CentOS 7 安装 iptables 防火墙
CentOS7默认的防火墙不是iptables,而是firewalle
安装 iptable iptable-service
service iptables status # 先检查是否安装了iptables yum install -y iptables # 安装iptables yum update iptables # 升级iptables yum install -y iptables-services # 安装iptables-services (CentOS 7)
禁用/停止自带的firewalld服务
systemctl stop firewalld.service # 停止firewall systemctl disable firewalld.service # 禁止firewall开机启动 firewall-cmd --state # 查看默认防火墙状态(关闭后显示not running,开启后显示running) # firewall-cmd --state not running #禁用firewalld服务 systemctl mask firewalld
设置现有规则
iptables -L -n #查看iptables现有规则 iptables -P INPUT ACCEPT #先允许所有,不然有可能会清除后断开连接,无法再连接 iptables -F #清空所有默认规则 iptables -X #清空所有自定义规则 iptables -Z #所有计数器归0 #允许来自于lo接口的数据包(本地访问) iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 开放22端口 iptables -A INPUT -p tcp --dport 21 -j ACCEPT # 开放21端口(FTP) iptables -A INPUT -p tcp --dport 80 -j ACCEPT # 开放80端口(HTTP) iptables -A INPUT -p tcp --dport 443 -j ACCEPT # 开放443端口(HTTPS) iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT # 允许ping #允许接受本机请求之后的返回数据 RELATED,是为FTP设置的 iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -P INPUT DROP # 其他入站一律丢弃 iptables -P OUTPUT ACCEPT # 所有出站一律绿灯 iptables -P FORWARD DROP # 所有转发一律丢弃
其他规则设定
iptables -A INPUT -p tcp -s 45.96.174.68 -j ACCEPT # 如果要添加内网ip信任(接受其所有TCP请求) iptables -P INPUT DROP # 过滤所有非以上规则的请求 iptables -I INPUT -s ***.***.***.*** -j DROP # 要封停一个IP,使用下面这条命令 iptables -D INPUT -s ***.***.***.*** -j DROP # 要解封一个IP,使用下面这条命令
保存规则设定
#保存上述规则 service iptables save
开启iptables服务
#注册iptables服务 #相当于以前的chkconfig iptables on systemctl enable iptables.service #开启服务 systemctl start iptables.service #查看状态 systemctl status iptables.service
解决vsftpd在iptables开启后,无法使用被动模式的问题
1.首先在 vim /etc/sysconfig/iptables-config
修改或者添加以下内容
#添加以下内容,注意顺序不能调换 IPTABLES_MODULES="ip_conntrack_ftp" IPTABLES_MODULES="ip_nat_ftp"
2.重新设置iptables设置
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
以下为完整设置脚本
#!/bin/sh iptables -P INPUT ACCEPT iptables -F iptables -X iptables -Z iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j ACCEPT iptables -A INPUT -p tcp --dport 21 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j ACCEPT iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD DROP service iptables save systemctl restart iptables.service
Linux下iptables屏蔽IP和端口号
封单个IP的命令:iptables -I INPUT -s 124.115.0.199 -j DROP
封IP段的命令:iptables -I INPUT -s 124.115.0.0/16 -j DROP
封整个段的命令:iptables -I INPUT -s 194.42.0.0/8 -j DROP
封几个段的命令:iptables -I INPUT -s 61.37.80.0/24 -j DROP
只封80端口:iptables -I INPUT -p tcp –dport 80 -s 124.115.0.0/24 -j DROP
解封全部:iptables -F
清空:iptables -D INPUT 数字
列出 INPUT链 所有的规则:iptables -L INPUT --line-numbers
删除某条规则,其中5代表序号(序号可用上面的命令查看):iptables -D INPUT 5
开放指定的端口:iptables -A INPUT -p tcp --dport 80 -j ACCEPT
禁止指定的端口:iptables -A INPUT -p tcp --dport 80 -j DROP
拒绝所有的端口:iptables -A INPUT -j DROP
以上都是针对INPUT链的操作,即是外面来访问本机的方向,配置完之后 需要保存,否则iptables 重启之后以上设置就失效
service iptables save
iptables 对应的配置文件 /etc/sysconfig/iptables
注意:iptables的规则匹配顺序上从上到下的,也就是说如果上下两条规则有冲突时,将会以上面的规则为准。
参考推荐:
Linux 防火墙 iptables 和 firewalld
LNMP(CentOS+Nginx+Mysql+PHP)服务器环境配置
版权所有: 本文系米扑博客原创、转载、摘录,或修订后发表,最后更新于 2018-12-27 16:55:39
侵权处理: 本个人博客,不盈利,若侵犯了您的作品权,请联系博主删除,莫恶意,索钱财,感谢!