linux-ubuntu关闭防火墙

SYNOPSIS
       iptables [-t table] {-A|-C|-D} chain rule-specification
       ip6tables [-t table] {-A|-C|-D} chain rule-specification
       iptables [-t table] -I chain [rulenum] rule-specification
       iptables [-t table] -R chain rulenum rule-specification
       iptables [-t table] -D chain rulenum

iptables 是linux下一款强大的防火墙，在不考虑效率的情况下，功能强大到足能够替代大多数硬件防火墙。可是强大的防火墙假设应用不当，可能挡住的可不光是那些潜在的攻击，还有可能是你自己哦。

这个带来的危害对于普通的个人PC来说可能无关紧要。可是想象一下，假设这是一台server，一旦发生这种情况。不光是影院正常的服务。还须要到现场去恢复。这会给你带来多少损失呢？

​

所以我想说的是，当你敲入每个iptables 相关命令的时候都要万分小心。

1.应用每个规则到DROP target时，都要细致检查规则。应用之前要考虑他给你带来的影响。

2.在redhat中我们能够使用service iptables stop来关闭防火墙，可是在有些版本号如ubuntu中这个命令却不起作用，大家可能在网上搜索到不少文章告诉你用iptables -F这个命令来关闭防火墙，可是使用这个命令前。千万记得用iptables -L查看一下你的系统中全部链的默认target。iptables -F这个命令仅仅是清除全部规则。仅仅不会真正关闭iptables.想象一下，假设你的链默认target是DROP，本来你有规则来同意一些特定的port，但一旦应用iptables
-L 。清除了全部规则以后。默认的target就会阻止不论什么訪问。当然包含远程ssh管理server的你。

所以我建议的关闭防火墙命令是

    iptables -P INPUT ACCEPT
    iptables -P FORWARD ACCEPT
    iptables -P OUTPUT ACCEPT
    iptables -F

总之，当你要在你的server上做不论什么变更时，最好有一个測试环境做过充分的測试再应用到你的server。

除此之外。要用好iptables，那就要理解iptables的执行原理，知道对于每个数据包iptables是怎么样来处理的。这样才干准确地书写规则，避免带来不必要的麻烦。

       iptables [-t table] -S [chain [rulenum]]
       iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]
       iptables [-t table] -N chain
       iptables [-t table] -X [chain]
       iptables [-t table] -P chain target
       iptables [-t table] -E old-chain-name new-chain-name
       rule-specification = [matches...] [target]
       match = -m matchname [per-match-options]
       target = -j targetname [per-target-options]

屏蔽ICMP ping请求

我们能够通过同意以下的命令屏蔽ping请求：

# iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
# iptables -A INPUT -i eth1 -p icmp --icmp-type echo-request -j DROP

也能够依照特定的网段和主机限制ping请求：

# iptables -A INPUT -s 192.168.1.0/24 -p icmp --icmp-type echo-request -j ACCEPT

下面命令仅仅接受受限制的ping请求：

#假定默认INPUT策略为丢弃数据包
# iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT
# iptables -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
# iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT
#全部的server都对ping请求作出应答
# iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

屏蔽或开启常见port

屏蔽或开启经常使用的TCP、UDPport：

#能够使用DROP替换ACCEPT。实现端口屏蔽。
#打开22端口（SSH）
# iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
# iptables -A INPUT -s 192.168.1.0/24 -m state --state NEW -p tcp --dport 22 -j ACCEPT
#打开TCP/UDP631端口（打印服务）
# iptables -A INPUT -s 192.168.1.0/24 -p udp -m udp --dport 631 -j ACCEPT
# iptables -A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 631 -j ACCEPT
# 打开123端口，同意局域网用户进行NTP时间同步
# iptables -A INPUT -s 192.168.1.0/24 -m state --state NEW -p udp --dport 123 -j ACCEPT
#打开25端口（SMTP）
# iptables -A INPUT -m state --state NEW -p tcp --dport 25 -j ACCEPT
# 打开DNS端口
# iptables -A INPUT -m state --state NEW -p udp --dport 53 -j ACCEPT
# iptables -A INPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT
#打开http/https端口
# iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT
# iptables -A INPUT -m state --state NEW -p tcp --dport 443 -j ACCEPT
#打开TCP110端口（POP3）
# iptables -A INPUT -m state --state NEW -p tcp --dport 110 -j ACCEPT
#打开TCP143端口
# iptables -A INPUT -m state --state NEW -p tcp --dport 143 -j ACCEPT
#为局域网用户开启Samba訪问
# iptables -A INPUT -s 192.168.1.0/24 -m state --state NEW -p tcp --dport 137 -j ACCEPT
# iptables -A INPUT -s 192.168.1.0/24 -m state --state NEW -p tcp --dport 138 -j ACCEPT
# iptables -A INPUT -s 192.168.1.0/24 -m state --state NEW -p tcp --dport 139 -j ACCEPT
# iptables -A INPUT -s 192.168.1.0/24 -m state --state NEW -p tcp --dport 445 -j ACCEPT
#为局域网用户开启代理server訪问
# iptables -A INPUT -s 192.168.1.0/24 -m state --state NEW -p tcp --dport 3128 -j ACCEPT
#为局域网用户开启MySQL訪问
# iptables -I INPUT -p tcp --dport 3306 -j ACCEPT

版权声明：本文博主原创文章。博客，未经同意不得转载。