IPTables防火墙初步设置

一堆iptables命令，系统环境Debian 7.0 Wheezy。

# 允许所有loopback（lo）通信，拒绝未通过lo发往127/8的数据包。允许之后，WordPress的WP 
# SuperCache插件才能正常使用。
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT

# 允许SSH服务器22端口。如果客户端在120秒内尝试登录5次，屏蔽此客户端120秒
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --name SSH --update --seconds 120 --hitcount 5 --rttl -j DROP
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --name SSH --set -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允许Web服务器80端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# 允许Google DNS服务器数据包通过防火墙，否则无法解析域名（前提是你的服务器使用Google DNS）
iptables -A INPUT -s 8.8.8.8 -j ACCEPT
iptables -A INPUT -s 8.8.4.4 -j ACCEPT

# 允许ICMP ping
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# 允许apt从ftp.us.debian.org和security.debian.org进行更新。但是我发现每次apt-get update
# 的时候，这两个域名解析出的IP似乎都会不同。允许DNS之后，完全可以在命令中写主机名，然后iptables
# 会把解析出的多个IP全部添加到规则中去
iptables -A INPUT -s ftp.us.debian.org -j ACCEPT
iptables -A INPUT -s security.debian.org -j ACCEPT

# 允许在WordPress内安装插件及主题
iptables -A INPUT -s wordpress.org -j ACCEPT
# 允许WordPress仪表盘显示链入链接
iptables -A INPUT -s blogsearch.google.com -j ACCEPT

# 把filter表INPUT链条和FORWARD链条默认策略设置为DROP（阻止所有发往当前主机的数据包）
# OUTPUT链条默认策略为ACCEPT（允许本机向外发数据包），不做改动
iptables -P INPUT DROP
iptables -P FORWARD DROP

目前我只能算iptables初学者，还有好多东西没搞明白。防火墙方面暂时就到这里，手头紧急任务完成后，再回过头来深入研究iptables。

Visits: 205