iptables怎么使用

實(shí)戰(zhàn)1 服務(wù)器禁止ping

iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP
// 禁止任何人ping通本機(jī)   

“      

除了上面禁止PING的方法，我們還可以通過修改內(nèi)核配置實(shí)現(xiàn)，如下：

echo net.ipv4.icmp_echo_ignore_all=1 >> /etc/sysctl.conf
sysctl -p

// 如果允許PING，則將 `ignore_all=1`，修改成 `ingore_all=0` 即可     
    

實(shí)戰(zhàn)2 利用iptables保護(hù)公司 web 服務(wù)器   

2.1 web服務(wù)器配置：

1、安裝httpd及vsftpd服務(wù)
yum -y install httpd
yum -y install vsftpd //安裝vsfptd服務(wù)目的是為了對比iptables

2、啟動(dòng)httpd及vsftpd服務(wù)
systemctl start httpd
systemctl start vsftpd         

2.2 客戶端驗(yàn)證（未配置iptables）

測試web訪問

   

測試vsftpd

   

2.3 配置iptables防火墻策略

iptables -A INPUT -i lo -j ACCEPT
// 放行環(huán)回口所有數(shù)據(jù)

iptables -A INPUT -p tcp -m multiport --dports 22,80 -j ACCEP
// 放行 TCP/22,80 端口

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
// 允許已經(jīng)建立 tcp 連接的包以及該連接相關(guān)的包通過

 iptables -P INPUT DROP
 // 設(shè)置filter表INPUT鏈默認(rèn)規(guī)則。當(dāng)數(shù)據(jù)包沒有被任何規(guī)則匹配時(shí)，則按默認(rèn)規(guī)則拒絕所有

2.4 再次驗(yàn)證

測試web訪問

   

測試vsftpd

   

“      

測試結(jié)果正如我們所料：可以正常訪問web服務(wù)，但由于iptables規(guī)則未放行ftp相關(guān)端口，因此無法訪問ftp服務(wù)。   

實(shí)戰(zhàn)3 利用iptables搭建網(wǎng)關(guān)服務(wù)器

“      

背景：公司使用雙網(wǎng)卡Linux主機(jī)作為網(wǎng)關(guān)服務(wù)器，其中網(wǎng)卡eth0連接局域網(wǎng)，網(wǎng)卡eth2接入Internet。由于公司只注冊了一個(gè)公網(wǎng)IP地址，要求合理配置網(wǎng)關(guān)策略，使局域網(wǎng)內(nèi)的PC機(jī)可以通過共享的方式訪問Internet，如下圖所示：

   

具體實(shí)驗(yàn)步驟，點(diǎn)擊：干貨｜利用iptables搭建網(wǎng)關(guān)服務(wù)器

實(shí)戰(zhàn)4 利用iptables實(shí)現(xiàn)端口映射（DNAT）

實(shí)驗(yàn)拓?fù)鋱D

         

4.1  qll252 web服務(wù)器

1、安裝httpd服務(wù)
[root@qll252 ~]# yum -y install httpd

2、設(shè)置http服務(wù)首頁內(nèi)容
[root@qll252 ~]# echo 10.10.10.2 > index.html

3、啟動(dòng)httpd服務(wù)
[root@qll252 ~]# systemctl start httpd

4、指定qll251為網(wǎng)關(guān)
[root@qll252 ~]# vim /etc/sysconfig/network-scripts/ifcfg-eth0
  GATEWAY=10.10.10.1

5、重啟網(wǎng)卡服務(wù)
[root@qll252 ~]# systemctl restart network

4.2 在qll251上做DNAT

1、開啟內(nèi)核轉(zhuǎn)發(fā)
echo "net.ipv4.ip_forward = 1" >> etc/sysctl.conf
sysctl -p

2、添加iptables規(guī)則
[root@qll252 ~]# iptables -t nat -A PREROUTING -d 20.20.20.20 -p tcp --dport 8000 -j DNAT --to 10.10.10.2:80

3、保存iptables規(guī)則
[root@qll251 ~]# service iptables save

4.3 驗(yàn)證

   

“      

結(jié)果正如我們所料，瀏覽器上輸入http://20.20.20.20:8000，即可跳轉(zhuǎn)到qll252的內(nèi)容，實(shí)現(xiàn)端口映射。