0250simple_firewall.htm

鸟哥LINUX 学习课本

<br><font size="-1" color="#ffff99" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例五：只要是想进入本机的
port 21 的封包就给他丢弃</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">iptables -A INPUT -i eth0 -p tcp --dport
21 -j DROP</font></font>
<br><font size="-1" color="#ffff99" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例六：来自
192.168.0.24 这个 IP 的封包，想要到我的 137,138,139 埠口时，都接受</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> iptables -A INPUT -i eth0 -p tcp -s
192.168.0.24&#160; \</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">&gt; </font><font color="#ffff00">--dport
137:139 -j ACCEPT</font></font>
<br><font size="-1" color="#ffff00" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例七：只要是接触到我主机的
port 25 就将该封包记录 (LOG) 下来</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> iptables -A INPUT -p tcp --dport 25
-j LOG</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 还是请特别注意到『规则的顺序排列』的问题喔！</font></td>
</tr>
</tbody></table>
　
<br>如上面的基本语法所示，我们的 iptables 可以规定封包『<font color="#000066">来自哪里、要去哪里、使用什么协议(port
number)</font>』等等的信息呢！所以他的功能就真的是挺强大的啊！而除了上述的功能之外，我们不是谈过，好像还可以使用网络卡的硬件地址(MAC)来进行分析吗？而且，那个
ping 的指令响应封包的 ICMP 协议也可以进行设定喔！此外，TCP 封包 Header
上面的 SYN 旗标的功能与否，也能够设定呢！底下谈一谈这些更深入的规则喔！
<br>　
<table bgcolor="#000000" border="1" cols="1" width="570">
<tbody><tr>
<td><font size="-1" color="#ff6666" face="SimSun">iptables 的其它相关参数说明：</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">[!] --syn ：这个设定仅能用于
-p tcp 的规则中，因为 TCP 封包有 syn 的旗标存</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　在啊！当
TCP 封包存有 syn 旗标，表示这个联机是对方『主动』连过来的！</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　若于 --syn
之前加上 ! 表示该封包不带有 syn 的意思～(刚好相反之意！)</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例一：将来自
192.168.100.200 的主动联机封包丢弃：</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> iptables -A INPUT -p tcp -i eth0 -s
192.168.1.235&#160; \</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">&gt; </font><font color="#ffff00">--syn
-j DROP</font></font>
<br><font size="-1" color="#ffffff" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">--icmp-type：可以管制
ICMP 封包的某些类型！还记得我们在 <a href="http://linux.vbird.org/linux_server/0110network_basic.php#packet_icmp">网络基础</a>
里面</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　谈到的
ICMP 的某些类型吧！对啦！如果您不想要让对方 ping 到您的机器，</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　就是利用这个项目啦！</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例二：别的主机
ping 我们主机时，我们主机不予以响应</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">iptables -A INPUT -p icmp --icmp-type
8 -j DROP</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 当您下达这样的指令后，就表示未来别人对您使用
ping 的时候，</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 我们的主机将不会响应，所以对方主机就会显示我们主机『无法连接』的状态！</font>
<br><font size="-1" color="#ffffff" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-m ：表示封包的状态，状态有底下数种：</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　-m mac --mac-source
aa:bb:cc:dd:ee:ff&#160;</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　这个就是我们上面提到的可以控制『网络卡卡号,
MAC』的设定方法啰！</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　那个
aa:bb:cc:dd:ee:ff 就是网络卡的 MAC ！</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　-m state
--state &lt;状态&gt;</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　有数种状态，状态有：</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　INVALID：无效的封包，例如数据破损的封包状态</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　ESTABLISHED：已经联机成功的联机状态；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　NEW：想要新建立联机的封包状态；</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　<b>RELATED</b>：这个最常用！表示这个封包是与我们主机发送出去的封包有关，</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　　可能是响应封包或者是联机成功之后的传送封包！这个状态很常被设定，</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　　因为设定了他之后，只要未来由本机发送出去的封包，即使我们没有设定</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　　封包的
INPUT 规则，该有关的封包还是可以进入我们主机喔！</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　　可以简化相当多的设定规则啦！</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例三：让
bb:cc:dd:aa:ee:ff 网络卡无法使用我们主机的资源</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> iptables -A INPUT -p all -m mac --mac-source
\</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">&gt; </font><font color="#ffff00">01:01:01:01:02:01
-j DROP</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 这种方式可以用来管制网络卡卡号喔！就不怕别人使用
IP 搞怪了！</font>
<br><font size="-1" color="#ffffff" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例四：让已经建立或者是与我们主机有关的响应封包通过，但是让不合法的，</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　　以及想要尝试新建立的封包被抵挡在外！</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">iptables -A INPUT -p tcp -m state&#160;
\</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">&gt; </font><font color="#ffff00">--state
ESTABLISHED,RELATED -j ACCEPT</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]# </font><font color="#ffff00">iptables -A INPUT -p tcp -m state&#160;
\</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">&gt; </font><font color="#ffff00">--state
INVALID,NEW -j DROP</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 需要设定两条喔！至于封包状态则可以使用逗号隔开！逗号两边不要有空格</font>
<br><font size="-1" color="#ffffff" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">-j &lt;动作&gt;：除了比较常见的
ACCEPT 与 DROP 之外，还有哪些动作？</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　REDIRECT
--to-ports &lt;port number&gt;</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　这个也挺常见的，基本上，就是进行本机上面
port 的转换就是了！</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　不过，特别留意的是，这个动作仅能够在
nat table 的 PREROUTING 以及</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　OUTPUT
链上面实行而已喔！(关于联机流程，请参考<a href="#fig_08">图八</a>)</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　MASQUERADE：封包伪装</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　这个就是
NAT 主机最重要的一个机制啦！进行封包的伪装！</font>
<br><font size="-1" color="#ffffff" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例五：将要求与
80 联机的封包转递到 8080 这个 port&#160;</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> iptables -t nat -A PREROUTING -p tcp&#160;
--dport 80 \</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">&gt; </font><font color="#ffff00">-j
REDIRECT --to-ports 8080</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 这玩意最容易在您使用了非正规的
port 来进行某些 well known 的协议，</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 例如使用
8080 这个 port 来启动 WWW ，但是别人都以 port 80 来联机，</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 所以，您就可以使用上面的方式来将对方对您主机的联机传递到
8080 啰！</font>
<br><font size="-1" color="#ffffff" face="SimSun">　</font>
<br><font size="-1" color="#ffffcc" face="SimSun">范例六：进行封包的伪装，将来自
192.168.0.0/24 的封包的来源 IP 伪装成为</font>
<br><font size="-1" color="#ffffcc" face="SimSun">　　　　本机的
ppp0 那个界面的 IP</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> iptables -t nat -A POSTROUTING -s 192.168.0.0/24
\</font></font>
<br><font size="-1" face="SimSun"><font color="#ffffff">&gt; </font><font color="#ffff00">-o
ppp0 -j MASQUERADE</font></font></td>
</tr>
</tbody></table>
　
<br>
<hr width="100%"><a name="iptables_synx_save_restore"></a><font color="#000099">纪录与回复防火墙规则</font>
<br>　
<br>刚刚上面我们谈了很多的设定了，那么我该如何观察目前主机上面的防火墙规则呢？我们可以使用『<font color="#000066" face="SimSun">iptables
-L -n</font> 』来观察，不过，该指令所显示的信息其实还是不太足够的！这个时候，我们其实可以使用底下的两个指令来将目前主机上面的防火墙机制『储存』下来，在下次想要将这个规则『回复』的时候，就能够直接利用指令将规则直接回复喔！
<br>　
<table bgcolor="#000000" border="1" cols="1" width="550">
<tbody><tr>
<td><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> iptables-save &gt; filename</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 将目前的防火墙机制储存成
filename 那个档案！该档案为 ASCII 格式，</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 您可以进入查阅一下喔！</font>
<br><font size="-1" face="SimSun"><font color="#ffffff">[root@test
root]#</font><font color="#ffff00"> iptables-restore &lt; filename</font></font>
<br><font size="-1" color="#ff6666" face="SimSun"># 将 filename
那个防火墙档案 (注意！并不是 shell scripts 的格式) 的规则</font>
<br><font size="-1" color="#ff6666" face="SimSun"># 读入目前的
Linux 主机环境中！</font></td>
</tr>
</tbody></table>
　
<br>利用 iptables-save 与 iptables-restore 也可以很轻松的管理好我们的防火墙系统吶！</ul>
</ul>

<hr width="100%"><a name="simple_firewall"></a><font size="+1" color="#000099">一个简单的防火墙设定：</font>
<ul>要实际设定防火墙之前，最好『<font color="#000066">先用笔将您所需要的规则与开放的服务设计一下</font>』然后再来设计！而比较严密的防火墙规划特点就是：
<br>　
<ul><font color="#000066">拒绝所有，开放特定的设定方法较佳！</font></ul>
&#160;　
<br>也就是将 Policy 设定为 DROP 而将其它的服务一个一个的启动，这样会比较好的啦！
^_^！
<br>　
<br>
<hr width="100%"><a name="simple_firewall_rule"></a><font color="#000099">我的防火墙规则的草拟</font>
<br>　
<br>我这里提一个蛮简单的防火墙规划，我的硬件联机