你好,游客 登录 注册 搜索
背景:
阅读新闻

iptables的备份、恢复及防火墙脚本的基本使用

[日期:2013-08-10] 来源:Linux社区  作者:wenzhongxiang [字体: ]

二:使用防火墙脚本:

防火墙脚本的优势:便于使用shell变量、程序控制逻辑;作为独立的文件在需要重用、移植使用时会非常方便。

1.定义基本变量:

将防火墙的网卡、IP地址、局域网段、iptables命令的路径等定义为变量:

INET_IF="eth0" ###外网接口

INET_IP="173.16.16.1" ###外网接口地址

LAN_IF="eth1" ###内网接口

LAN_IP="192.168.10.1" ###内网接口地址

LAN_NET="192.168.10.0/24" ###内网网段

LAN_WWW_IP="192.168.10.2" ###网站服务器的内部地址

IPT="/sbin/iptables" ###iptables命令的路径

MOD="/sbin/modprobe" ###modprobe命令的路径

CTL="/sbin/sysctl" ###sysctl命令的路径

2.加载内核模块(5.5系统为例):

(与FTP发布相关的ip_nat_ftpip_conntrack_ftp)需手动进行加载。

$MOD ip_tables ###iptables基本模块

$MOD ip_conntrack ###连接跟踪模块

$MOD ipt_REJECT ###拒绝操作模块

$MOD ipt_LOG ###日志记录模块

$MOD ipt_iprange ###支持IP范围匹配

$MOD xt_tcpudp ###支持TCPUDP协议

$MOD xt_state ###支持状态匹配

$MOD xt_multiport ###支持多端口匹配

$MOD xt_mac ###支持MAC地址匹配

$MOD ip_nat_ftp ###支持FTP地址转换

$MOD ip_conntrack_ftp ###支持FTP连接跟踪

3.调整/proc参数:

  • /procLinuxUNIX中的一种伪文件系统机制,提供了访问内核运行结构、改变内核设置的实时数据。

  • ext4NFSFAT32等文件系统不同,/proc中的数据存放在内存而不是硬盘上。

  • /proc/sys下存放着与系统相关的可控参数,可以直接用来改变内核的行为,通常作为Linux的内核调优的实时入口。

  • 也可以写到/etc/sysctl.conf文件中,sysctl-p使修改生效。

$CTL -w net.ipv4.ip_forward=1 ###打开路由转发功能

$CTL -w net.ipv4.ip_default_ttl=128 ###修改ICMP响应超时间

$CTL -w net.ipv4.icmp_echo_ignore_all=1 ###拒绝响应ICMP请求

$CTL -w net.ipv4.icmp_echo_ignore_broadcasts=1 ###拒绝响应ICMP广播

$CTL -w net.ipv4.tcp_syncookies=1 ###启用SYN Cookie机制

$CTL -w net.ipv4.tcp_syn_retries=3 ###最大SYN请求重试次数

$CTL -w net.ipv4.tcp_synack_retries=3 ###最大ACK确认重试次数

$CTL -w net.ipv4.tcp_fin_timeout=60 ###TCP连接等待超时

$CTL -w net.ipv4.tcp_max_syn_backlog=3200 ###SYN请求的队列长度

注解:

ICMP相关的参数调整可使本机忽略其他主机的ping测试,TCP相关的内核参数调整可适当提高本机抗DoS攻击的能力

4.设置具体的iptables规则:

aa.清理已有的规则(避免已有防火墙规则造成的干扰):

删除所有表中用户自定义的链、清空所有链内的规则:

实际生产环境中,防火墙过滤规则建议采取“默认拒绝”的策略。

bb.设置nat表中的各种规则、设置filter表中的各种规则(根据实际需求自行添加):

  • iptablesnat表主要用在Linux网关服务器中,主机型防火墙方案中很少会用到。

  • iptablesfilter表主要用来过滤数据包,Linux网关或Linux服务器都经常用到。

主机型防火墙主要使用INPUTOUTPUT链,网络型防火墙主要使用FORWARD

cc.为脚本文件添加执行权限,并设置自启动,并将脚本路径写入到/etc/rc.local文件中:

使用IP地址黑、白名单

黑白名单需要提前建立ip地址文件,同时需要注意的是:必须严格控制访问ip地址名单列表的权限。

最后,通过对iptables这三部分的介绍,我们可以根据需求进行简单的、亦或复杂的批量部署的主机型防火墙脚本及网络型防火墙脚本编写。

linux
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数

       

评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款