iptables -I FORWARD  -m mac --mac-source  60:14:B3:7D:6B:39 -j DROP 上面这条命令测试过是可行,禁止这个mac地址上网,马上禁止马上生效iptables -I FORWARD  -m mac --mac-source 60:14:B3:7D:6B:39 -j ACCEPT解除禁止-----------------------------------------------------------------------------

1.关闭所有的 INPUT FORWARD OUTPUT 只对某些端口开放. 下面是命令实现: iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP 再用命令 iptables -L -n 查看 是否设置好, 好看到全部 DROP 了 这样的设置好了,我们只是临时的, 重启服务器还是会恢复原来没有设置的状态 还要使用 service iptables save 进行保存 看到信息 firewall rule

iptables禁止ping入 以下设置将允许自己往外ping 不允许别人ping自己 vi /etc/sysconfig/iptables 加入如下2条规则 -A INPUT -p icmp --icmp-type 0 -j ACCEPT -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT 重启iptables service iptables restart

背景:服务器A:103.110.114.8/192.168.1.8,有外网ip,是IDC的一台服务器服务器B:192.168.1.150,没有外网ip,A服务器是它的宿主机,能相互ping通服务器C:192.168.9.120,是公司的一台服务器,能上网.服务器C可以直接ssh登陆A服务器,但是不能直接登陆服务器B,因为它们处在两个不同的局域网内.现在要求能从服务器C上ssh登陆服务器B,并且做ssh无密码信任跳转关系.这就需要用到iptables的NAT端口转发功能了~~~~~思路:让服务器C

当分析出网络中某台机器中毒时而有不知道它的具体位置,我们可以通过获取其MAC地址然后在交换机上禁止其MAC来达到隔离它的效果.通过ARP表查询IP地址对应的MAC地址,再将该MAC地址加入黑名单过滤. 黑洞MAC地址表项:由用户手工配置的一类特殊的MAC地址,当交换机接收到源MAC地址或目的MAC地址为黑洞MAC地址的报文时,会将该报文丢弃. Huawei/H3C: [Switch]display arp 1.1.1.1[Switch]mac-address blackhole 0001-000

设定本机2121端口转发到21端口 iptables -t nat -A PREROUTING -p tcp -i eth0 -d -j DNAT --to iptables -t nat -I POSTROUTING -d -j SNAT --to-source 10.136.57.57 cat /porc/sys/net/ipv4/ip_forward 开是否是1echo 1 > /porc/sys/net/ipv4/ip_forward #这是个暂时的做法,重启后就会失效,好的做法是:vi

环境: CentOS6.5,192.168.1.10,外网双向通信,绑定域名zlzkj.org: WinServer2008,192.168.1.11,外网不能直接访问到该机器,但ftp.远程桌面.MySQL想开放到zlzkj.org上访问: 目标: ftp:192.168.1.10的21 转发到 192.168.1.11的21: 远程桌面:192.168.1.10的3389 转发到 192.168.1.11的3389: MySQL:192.168.1.10的3361 转发到 192.168.1

这里举个例子,以ping为案例:禁止别人ping自己,但允许自己ping别人. [root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 8 -d 192.168.0.130 -j DROP [root@localhost ~]# iptables -A OUTPUT -p icmp --icmp-type 0 -s localip -j ACCEPT 基本上设置第一条就ok了,主要是-d  ,目标ip.

如果项目同时使用了nginx反向代理服务器和tomcat等web服务器,并且两台服务器都暴露于公网中,那么通常我们会禁止外网直接访问tomcat,因为以下原因: 1.如果可以直接访问tomcat,那么则绕过了nginx,nginx的静态服务等都将失效. 2.如果tomcat的8080端口可以正常访问网站,会导致搜索引擎收录类似http://www.xxx.com:8080之类的网页,不利于seo优化. 因此需要直接禁止用户通过http://www.xxx.com:8080这种方式访问网站,在Li

1.关闭所有的 INPUT FORWARD OUTPUT 只对某些端口开放.下面是命令实现: iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP 再用命令 iptables -L -n 查看 是否设置好, 好看到全部 DROP 了 这样的设置好了,我们只是临时的, 重启服务器还是会恢复原来没有设置的状态还要使用 service iptables save 进行保存 service iptables sav

1.阻止MAC地址为XX:XX:XX:XX:XX:XX主机的所有通信: iptables -A INPUT -s 192.168.1.21 -m mac --mac-source XX:XX:XX:XX:XX:XX -j ACCEPT [!] --mac-source address Match source MAC address. It must be of the form XX:XX:XX:XX:XX:XX. Note that this only makes sense for pac

场景假如你在用 resin 调试一个 Web 程序,需要频繁地重启 resin.这个 Web 程序需要开在 80 端口上,而 Linux 限制 1024 以下的端口必须有 root 权限才能开启.但是你又不愿意在调程序的时候总是开着一个 root 终端.在这种情况下,你可以把 resin 开在默认的 8080 端口上,然后使用 iptables 来实现和真的把服务开在 80 端口上一样的效果.方法将与 80 端口的 TCP 连接转接到本地的 8080 端口上.使用 DNAT (Destinati

1.将发向HostA:PortA的请求转发到HostB:PortB iptables -t nat -A PREROUTING -p tcp -i eth0 -d HostA --dport PortA -j DNAT --to HostB:PortB iptables -t nat -A POSTROUTING -j MASQUERADE echo 1 > echo 1 > /proc/sys/net/ipv4/ip_forward

介绍 通过iptables做nat转发实现所有内网服务器上网. 操作 首先开启可以上网的服务器上的内核路由转发功能.这里我们更改/etc/sysctl.conf 配置文件. [root@web1 /]# sed -i '$a net.ipv4.ip_forward = 1' /etc/sysctl.conf [root@web1 /]# cat /etc/sysctl.conf # sysctl settings are defined through files in # /usr/lib/s

iptables端口转发指令:iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-port 8443 iptables配置文件位置 :cat /etc/sysctl.conf vim /etc/sysctl.conf (i:进入编辑模式 esc :退出编辑模式 shift+q :命令行模式 wq:保存退出) 开放某端口:iptables -I INPUT -p tcp --dport 80 -j ACCEPT 关闭某

1.背景 一些情况下,在linux上面我们想使用80-1024之间的端口,这个时候需要root权限. 当时root权限容易被提权,特别是早起那些Struct2,漏洞爆出的时候,一抓一个准-root权限,然后系统沦陷,被黑客控制住了. 开启端口转发: vim /etc/sysctl.conf #前面的#注释去掉 net.ipv4.ip_forward= 当然不使用root,低权限账号也是可以使用80-1024之间端口的,我们需要在防火墙配置nat规则. 例如把外网访问来的TCP 80端口重定向到8

要使192.168.52.0/24网络内的计算机(这此计算机的网关应设为192.168.52.10)强制访问指定的站点,在做为防火墙的计算机(192.168.52.10)上应添加以下规则: 1. 打开ip包转发功能 echo 1 > /proc/sys/net/ipv4/ip_forward 2. 在NAT/防火墙计算机上的NAT表中添加目的地址转换规则: iptables -t nat -I PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-d

除192.168.62.1外,禁止其它人ping我的主机 #iptables -A INPUT -i eth0 -s 192.168.62.1/32 -p icmp -m icmp --icmp-type echo-request -j ACCEPT #iptables -A INPUT -i eth0 -p icmp --icmp-type echo-request –j ?DROP 或 #iptables -A INPUT -i eth0 -s 192.168.62.1/32 -p icmp

只允许在192.168.62.1上使用ssh远程登录,从其它计算机上禁止使用ssh #iptables -A INPUT -s 192.168.62.1 -p tcp --dport 22 -j ACCEPT #iptables -A INPUT -p tcp --dport 22 -j DROP

iptables -t nat -I PREROUTING -p tcp -m tcp --dport 83 -j DNAT --to-destination 192.168.1.55:443iptables -t nat -I POSTROUTING -d 192.168.1.55 -p tcp -m tcp --dport 443 -j SNAT --to-source 192.168.1.49 就是将路由器192.168.1.49的83端口转发到192.168.1.55的443端口