配置一个生产的iptables防火墙规则

ゞ浴缸里的玫瑰 2022-07-11 04:23 251阅读 0赞

注意执行顺序，-A表示Append，是在所有规则之后添加新的规则，iptables是从上往下匹配规则，成功后则不继续匹配，所以建议匹配量最大的规则放在最上面。

## 一、规则配置 ##

### 1.清空原有规则（iptables会有一些初始规则配置） ###

iptables -F  #清空所有规则
    iptables -X  #清空用户自定义的空链（iptables -N xx创建）
    iptables -Z  #清空计数

### 2.添加正常使用 ###

#开放对外提供服务的端口，建议匹配量最大的放在规则最上端，效率最高
    iptables -A INPUT -p tcp --dport 80 -j ACCEPT
    #添加ssh访问限制，使用白名单
    iptables -A INPUT -p tcp -s 172.16.32.1 --dport 22 -j ACCEPT
    #如果是本机发起的连接相关的包，放行（与之对应的状态是NEW，也就是外网对本机发起的请求，不只是TCP协议，UDP等无连接状态的协议iptables也会映射为这3个状态）
    #如果不加本条配置，则由本机发出的包无法接收返回包（INPUT链默认DROP的情况下），典型的，ping外网是不通的
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    #允许本地回环地址访问
    iptables -A INPUT -i lo -j ACCEPT

### 3.添加默认配置 ###

iptables -P INPUT DROP    #默认不允许进包
    iptables -P FORWARD DROP  #默认不允许转发包
    iptables -P OUTPUT ACCEPT #默认允许本地包出去

默认配置也可以在链的最后加一条通配，如：

iptables -A INPUT -j DROP  #drop所有包，其他规则未匹配就丢弃

或

iptables -A INPUT -j REJECT --reject-with icmp-host-unreachable  #其他规则未匹配就返回一个icmp包，后面跟的是包类型

## 二、保存规则 ##

### 1.查看现有配置规则 ###

#因为没有保存为文件，所以只能通过命令查看
    service iptables status

### 2.保存规则 ###

#如果不保存，在iptables重启后，配置的规则会丢失
    service iptables save

#保存的文件在/etc/sysconfig/iptables文件中
    [root@wf sysconfig]# cat /etc/sysconfig/iptables
    # Generated by iptables-save v1.4.7 on Mon Jan 16 13:41:35 2017
    *filter
    :INPUT DROP [0:0]
    :FORWARD DROP [0:0]
    :OUTPUT ACCEPT [55:9248]
    -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT 
    -A INPUT -s 172.16.32.1/32 -p tcp -m tcp --dport 22 -j ACCEPT 
    -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
    -A INPUT -i lo -j ACCEPT 
    -A INPUT -j REJECT --reject-with icmp-host-unreachable 
    COMMIT
    # Completed on Mon Jan 16 13:41:35 2017