IPTables防火墙初步设置

一堆iptables命令,系统环境Debian 7.0 Wheezy。

# 允许所有loopback(lo)通信,拒绝未通过lo发往127/8的数据包。允许之后,WordPress的WP 
# SuperCache插件才能正常使用。
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT

# 允许SSH服务器22端口。如果客户端在120秒内尝试登录5次,屏蔽此客户端120秒
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --name SSH --update --seconds 120 --hitcount 5 --rttl -j DROP
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --name SSH --set -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允许Web服务器80端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# 允许Google DNS服务器数据包通过防火墙,否则无法解析域名(前提是你的服务器使用Google DNS)
iptables -A INPUT -s 8.8.8.8 -j ACCEPT
iptables -A INPUT -s 8.8.4.4 -j ACCEPT

# 允许ICMP ping
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# 允许apt从ftp.us.debian.org和security.debian.org进行更新。但是我发现每次apt-get update
# 的时候,这两个域名解析出的IP似乎都会不同。允许DNS之后,完全可以在命令中写主机名,然后iptables
# 会把解析出的多个IP全部添加到规则中去
iptables -A INPUT -s ftp.us.debian.org -j ACCEPT
iptables -A INPUT -s security.debian.org -j ACCEPT

# 允许在WordPress内安装插件及主题
iptables -A INPUT -s wordpress.org -j ACCEPT
# 允许WordPress仪表盘显示链入链接
iptables -A INPUT -s blogsearch.google.com -j ACCEPT

# 把filter表INPUT链条和FORWARD链条默认策略设置为DROP(阻止所有发往当前主机的数据包)
# OUTPUT链条默认策略为ACCEPT(允许本机向外发数据包),不做改动
iptables -P INPUT DROP
iptables -P FORWARD DROP

目前我只能算iptables初学者,还有好多东西没搞明白。防火墙方面暂时就到这里,手头紧急任务完成后,再回过头来深入研究iptables。

点击量:39

发表评论

电子邮件地址不会被公开。 必填项已用*标注

10 + 1 =