状态,并且每一个链的默认策略是:policy ACCEPT,也就是任何流入流出的数据包都是被允许的。这样的状态当然不是安全的状态,所以默认策略有建议全部设置为DROP的,不过一般来说是入INPUT设置为DROP不允许,出OUTPUT和转发FORWARD设置为ACCEPT允许的情况也还比较合适。

iptables -P INPUT DROP

iptables -P FORWARD ACCEPT

iptables -P OUTPUT ACCEPT

放行ssh端口

在设置上面三条命令之前一定要先把ssh登录端口放行,要不然你执行完iptables -P INPUT DROP就连不上vps了。

执行iptables -A INPUT -p tcp --dport 22 -j ACCEPT将默认ssh端口22放行。这里要注意一点的是22端口是默认ssh端口,也是被黑客扫描最多的端口,如果你没有修改为其它端口会很头疼的。所以建议你第一时间修改,然后放行实际使用的ssh端口,搬瓦工这点做的比较好,直接是随机的端口发邮件给你。如果你用的是搬瓦工vps实际操作中上面这条命令的22就要改成它邮件里发你的端口就行了。

添加常用端口规则

将ssh登录端口放行后,执行上述三条命令改了默认策略,然后再放行相应的端口。如果做网站我们先给web服务添加上以下几条命令:

#允许本机访问

iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

# 允许已建立的或相关连的通行

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#允许访问80端口

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

#允许访问443端口

iptables -A INPUT -p tcp --dport 443 -j ACCEPT

#允许FTP服务的21和20端口

iptables -A INPUT -p tcp --dport 21 -j ACCEPT

iptables -A INPUT -p tcp --dport 20 -j ACCEPT

如果你做ss就把ss端口加到放行规则里,比如8989和9999两个端口:

iptables -A INPUT -p tcp -m multiport --dport 8989,9999 -j ACCEPT

多端口如10000到20000就iptables -A INPUT -p tcp --dport 10000:20000 -j ACCEPT

保存规则

执行完之后保存规则看看怎么样。

centos是service iptables save

debian/ubuntu是

iptables-save > /etc/iptables-rules

编辑/etc/network/interfaces,追加如下内容

pre-up iptables-restore < /etc/iptables-rules


iptables -L -n --line-numbers

3.删除某iptables规则

例如,删除第12行的规则,行号可由之前的命令查看

iptables -D INPUT 12

4.清除现有iptables规则

iptables -F
iptables -X
iptables -Z

5.创建规则

a).开放端口

命令iptables -A INPUT -j REJECT将屏蔽其他未授权的端口,因此请务必开放22端口以保障SSH连接正常~

#允许本机访问
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
# 允许已建立的或相关连的通行
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#允许所有本机向外的访问
iptables -A OUTPUT -j ACCEPT
# 允许访问22端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#允许访问80端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#允许FTP服务的21和20端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
#如果有其他端口的话,规则也类似,稍微修改上述语句就行
#禁止其他未允许的规则访问
iptables -A INPUT -j REJECT
iptables -A FORWARD -j REJECT

b).屏蔽ip

iptables -I INPUT -s 123.123.123.123 -j DROP

可通过更换上述ip为ip段来达到屏蔽ip段的目的~

若需屏蔽整个ip段(123.0.0.1到123.255.255.254)则换为123.0.0.0/8
若需屏蔽ip段123.123.0.1到123.123.255.254,则换为124.123.0.0/16
若需屏蔽ip段123.123.123.1到123.123.123.254则换为123.123.123.0/24

6.设置开机启动

一般在安装iptables完成后,开机启动会自动设置成功,但在个别CentOS系统上,貌似还有些问题,可以使用如下命令手动设置

chkconfig --level 345 iptables on

7.保存iptables规则

CentOS下

service iptables save

Ubuntu下

iptables-save > /etc/iptables-rules

编辑/etc/network/interfaces,追加如下内容

pre-up iptables-restore < /etc/iptables-rules

8.iptables在手动防CC攻击中的简单应用

关于获取攻击者ip的方法,可以通过很多方法获取,如查看网站日志等,本文不再赘述。

a).建立要屏蔽的ip/ip段文件,名为ip.txt

#屏蔽的ip
123.4.5.6
#屏蔽的ip段(编写方法,同前文)
123.4.5.6/24

b).建立block_ip.sh脚本文件

#!/bin/sh
# Filename: block_ip.sh
# Purpose:  blocks all IP address/network found in a text file
#               The text file must have one IP address or network per line
#################################################################

# Change the following path/filename to match yours
IP_LIST_FILE=/path/to/ip.txt

#################################################################
# Don't change anything below unless you are a smarty pant!
#################################################################
IPTABLES_BIN=/sbin/iptables

# Get the IP address/network from the file and ignore any line starting with # (comments)
BAD_IP_ADDR_LIST=$(grep -Ev "^#" $IP_LIST_FILE)

# Now loop through the IP address/network list and ban them using iptabels
for i in $BAD_IP_ADDR_LIST
do

echo -n "Blocking $i ...";
$IPTABLES_BIN -A    INPUT -s $i -j DROP
$IPTABLES_BIN -A OUTPUT -d $i -j DROP

echo "DONE.";
done
##################################################################
# END OF SCRIPT - NOTHING TO SEE HERE - THAT'S ALL FOLKS!
##################################################################

c).运行脚本

sh /path/to/block_ip.sh


屏蔽,邮件,端口

手机扫码访问