Linux防火墙相关命令以及配置

Linux防火墙相关命令以及配置

iptables常用规则

iptables -P INPUT DROP

iptables -P OUTPUT ACCEPT

iptables -P FORWARD DROP

#远程SSH登陆,我们要开启22端口

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

#如果你把OUTPUT 设置成DROP的就要写上

iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

#如果做了WEB服务器,开启80端口

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

#如果做了邮件服务器,开启25,110端口

iptables -A INPUT -p tcp --dport 110 -j ACCEPT

iptables -A INPUT -p tcp --dport 25 -j ACCEPT

#如果做了FTP服务器,开启21端口

iptables -A INPUT -p tcp --dport 21 -j ACCEPT

iptables -A INPUT -p tcp --dport 20 -j ACCEPT

#如果做了DNS服务器,开启53端口

iptables -A INPUT -p tcp --dport 53 -j ACCEPT

#如果做了ssh服务器,开启22端口

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

#减少不安全的端口连接

iptables -A OUTPUT -p tcp --sport 31337 -j DROP

iptables -A OUTPUT -p tcp --dport 31337 -j DROP

#只允许192.168.0.3的机器进行SSH连接

iptables -A INPUT -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT

#开启转发功能

iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -A FORWARD -i eth1 -o eh0 -j ACCEPT

#禁止与211.101.46.253的所有连接

iptables -t nat -A PREROUTING -d 211.101.46.253 -j DROP

#禁用211.101.46.253地址的FTP连接

iptables -t nat -A PREROUTING -p tcp --dport 21 -d 211.101.46.253 -j DROP

查看是否有SYN 攻击:

netstat -a | grep SYN

防止syn攻击,执行以下命令且添加到/etc/rc.d/rc.local

sysctl -w net.ipv4.tcp_max_syn_backlog=2048

sysctl -w net.ipv4.tcp_syncookies=1

sysctl -w net.ipv4.tcp_synack_retries=3

sysctl -w net.ipv4.tcp_syn_retries=3

防火墙免疫ddos攻击

iptables -I INPUT -p tcp --syn -m ttl --ttl-eq 117 -j DROP

iptables -I INPUT -p tcp --syn -m length --length :40 -j DROP

查看dos攻击

如果来自同一IP的连接很多（超过50个），而且都是连续端口，就很可能是攻击

netstat -an | grep ":80" | grep ESTABLISHED | awk '{printf "%s %s n",$5,$6}' | sort

查看各种连接数量

netstat -nat|awk '{print awk $NF}'|sort|uniq -c|sort -n

端口扫描，安装nmap，然后执行

nmap https://www.360docs.net/doc/5b2784798.html,

防火墙配置文件

/etc/sysconfig/iptables

打开一些端口

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --sport 20 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 20 -j ACCEPT -A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 25 -j ACCEPT -A RH-Firewall-1-INPUT -p udp -m udp --dport 137 -j ACCEPT

-A RH-Firewall-1-INPUT -p udp -m udp --dport 138 -j ACCEPT

-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 139 --syn -j ACCEPT

-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 455 --syn -j ACCEPT

常用端口

Outbound ports (tcp)

25 - SMTP

110 - POP

143 - IMAP

783 - Spamassassin

993 - IMAPS

Inbound Ports (tcp)

22-SSH

25 - SMTP

80 - HTTP

110 - POP services

143 - IMAP

443 - HTTPS

783 - Spamassassin

993 - IMAPS

/etc/rc.d/init.d/iptables save

service iptables restart

Linux网络相关命令以及配置

显示当前Linux主机中的路由表信息

route

临时删除默认网关192.168.0.1

route del default gw 192.168.0.1

临时添加默认网关192.168.0.1

route add default gw 192.168.0.1

添加路由信息

route add –net 10.0.0.1 netmask 255.0.0.0 gw 192.168.0.1

route add –host 192.168.168.110 dev eth0

添加到主机路由

route add –host 192.168.168.110 dev eth0

route add –host 192.168.168.119 gw 192.168.168.1

添加到网络的路由

route add –net IP netmask MASK eth0

route add –net IP netmask MASK gw IP

临时修改接口IP地址（无需重启接口）

ifconfig eth0 192.168.0.2 netmask 255.255.255.0

设置ip

vi /etc/sysconfig/network-scripts/ifcfg-eth0

DEVICE=eth0

ONBOOT=yes

BOOTPROTO=static

IPADDR=192.168.1.63

NETWORK=255.255.255.0

GATEWAY=192.168.1.124

(设置之后必须要重启network服务或者重启接口（#ifdown eth0;ifup eth0），才能生效)

重启网络服务

/etc/init.d/network restart

停止网络服务

/etc/init.d/network stop

启动网络服务

/etc/init.d/network start

关闭打开某个网络连接

ifdown eth0

ifup eth1

设置网络环境

网络文件

/etc/sysconfig/network-script/ifcfg-ethX

网关文件

/etc/sysconfig/network

域名解析

/etc/resolv.conf

开启路由功能 (１为打开路由功能０为关闭路由功能)

echo 1 >/proc/sys/net/ipv4/ip_forward

/etc/sysconfig/network 包括主机基本网络信息，用于系统启动

/etc/sysconfig/network-script/ 此目录下是系统启动最初始化网络的信息/etc/sysconfig/network-script/ifcfg-eth0 网络配置信息

/etc/xinetd.conf 定义了由超级进程XINETD启动的网络服务

/etc/protocols 设定了主机使用的协议以及各个协议的协议号

/etc/services 设定了主机的不同端口的网络服务

禁止ping

echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all

开通ping

echo "0" > /proc/sys/net/ipv4/icmp_echo_ignore_all

查看流量，安装iptraf，然后执行

/usr/local/bin/iptraf

dns配置

/etc目录下的有：hosts,host.conf,resolv.conf,named.conf

改动过DNS的相应文件，用“ndc restart”命令重新启动服务，在redhat 7.1以上版本中使用命令：

/etc/rc.d/init.d/named restart

或者

/etc/rc.d/init.d/named reload

使改动生效。

无法域名解析

vi /etc/nsswitch.conf

hosts: files dns

vi /etc/resolv.conf

; generated by /sbin/dhclient-script

search domain

nameserver 202.96.128.86

nameserver 61.144.56.101

vi /etc/hosts

# Do not remove the following line, or various programs # that require network functionality will fail.

127.0.0.1 localhost.localdomain hostname