Centos6防火墻配置 #重啟iptables服務(wù) service iptables restart #查看iptables規(guī)則 iptables -L -n #查看iptables規(guī)則文件 cat /etc/sysconfig/iptables #開啟22端口 iptables -A INPUT -p tcp --dport 22 -j ACCEPT #如果OUTPUT設(shè)置成DROP需要添加 iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT #關(guān)閉22端口 iptables -D INPUT -p tcp --dport 22 -j ACCEPT #開啟常用端口 iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 3306 -j ACCEPT #iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT #iptables -A OUTPUT -p tcp --sport 3306 -j ACCEPT #iptables -A INPUT -p tcp --dport 20 -j ACCEPT #iptables -A INPUT -p tcp --dport 21 -j ACCEPT #iptables -A INPUT -p tcp --dport 10000 -j ACCEPT #iptables -A INPUT -p tcp --dport 25 -j ACCEPT #iptables -A INPUT -p tcp --dport 110 -j ACCEPT #iptables -A INPUT -p udp --dport 53 -j ACCEPT #允許ping iptables -A INPUT -p icmp -j ACCEPT #如果OUTPUT設(shè)置成DROP需要添加 iptables -A OUTPUT -p icmp -j ACCEPT #允許loopback iptables -A INPUT -i lo -p all -j ACCEPT #如果OUTPUT設(shè)置成DROP需要添加 iptables -A OUTPUT -o lo -p all -j ACCEPT #屏蔽指定ip #iptables -A INPUT -p tcp -s 192.168.10.1 -j DROP #減少不安全的端口連接 #iptables -A OUTPUT -p tcp --sport 31337 -j DROP #iptables -A OUTPUT -p tcp --dport 31337 -j DROP #允許某個IP遠程連接 #iptables -A INPUT -s 192.168.101.1 -p tcp --dport 22 -j ACCEPT #允許某個網(wǎng)段的IP遠程連接 iptables -A INPUT -s 192.168.101.0/24 -p tcp --dport 22 -j ACCEPT #允許指定網(wǎng)段通過,、指定網(wǎng)口通過SSH連接本機 #iptables -A INPUT -i eth0 -p tcp -s 192.168.101.0/24 --dport 22 -m state --state NEW,ESTABLESHED -j ACCEPT #iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT #iptables -A INPUT -i eth0 -p tcp -s 192.168.101.0/24 --dport 22 -m state --state ESTABLESHED -j ACCEPT #iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state NEW,ESTABLISHED -j ACCEPT #開啟轉(zhuǎn)發(fā)功能 #iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT #iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT #處理IP碎片數(shù)量,防止攻擊,允許每秒100個 #iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT #設(shè)置ICMP包過濾,允許每秒1個包,限制觸發(fā)條件是10個包 #iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT #丟棄非法連接 iptables -A INPUT -m state --state INVALID -j DROP iptables -A OUTPUT -m state --state INVALID -j DROP iptables -A FORWARD -m state --state INVALID -j DROP #允許所有已經(jīng)建立的和相關(guān)的連接 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #防止外網(wǎng)用內(nèi)網(wǎng)IP欺騙 #iptables -t nat -A PREROUTING -i eth0 -s 10.10.0.0/8 -j DROP #iptables -t nat -A PREROUTING -i eth0 -s 172.16.10.0/12 -j DROP #iptables -t nat -A PREROUTING -i eth0 -s 192.168.10.0/16 -j DROP #禁止與某個IP的所有連接 #iptables -t nat -A PREROUTING -d 192.168.101.1 -j DROP #禁用80端口 #iptables -t nat -A PREROUTING -p tcp --dport 80 -j DROP #禁用某個IP的80端口 #iptables -t nat -A PREROUTING -p tcp --dport 21 -d 192.168.101.1 -j DROP 添加*nat規(guī)則,，連接服務(wù)器的1668端口，轉(zhuǎn)發(fā)到22端口上
Centos7防火墻配置CentOS7使用的是Linux Kernel 3.10.0的內(nèi)核版本,，新版的Kernel內(nèi)核已經(jīng)有了防火墻netfilter,，并且firewalld的使用效能更高，穩(wěn)定性更好,。CentOS7配置防火墻的兩種方法： 一,、使用xml配置文件的方式配置； 方法一 cp /usr/lib/firewalld/services/http.xml /etc/firewalld/services/ firewall-cmd reload 二,、使用命令的方式配置,； 方法二 ##Add firewall-cmd --permanent --zone=public --add-port=7001/tcp ##Remove firewall-cmd --permanent --zone=public --remove-port=7001/tcp ##Reload firewall-cmd reload 其中，方法二的配置方式是間接修改/etc/firewalld/zones/public.xml文件，方案一也需要在public.xml里面新增,，否則http的防火墻規(guī)則不會生效,，而且兩種配置方式都需要重新載入防火墻。 附：查看防火墻狀態(tài) systemctl status firewalld.service 啟動防火墻 systemctl start firewalld.service 關(guān)閉防火墻 systemctl stop firewalld.service 重新啟動防火墻 |
|
|
