0250simple_firewall.htm

鸟哥LINUX 学习课本

</tr>
</tbody></table>
　
<br>至于要清除规则的话，就得要这样下达指令了！
<br>　
<table bgcolor="#000000" border="1" cols="1" width="550">
<tbody><tr>
<td><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">/sbin/iptables [-t tables] [-FXZ]</font></font>
<br><font size="-1" color="#ff6666" face="SimSun">参数说明：</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-F ：清除所有的已订定的规则；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-X ：杀掉所有使用者建立的
chain (应该说的是 tables ）啰；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-Z ：将所有的
chain 的计数与流量统计都归零</font>
<br><font size="-1" color="#ff6666" face="SimSun">范例：</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">/sbin/iptables -F</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> /sbin/iptables -X</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">/sbin/iptables -Z</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> /sbin/iptables -t nat -F&#160;</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 请注意，如果在远程联机的时候，『这三个指令必须要用
scripts 来连续执行』，</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 不然肯定『会让您自己被主机挡在门外！』</font></td>
</tr>
</tbody></table>
　
<br>一般来说，我们在重新定义防火墙的时候，都会先将规则给他清除掉。还记得我们前面谈到的，防火墙的『<font color="#000066">规则顺序</font>』是有特殊意义的，所以啰，当然先清除掉规则，然后一条一条来设定会比较容易一点啦！
<br>　
<br>
<hr width="100%"><a name="iptables_synx_policy"></a><font color="#000099">定义政策</font>
<br>　
<br>清除规则之后，再接下来就是要设定规则的政策啦！还记得政策指的是什么吗？『<font color="#000066">当您的封包不在您设定的规则之内时，则该封包的通过与否，以
Policy 的设定为准</font>』，通常这个政策<font color="#000066">在 filter
这个 table 的 INPUT 链方面可以定义的比较严格一点</font>，而 FORWARD 与
OUTPUT 则可以订定的松一些！通常我都是将 INPUT 的 policy 定义为 DROP 啦！全部都挡掉再说！
<br>　
<table bgcolor="#000000" border="1" cols="1" width="550">
<tbody><tr>
<td><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">/sbin/iptables [-t tables] [-P] [INPUT,OUTPUT,FORWARD|
PREROUTING,OUTPUT,POSTROUTING] [ACCEPT,DROP]</font></font>
<br><font size="-1" color="#ff6666" face="SimSun">参数说明：</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-P 　　：定义政策(
Policy )。<b>注意，这个 P 为大写啊！</b></font>
<br><font size="-1" color="#ffffcc" face="SimSun">INPUT　：封包为输入主机的方向；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">OUTPUT ：封包为输出主机的方向；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">FORWARD：封包为不进入主机而向外再传输出去的方向；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">PREROUTING
：在进入路由之前进行的工作；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">OUTPUT　 　：封包为输出主机的方向；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">POSTROUTING：在进入路由之后进行的工作。</font>
<br><font size="-1" color="#ff6666" face="SimSun">范例：</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">/sbin/iptables -P&#160;&#160; INPUT
DROP</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">/sbin/iptables -P&#160; OUTPUT ACCEPT</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">/sbin/iptables -P FORWARD ACCEPT</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">/sbin/iptables -t nat -P&#160; PREROUTING
ACCEPT</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> /sbin/iptables -t nat -P&#160;&#160;&#160;&#160;&#160;
OUTPUT ACCEPT</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">/sbin/iptables -t nat -P POSTROUTING
ACCEPT</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 除了 INPUT
之外，其它都给他设定为接受啰！在上面的设定之后，</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 我们的主机发出的封包可以出去，但是任何封包都无法进入，</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 包括回应给我们送出封包的响应封包(ACK)也无法进入喔！
^_^</font></td>
</tr>
</tbody></table>
　
<br>
<hr width="100%"><a name="iptables_synx_add_insert"></a><font color="#000099">增加与插入规则</font>
<br>　
<br>好了，接下来准备要来定义规则了！请注意，在这个小节里面我们<font color="#000066">完全都针对
Linux 本机来</font>进行设定 ( 就是仅针对 filter table 啰！ )，至于 NAT
后面的主机，我们一部分留到<a href="http://linux.vbird.org/linux_server/0320nat.php"> NAT 主机设定</a>再谈，一部分留在本章最后面的进阶篇再谈，这里先学基础的就好了！要设定
iptables 规则的基本语法如下：
<br>　
<table bgcolor="#000000" border="1" cols="1" width="570">
<tbody><tr>
<td><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">iptables [-t filter] [-AI INPUT,OUTPUT,FORWARD]
\</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">&gt;</font><font color="#ffff00">
[-io interface] [-p tcp,udp,icmp,all] [-s IP/network] [--sport ports]&#160;
\</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">&gt;</font><font color="#ffff00">
[-d IP/network] [--dport ports] -j [ACCEPT,DROP]</font></font>
<br><font size="-1" color="#ff6666" face="SimSun">参数说明：</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-A 　：新增加一条规则，该规则增加在最后面，例如原本已经有四条规则，</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　 　使用
-A 就可以加上第五条规则！</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-I　 ：插入一条规则，如果没有设定规则顺序，预设是插入变成第一条规则，</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　 　例如原本有四条规则，使用
-I 则该规则变成第一条，而原本四条变成 2~5</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　INPUT　：规则设定为
filter table 的 INPUT 链</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　OUTPUT ：规则设定为
filter table 的 OUTPUT 链</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　FORWARD：规则设定为
filter table 的 FORWARD 链</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-i　　　&#160;
：设定『封包进入』的网络卡接口</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-o　　　　：设定『封包流出』的网络卡接口</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　interface
：网络卡接口，例如 ppp0, eth0, eth1....</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-p 　：请注意，这是小写呦！封包的协定啦！</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　tcp ：封包为
TCP 协定的封包；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　upd ：封包为
UDP 协定的封包；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　icmp：封包为
ICMP 协定、</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　all ：表示为所有的封包！</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-s&#160;&#160;&#160;&#160;
：来源封包的 IP 或者是 Network ( 网域 )；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">--sport：来源封包的
port 号码，也可以使用 port1:port2 如 21:23</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　　 同时通过
21,22,23 的意思</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-d&#160;&#160;&#160;&#160;
：目标主机的 IP 或者是 Network ( 网域 )；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">--dport：目标主机的
port 号码；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-j 　　：动作，可以接底下的动作；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　ACCEPT ：接受该封包</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　DROP　 ：丢弃封包</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　LOG　　：将该封包的信息记录下来
(预设记录到 /var/log/messages 档案)</font>
<br><font size="-1" color="#ff6666" face="SimSun">　</font>
<br><font size="-1" color="#ff6666" face="SimSun">范例：</font>
<br><font size="-1" color="#ff6666" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例一：所有的来自
lo 这个界面的封包，都予以接受</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">iptables -A INPUT -i lo -j ACCEPT</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 注意一下，因为
-d, --dport, -s, --sport 等等参数都没有设定，这表示：</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 不论封包来自何处或去到哪里，只要是来自
lo 这个界面，就予以接受！</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 这个观念挺重要的，就是『<b>没有设定的规定，则表示该规定完全接受</b>』的意思！</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 例如这个案例当中，关于
-s, -d...等等的参数没有规定时！</font>
<br><font size="-1" color="#ffffff" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例二：来自
192.168.0.1 这个 IP 的封包都予以接受：</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">iptables -A INPUT -i eth0 -p tcp -s
192.168.0.1 -j ACCEPT</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 新增一条规则，只要是来自于
192.168.0.1 的封包，不论他要去哪里，</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 使用的是那个协议
(port) 主机都会予以接受的意思～</font>
<br><font size="-1" color="#ffff99" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例三：来自
192.168.1.0 这个 C Class 的网域的任何一部计算机，就予以接受！</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">iptables -A INPUT -i eth0 -p tcp -s
192.168.1.0/24 -j ACCEPT</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 这个是网域的写法喔！稍微注意一下的是，在范例二当中我们仅针对一个
IP ，</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 至于这个范例当中，则是针对整个网域来开放吶！而网域的写法可以是：</font>
<br><font size="-1" face="SimSun"><font color="#ff6666"># </font><b><font color="#ffffcc">192.168.1.0/24</font></b><font color="#ff6666">
也可以是 </font><b><font color="#ffffcc">192.168.1.0/255.255.255.0</font></b><font color="#ff6666">
都能够接受喔！</font></font>
<br><font size="-1" color="#ffff99" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例四：来自
192.168.1.25 的封包都给他丢弃去！</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">iptables -A INPUT -i eth0 -p tcp -s
192.168.1.25 -j DROP</font></font>