一、iptables使用场景:
            内网情况下使用;在大并发的情况下不要开iptables否则影响性能
二、iptables出现下面的问题:
            在yewufangwenbijiaoman/var/log/message中出现 ip(nf)_conntrack: table full 使得企业访问较慢的解决方法:          
vim /etc/sysctl.conf
#加大 ip_conntrack_max 值
net.ipv4.ip_conntrack_max =393216
net.ipv4.netfilter.ip_conntrack_max =393216#降低 ip_conntrack timeout时间
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established =300
net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait =120
net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait =60
net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait =120

三、安全优化
 尽可能不给服务器分配外网IP,可以通过代理转发;并发布不是特别大的外网ip环境,尽量开启防火墙
四、iptables简介
 基于数据包过滤的防火墙工具,主要工作在osi模型的二三四层(经过内核编译可以实现七层控制)
五、基本名词介绍
 四表:filter(INPUT,FORWARD,OUTPUT),NAT(OUTPUT,PREROUTING,POSTROUTING),         MANGLE(五链),RAW
 五链(要大写):INPUT,OUTPUT,FORWARD,PREROUTING,POSTROUTING
 链(chain)是规则(policy)的容器
 六、详细介绍
  filter表:主要和主机自身相关,真正负责防火墙功能的(过滤流入流出主机的数据包)。
         INPUT:负责过滤所有进入主机的数据包(最主要)
         FORWARD:负责流经主机的数据包
         OUTPUT:处理所有源地址都是本机地址的数据包(也就是主机发出去的数据包)
  nat表:主要负责网络地址之间的转换,包括来源和目的端口以及ip(PREROUTING),可以共享上网(POSTROUTING),端口转换,企业路由和网关
          OUTPUT:和从主机发出去的数据包有关,改变数据包的目的地址
          PREROUTING:在数据包到达防火墙时进行路由判断之前的的规则,作用是改变数据包的目的地址,目的端口等
          POSTROUTING:离开防火墙时进行路由判断之后执行的规则,作用是改变数据包的源地址和源端口
   mangle:路由标记(TTL,TOS,mark)。。。。
七、iptables的工作流程
       采用的是数据包过滤的机制,会对请求的数据包的包头数据进行分析,按照规则从上到下匹配

小结:防火墙是层层过滤的,通过匹配上规则来允许或者组织数据包的走向,默认规则是最后处理的。
八、iptables 表和链的工作流程图

总结:在使用nat表的时候要注意和nat的PREROUTING,filter的FORWARD和nat的POSTROUTING一起使用
     在使用filter的时候只是在INPUT链加以控制即可
九、实战演练
(0)、查看防火墙:
iptables -L -n (-v -x)
iptables -L -n --line-numbers  带序号显示配合删除
无法启动iptables的解决(setup)
lsmod | egrep "nat | filter"    查看加载的内核文件
modprobe +内核加载文件          可以添加内核加载文件
(1)、清理参数
iptables -F :清除所有的防火墙规则
iptables -X [chain] :删除自定义的链       iptables -N chain    新建自定义的链
iptables -Z: 对链计数器的清零
(2)、禁止规则
iptables -t filter -A INPUT -p tcp --dport 22 -j DROP 禁止ssh远程登录
-t 指定表 -A 追加 -p 指定协议 --dport 指定目的端口 -j 采取的方式
掉ssh的处理方法:下机房,管理卡,计划任务关防火墙,
iptables -t filter -A INPUT -p tcp --dport 80 -j DROP 会造成找不到网页不会造成404
(3)、添加规则
封IP实战演练:
首先要分析日志中的ip连接数:
awk '{print $1}' /opt/nginx/access.log | sort |uniq -c | sort -rn -k1
然后再封ip
iptables -I INPUT -p tcp -s IP --dport 80 -j DROP 将此规则置顶
iptables -I INPUT 2 -p tcp -s IP --dport 8080 -j DROP 将此规则放到第二位
iptables -t filter -A INPUT -i eth0 -s 172.1.1.2 -j DROP 封ip
禁止某个网段连入:不管什么服务都连不进来
iptables -A INPUT -i eth0 -s 172.1.1.0/24 -j DROP
取消该网段连入
iptables -A INPUT -i eth0 !-s 172.1.1.0/24 -j DROP
封一下ICMP协议(不让ping),其他服务可以使用:
iptables -A INPUT -p icmp-type 8(any) -i eth0 !-s 172.1.1.2 -j DROP
更改ssh和rootuankouzhihoude防火墙操作
iptables -A INPUT -p tcp --dport 65535 ! -s 172.1.1.0/24 -j DROP
封掉3306端口
iptables -A INPUT -p tcp --dport 3306 -j DROP
匹配DNS端口:tcp&udp
iptables -A INPUT -p tcp --sport 53
iptables -A INPUT -p udp --sport 53
匹配指定端口以外的端口:
iptables -A INPUT -p tcp --dport ! 22
iptables -A INPUT -p tcp ! --doprt 22 -s 172.1.1.0/24 -j DROP
端口匹配范围:
iptables -A INPUT -p tcp --sport 22:80
iptables -A INPUT -p tcp -m mulport --dport 21,25,24,80 -j ACCEPT
匹配网络状态
-m state --state
       NEW:建立的或者将启动新的连接
       ESTABLISHED:已经建立的连接
       RELATED:正在启动新连接
       INVALID:非法连接
       FTP
允许关联的状态包:
iptables -A INPUT -m state --state ESTABLISHE,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHE,RELATED -j ACCEPT
-m limit 
  --limit n/{second/minute/hour}:指定时间内的请求速度“n”为速率,后面的时间分别是秒分时
  --limit-burst [n]:在同一时间允许通过的请求“n”位数字,不能指定为默认的5
 限制每分钟请求和并发不超过6个
 iptables -A INPUT -s 172.1.1.0/24 -d 172.1.1.2 -p icmp --icmp-type 8 -m limit --limit 20/min --limit-burst 6 -j ACCEPT
 
 iptables -A OUTPUT -s 172.1.1.2 -d 172.1.1.0/24 -p icmp --icmp-type 0 -j ACCEPT
 
 
 企业实战
 企业及防火前实战模式:逛公园模式和看电影模式
 看电影模式:
 (1)清理所有的防火墙规则
 iptables -F
 iptables -X
 iptables -Z
(2)设置ssh登录
iptables -A INPUT -p tcp --dport 65535 -s 172.1.1.0/24 -j ACCEPT
(3)允许本机lo通信机制
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
(4)设置默认的防火墙允许和禁止规则
iptables -P OUTPUT ACCEPT
iptables --policy FORWARD DROP
iptables --policy INPUT DROP
(5)开启信任的网段
iptables -A INPUT -s 172.1.1.1/24 -p all -j ACCEPT     
iptables -A INPUT -s 172.168.1.2/24 -p all -j ACCEPT
这边开启的信任包括:办公室指定ip,idc内网ip,其他机房的ip
(6)允许业务访问的端口开启
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type any -j ACCEPT(可以聚聚ping的)
(7)允许关联的状态包通过(web服务不要使用FTP服务)
iptables -A INPUT -m state --state ESTABLISHED,RELEATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
 
使用nmap测试开启的端口
nmap IP -p 1-65535
(8)永久保存配置
/etc/init.d/iptables save
(9)企业面试规则
自定义链,处理syn攻击
iptables -N syn-flood
iptables -A INPUT -i eth0 -syn -j syn-flood
iptabls -A syn-flood -m limit --limit 5000/s --limit-burst 200 -j RETURN
iptables -A syn-flood DROP
 
 
自动封IP脚本(计划任务结合执行)
#!/bin/sh
/bin/netstat -na | grep ESTABLISHED | awk {print $5} |awk -F: '{print $1}' |sort |uniq -c |sort -rn | head -10| grep -v -E '192.168|127.0' |awk '{if ($2!=null && $1>4) {print $2}}' > /home/shell/dropip
for i in $(cat /home/shell/dropip)
do
    /sbin/iptables -I INPUT -s $i -j DROP
    echo "$i kill at `date`" >> /var/log/ddos.txt
done
 
常用服务的iptables设置
##nagios监控
iptables -A INPUT -s 172.1.1.0/24 -p tcp --dport 5666 -j ACCEPT
##mysql
iptables -A INPUT -s 172.1.1.0/24 -p tcp --dport 3306 -j ACCEPT
iptables -A INPUT -s 172.1.1.0/24 -p tcp --dport 3307 -j ACCEPT
###snmp
iptables -A INPUT -s 172.1.1.0/24 -p UDP --dport 161 -j ACCEPT
##rsync
iptables -A INPUT -s 171.0.0.1/24 -p tcp -m tcp --dport 873 -j ACCEPT
##nfs2049,portmap 111
iptables -A INPUT -s 172.1.1.0/24 -p udp -m multiport --dport 111,892,2049 -j ACCEPT
iptables -A INPUT -s 172.1.1.0/24 -p tcp -m multiport --dport 111,892,2049 -j ACCEPT
##icmp
iptables -A INPUT -s 172.1.1.0/24 -p icmp -m icmp --icmp-type any -j ACCEPT
 
 
网关服务器配置:
    需要具备的条件
        (1)、物理条件是具备双网卡(eth0和外网的网关要有,eth1是内网且不具备网关)
        (2)、网关服务器要能上网
        (3)、开启转发功能。修改/etc/sysctl.conf下的net.ipv4.ip_forward = 1,之后再sysctrl -p使得配置生效
        (4)、iptables的forward链允许转发[iptables -P INPUT ACCEPT]
        (5)、清空防火墙规则iptables -F;iptables -P FORWARD ACCEPT
        (6)、载入模块
        先查看lsmod |egrep ^ip
        在导入
        modprobe ip_contrack
        modprobe ip_nat_ftp
        modprobe ipt_state
        modprobe ip_contrack_ftp
        modprobe iptable_filter
        (7)、然后再网关服务器上执行
        iptables -t nat -A POSTROUTING -s 172.1.1.0/24 -o eth0 -j SNAT --to-source 外网IP(路由器内网ip)
 
        iptables -t nat -A POSTROUTING -s 172.1.1.0/24 -j MASQUERADE
 
 
        (8)、访问外网映射到内网的服务器上
        iptables -t nat -A PREROUTING -d 服务器内网IP -p tcp --dport 80 -j DNAT --to-destination 内网IP:端口
 
iptables的企业案例:
    (1)、linux主机防火墙(filter)
    (2)、共享上网(nat postrouting)
    (3)、web地址和端口映射
    (4)、ip的一对一映射
    企业应用:实现外网ip(124.42.34.112)一对一映射到内网的server(10.0.0.8)上
    网关ipeth0:124.42.60.109 eth1:10.0.0.254
首先在路由网关上绑定124.42.34.112,可以用别名的方式:
iptables -t nat -A PREROUTING -d 124.42.34.112 -j DNAT --to-destination 10.0.0.8
iptables -t nat -A POSTROUTING -s 10.0.0.8 -o eth0 -j SNAT --to-source 124.42.34.112
iptables -t nat -A POSTROUTING -s 10.0.0.0/255.255.255.0 -d 124.24.34.112 -j SNAT --to-source 10.0.0.254
 
 
映射多个外网ip上网:
iptables -t nat -A POSTROUTING -s 10.0.0.0/255.255.255.0 -o eth0 -j SNAT 124.42.60.11 -124.42.60.16
iptables -t NAT -A POSTROUTING -s 172.0.0.0/255.255.255.0 -o eth0 -j SNAT 124.42.60.103-124.42.60.106
 
 
 
大于254台机器的网段划分,route命令讲解
oldboy.blog.51cto.com下搜索route
 
 
 

iptables的实战整理的更多相关文章

  1. 实用Linux命令,不求最全但求实用-------iptables命令实战

    开始配置 我们来配置一个filter表的防火墙. (1)查看本机关于IPTABLES的设置情况 [root@tp ~]# iptables -L -n Chain INPUT (policy ACCE ...

  2. 企业级iptables防火墙实战

    iptables生产中在内网一般是关闭的,外围需要开启 大并发情况下,不能开启iptables,会影响性能,使用硬件外网防火墙 学好iptables的基础 1,OSI7层模型以及不同层对应哪些协议 2 ...

  3. iptables基础实战练习

    目录: 一.基本规则练习 二.SNAT源地址转移 三.DNAT目标地址转移 一.基础规则练习 (1) 放行ssh (端口:22) 1 iptables -A INPUT -d 192.168.42.1 ...

  4. mysql优化整理(索引)

    什么是索引? 索引是表记录的单个或多个字段重新组织的一种方法,其目的是提高数据库的查询速度,本质上就是一种数据结构. 索引的类型:primary(主键).secondary(其他) 索引的数据结构 I ...

  5. IPtables/NetFilter

    前提知识 任何主机若要与非同网络中的主机通信,则必须将报文发送到默认网关: 对Linux而言,IP地址是属于主机(内核中)的,不属于网卡,只要属于当前主机的IP地址间,都可直接响应,不称为转发 私有地 ...

  6. iptables服务器主机防火墙

    iptables参数说明: Commands: Either long or short options are allowed. --append -A chain 链尾部追加一条规则 --dele ...

  7. Iptables的命令与用法

    目录 一:iptables的用法 1.iptables简介 二:Iptables链的概念 1.那四个表,有哪些作用? 2.那五条链,运行在那些地方? 3.Iptables流程图 三:iptables的 ...

  8. (1)学习笔记 ) ASP.NET CORE微服务 Micro-Service ---- 什么是微服务架构,.netCore微服务选型

    开发工具:VS2017 .Net Core 2.1 什么是微服务?单体结构: 缺点: 1)只能采用同一种技术,很难用不同的语言或者语言不同版本开发不同模块: 2)系统耦合性强,一旦其中一个模块有问题, ...

  9. (1).NET CORE微服务 Micro-Service ---- 什么是微服务架构,.netCore微服务选型

    开发工具:VS2017 .Net Core 2.1 什么是微服务?单体结构: 缺点:1)只能采用同一种技术,很难用不同的语言或者语言不同版本开发不同模块:2)系统耦合性强,一旦其中一个模块有问题,整个 ...

随机推荐

  1. HTML块

    <!DOCTYPE html> <html> <head> <meta http-equiv="Content-Type" content ...

  2. pdo如何防止 sql注入

    我们使用传统的 mysql_connect .mysql_query方法来连接查询数据库时,如果过滤不严,就有SQL注入风险,导致网站被攻击,失去控制.虽然可以用 mysql_real_escape_ ...

  3. Hadoop MapReduce Next Generation - Setting up a Single Node Cluster

    Hadoop MapReduce Next Generation - Setting up a Single Node Cluster. Purpose This document describes ...

  4. STM32库函数开发使用总结

    一.外设常具备的几类寄存器 控制寄存器xxx_CR (Control/Configuration Register): 用来配置.控制响应外设的工作方式,如GPIOx_CRL.AFIO_EXTICR1 ...

  5. MINA源码阅读之ACP

    Processor在XXAcceptor以及XXConnector中所扮演的只能就是:作为Acceptor以及Connetor所创建的Session的Processor: IoAcceptor作为他所 ...

  6. Net Core Docker

    Net Core Docker轻量级的web框架   .net core现在已经有了大的发展,虽然笔者现在已经从事python开发,但是一直在关注.net的发展,在逛博客园的时候,发现有大家都会提到N ...

  7. angular分页指令

    目前的多个项目中都用到分页这个功能,为了提高可复用性,我特地分离出来写了个分页的指令.直接贴代码,详情如下: index.html <body id="sBill" ng-c ...

  8. iOS -一些常用的方法

    1.获取本地的语言 + (NSString *)getLocalLanguage { NSString *language = [[[NSUserDefaults standardUserDefaul ...

  9. 打开网页自动弹出qq客户端

    新建js后调用即可,打开网站自动弹出qq对话框,若qq为关闭状态则启动qq,之后弹出对话框. document.write("<iframe src='tencent://messag ...

  10. 意犹未尽而来的第一篇Android 逆向

    游戏:咕噜王国大冒险 平台:android 目标: 1. 去除乱七八糟提示(本篇目标) 2. 去除google弹窗 3. 破解“all stages” 破文开始: 1. 使用APKIDE反编译:搜索字 ...