Iptables常见实例及理解 -

braveyly

浏览: 110093 次

最近访客更多访客>>

唐稚骅

zale_lzj

BestMy

大名叫飞飞

博主相关

博客

微博

相册

留言

关于我

文章分类

社区版块

存档分类

2013-12 ( 13)
2013-11 ( 19)
2013-10 ( 21)
更多存档...

Iptables常见实例及理解

(1) 屏蔽某台电脑

场景：路由器或者防火墙屏蔽某个 IP 。

理解：任何以本机为目的地址的数据包都经过 filter 表的 INPUT 链 (-t filter 省略了 )

iptables -A INPUT -s 200.200.200.1 -j DROP

(2) 屏蔽某台电脑的 telnet 请求

场景：路由器或者防火墙屏蔽某个 IP 的 telnet 数据包，但允许其他数据包通过

理解： -p 指协议，一共有三种， TCP,UDP 和 ICMP ， telnet 是基于 TCP 的 ;

--destination-port telnet 服务的端口是 23 （客户端端口是任意的） , 在屏蔽某个服务，需要使用目标端口，目标端口可以使用字符，而不是数字。

iptables -A INPUT -s 200.200.200.1 -p tcp --destination-port telnet -j DROP

（ 3 ）区分屏蔽某台电脑的 telnet 请求

场景：允许局域网的 telnet 请求，但不允许 internet 网的请求

理解： -I the input interface –o the output interface

iptables -A INPUT -p tcp --destination-port telnet -i ppp0 -j DROP

（ 4 ）不接受任何外部数据，但允许自己发起连接

场景：打算关闭所有端口，不接受任何数据，但自己发起的连接要能正常工作

理解： --syn 主动发起连接的一方会首先发送 —syn 包，因此对外部来的 —syn 包全部 DROP ，而不是说关闭所有端口

iptables -A INPUT -i ppp0 -p tcp --syn -j DROP

（ 5 ）不接受任何外部连接（除了 80 端口的 http 连接），但允许自己发起连接

场景：打算关闭所有端口（除了 80 端口），不接受任何数据，但自己发起的连接要能正常工作

理解： --syn 主动发起连接的一方会首先发送 —syn 包，因此对外部来的 —syn 包全部 DROP ，而不是说关闭所有端口

iptables -A INPUT -i ppp0 -p tcp --syn --destination-port ! 80 -j DROP

（ 6 ）改变数据包的目标地址

场景： HTTP 服务器在内网，外网来的 HTTP 请求，路由器需要将目标 IP 改为 HTT 服务器的内网地址

理解： –j DNAT 进行目标地址转换的动作

Iptables –t nat –A PREROUTING –d 59.12.33.124 –j DNAT –to-destination 192.168.0.191

(7) 改变数据包的源地址

场景：内网访问外网的 HTTP 服务器，路由器需要改变这些数据包的源地址

理解： -j SNAT 进行源地址转换的动作

Iptables –t nat –A POSTROUTING –s 192.168.12.0/24 –j SNAT –to-source 59.12.33.124

(8) 绑定 mac 和 IP

场景：路由器限定只有哪些 mac 的 pc 能够上网

理解：默认 -t FILTER

-P FORWARD DROP 改变 FORWARD 链的默认规则， FORWARD 链中的所有规则全部 DROP

-m mac –mac-source 匹配 mac

Iptables –P FORWARD DROP

Iptables –A FORWARD –s 192.168.1.122 –m mac –mac-source 11:22:33:44:a1:b3 –j ACCEPT

（ 9 ）限定网速

场景：路由器限定网速

理解： –m limit –limit 15/s 速度匹配

Iptables –A FORWARD –s 192.168.0.122 –m limit –limit 15/s –j ACCEPT

（10）使用初始化

场景：任何使用iptables

理解：FORWARD功能默认是关闭的，需要显示开启;

-F清空链，如果指定表，则清空指定表中的链；如果什么都没有指定，则清空所有默认表的链；

-X删除非内建链（用户自定义链）

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -F

iptables -F INPUT

iptables -t filter -F

iptables -X

iptables -X Allowed

iptables -t filter -X

（11）禁用多个服务

场景：路由器禁用多个服务，只开启forward功能

理解：路由器上的这些服务不能用，是目标端口；只开启转发功能。

iptables -A INPUT -p tcp --dport 80 -j DROP //HTTP
iptables -A INPUT -p tcp --dport 21 -j DROP //FTP
iptables -A INPUT -p tcp --dport 22 -j DROP //SSH
iptables -A INPUT -p udp --dport 161 -j DROP //SNMP
iptables -A INPUT -p udp --dport 69 -j DROP //TFTP
iptables -A INPUT -p tcp --dport 23 -j DROP //TELNET
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT

(12) 创建新链

场景：用户自定义链

理解：目标-j可以为自定义链，且可以jump到多个自定义链中

iptables -t filter -N firewall_input_in

iptables -t filter -A INPUT -j firewall_input_in

（13）DSCP: Different Service Code Point

场景：路由器设置不同数据包的优先级

理解：SSH, TELNET需要及时响应，而SMTP则可以不用那么及时

DSCP target

Differentiated services

iptables -t mangle -A FORWARD -p tcp --dport 80 -j DSCP --set-dscp 1
iptables -t mangle -A FORWARD -p tcp --dport 80 -j DSCP --set-dscp-class EF

数据包状态

数据包中的 mark

完整的 firewall 脚本例子

分享到：

AJAX系列1:环境的搭建 | About IPC

2011-03-03 14:17
浏览 460
评论(0)
查看更多

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

AI从头到脚详解如何创建部署Azure Web App的OpenAI项目源码: 【AI】从头到脚详解如何创建部署Azure Web App的OpenAI项目源码

人脸识别_卷积神经网络_CNN_ORL数据库_身份验证_1741779511.zip: 人脸识别项目实战

人工智能-人脸识别代码: 人工智能-人脸识别代码，采用cnn的架构识别代码

汽车配件制造业企业信息化整体解决方案.pptx: 汽车配件制造业企业信息化整体解决方案

短期风速预测模型，IDBO-BiTCN-BiGRU-Multihead-Attention IDBO是，网上复现评价指标：R方、MAE、MAPE、RMSE 附带测试数据集运行（风速数据）提示：在: 短期风速预测模型，IDBO-BiTCN-BiGRU-Multihead-Attention IDBO是，网上复现评价指标：R方、MAE、MAPE、RMSE 附带测试数据集运行（风速数据）提示：在MATLAB2024a上测试正常 ,短期风速预测模型; IDBO-BiTCN-BiGRU-Multihead-Attention; 评价指标: R方、MAE、MAPE、RMSE; 复现; 测试数据集; MATLAB 2024a,短期风速预测模型：IDBO-BiTCN-BiGRU-Attention集成模型

手势识别_数据融合_运动融合帧_Pytorch实现_1741857761.zip: 手势识别项目实战

智慧园区IBMS可视化管理系统建设方案PPT(61页).pptx: 在智慧园区建设的浪潮中，一个集高效、安全、便捷于一体的综合解决方案正逐步成为现代园区管理的标配。这一方案旨在解决传统园区面临的智能化水平低、信息孤岛、管理手段落后等痛点，通过信息化平台与智能硬件的深度融合，为园区带来前所未有的变革。首先，智慧园区综合解决方案以提升园区整体智能化水平为核心，打破了信息孤岛现象。通过构建统一的智能运营中心（IOC），采用1+N模式，即一个智能运营中心集成多个应用系统，实现了园区内各系统的互联互通与数据共享。IOC运营中心如同园区的“智慧大脑”，利用大数据可视化技术，将园区安防、机电设备运行、车辆通行、人员流动、能源能耗等关键信息实时呈现在拼接巨屏上，管理者可直观掌握园区运行状态，实现科学决策。这种“万物互联”的能力不仅消除了系统间的壁垒，还大幅提升了管理效率，让园区管理更加精细化、智能化。更令人兴奋的是，该方案融入了诸多前沿科技，让智慧园区充满了未来感。例如，利用AI视频分析技术，智慧园区实现了对人脸、车辆、行为的智能识别与追踪，不仅极大提升了安防水平，还能为园区提供精准的人流分析、车辆管理等增值服务。同时，无人机巡查、巡逻机器人等智能设备的加入，让园区安全无死角，管理更轻松。特别是巡逻机器人，不仅能进行360度地面全天候巡检，还能自主绕障、充电，甚至具备火灾预警、空气质量检测等环境感知能力，成为了园区管理的得力助手。此外，通过构建高精度数字孪生系统，将园区现实场景与数字世界完美融合，管理者可借助VR/AR技术进行远程巡检、设备维护等操作，仿佛置身于一个虚拟与现实交织的智慧世界。最值得关注的是，智慧园区综合解决方案还带来了显著的经济与社会效益。通过优化园区管理流程，实现降本增效。例如，智能库存管理、及时响应采购需求等举措，大幅减少了库存积压与浪费；而设备自动化与远程监控则降低了维修与人力成本。同时，借助大数据分析技术，园区可精准把握产业趋势，优化招商策略，提高入驻企业满意度与营收水平。此外，智慧园区的低碳节能设计，通过能源分析与精细化管理，实现了能耗的显著降低，为园区可持续发展奠定了坚实基础。总之，这一综合解决方案不仅让园区管理变得更加智慧、高效，更为入驻企业与员工带来了更加舒适、便捷的工作与生活环境，是未来园区建设的必然趋势。

相亲交友系统源码 V10.5支持婚恋相亲M红娘系统.zip: 相亲交友系统源码 V10.5支持婚恋相亲、媒婆返利、红娘系统、商城系统等等这款交友系统功能太多了，适合婚恋相亲，还有媒婆婚庆等等支持 PC和 H5还有小程序，可封装红年、APP，里面带安装教程

单片机也能玩双核之你想不到c技巧系列-嵌入式实战（资料+视频教程）: 本资源《单片机也能玩双核之你想不到的C技巧系列——嵌入式实战》涵盖双核单片机开发、C语言高级技巧、嵌入式系统优化等核心内容，结合实战案例与视频教程，帮助开发者深入理解并掌握高效编程技巧。适用人群：适合嵌入式开发工程师、单片机开发者、电子信息相关专业学生，以及希望提升 C语言编程能力和嵌入式项目经验的技术人员。能学到什么：双核单片机开发思路，提高并行处理能力。 C语言高级技巧，提升代码优化与执行效率。嵌入式系统调试方法，掌握实际项目中的调试策略。实战案例解析，学习如何在实际工程中应用双核技术。阅读建议：建议先学习基础知识，再结合示例代码与视频教程进行实操，重点关注代码优化、调试技巧与双核应用模式，通过实战演练提高嵌入式开发能力。

计算机视觉_OpenCV_人脸识别_成本节约检测方案_1741779495.zip: 人脸识别项目源码实战

`机器学习_深度学习_Keras_教程用途`.zip: 人脸识别项目源码实战

地铁网络_Dijkstra_最短路径_查询工具_1741862725.zip: c语言学习

红外光伏缺陷目标检测模型，YOLOv8模型基于红外光伏缺陷目标检测数据集训练，做了必要的数据增强处理，以达到缺陷类别间的平衡可检测大面积热斑，单一热斑，二极管短路和异常低温四类缺陷测试集指标如: 红外光伏缺陷目标检测模型，YOLOv8模型基于红外光伏缺陷目标检测数据集训练，做了必要的数据增强处理，以达到缺陷类别间的平衡可检测大面积热斑，单一热斑，二极管短路和异常低温四类缺陷测试集指标如图所示 ,核心关键词：红外光伏缺陷目标检测模型; YOLOv8模型; 数据增强处理; 缺陷类别平衡; 大面积热斑; 单一热斑; 二极管短路; 异常低温。,基于YOLOv8的红外光伏缺陷检测模型

基于PLC的自动浇花控制系统西门子1200PLC博途仿真，提供HMI画面，接线图，IO分配表，演示视频，简单讲解视频博图15.1及以上版本均可使用 ,核心关键词： PLC自动浇花控制系统; 西: 基于PLC的自动浇花控制系统西门子1200PLC博途仿真，提供HMI画面，接线图，IO分配表，演示视频，简单讲解视频博图15.1及以上版本均可使用 ,核心关键词： PLC自动浇花控制系统; 西门子1200PLC博途仿真; HMI画面; 接线图; IO分配表; 演示视频; 简单讲解视频; 博图15.1及以上版本。,基于PLC的自动浇花系统：西门子1200PLC博途仿真实践教程

智慧园区标准化综合解决方案PPT(60页).pptx: 在智慧园区建设的浪潮中，一个集高效、安全、便捷于一体的综合解决方案正逐步成为现代园区管理的标配。这一方案旨在解决传统园区面临的智能化水平低、信息孤岛、管理手段落后等痛点，通过信息化平台与智能硬件的深度融合，为园区带来前所未有的变革。首先，智慧园区综合解决方案以提升园区整体智能化水平为核心，打破了信息孤岛现象。通过构建统一的智能运营中心（IOC），采用1+N模式，即一个智能运营中心集成多个应用系统，实现了园区内各系统的互联互通与数据共享。IOC运营中心如同园区的“智慧大脑”，利用大数据可视化技术，将园区安防、机电设备运行、车辆通行、人员流动、能源能耗等关键信息实时呈现在拼接巨屏上，管理者可直观掌握园区运行状态，实现科学决策。这种“万物互联”的能力不仅消除了系统间的壁垒，还大幅提升了管理效率，让园区管理更加精细化、智能化。更令人兴奋的是，该方案融入了诸多前沿科技，让智慧园区充满了未来感。例如，利用AI视频分析技术，智慧园区实现了对人脸、车辆、行为的智能识别与追踪，不仅极大提升了安防水平，还能为园区提供精准的人流分析、车辆管理等增值服务。同时，无人机巡查、巡逻机器人等智能设备的加入，让园区安全无死角，管理更轻松。特别是巡逻机器人，不仅能进行360度地面全天候巡检，还能自主绕障、充电，甚至具备火灾预警、空气质量检测等环境感知能力，成为了园区管理的得力助手。此外，通过构建高精度数字孪生系统，将园区现实场景与数字世界完美融合，管理者可借助VR/AR技术进行远程巡检、设备维护等操作，仿佛置身于一个虚拟与现实交织的智慧世界。最值得关注的是，智慧园区综合解决方案还带来了显著的经济与社会效益。通过优化园区管理流程，实现降本增效。例如，智能库存管理、及时响应采购需求等举措，大幅减少了库存积压与浪费；而设备自动化与远程监控则降低了维修与人力成本。同时，借助大数据分析技术，园区可精准把握产业趋势，优化招商策略，提高入驻企业满意度与营收水平。此外，智慧园区的低碳节能设计，通过能源分析与精细化管理，实现了能耗的显著降低，为园区可持续发展奠定了坚实基础。总之，这一综合解决方案不仅让园区管理变得更加智慧、高效，更为入驻企业与员工带来了更加舒适、便捷的工作与生活环境，是未来园区建设的必然趋势。

大型集团用户画像系统化标准化数字化用户主数据管理项目规划方案.pptx: 大型集团用户画像系统化标准化数字化用户主数据管理项目规划方案

基于STM32的水质浊度检测仪设计与实现（详细设计说明书+ 10008-基于STM32的水质浊度检测仪设计与实现（详细设计说明书+原理图PCB工程+源码工程+实物照片）本次设计是设计一款水质检: 基于STM32的水质浊度检测仪设计与实现（详细设计说明书+ 10008-基于STM32的水质浊度检测仪设计与实现（详细设计说明书+原理图PCB工程+源码工程+实物照片）本次设计是设计一款水质检测设备，实现温度检查、水质检测的功能，将检测到的数据显示到显示器中，并实时记录系统的参数本次系统需要对温度检测，使用的传感器为DS18B20，通过单总线的方式来完成系统温度检测使用水质检测模块检查水的质量通过传感器检测到的数据计算后的值实时刷新到显示器中，主要的功能包括以下几点： ①可以对温度实时检测； ②可以对水质实际值实时检测； ③水质浑浊预警主要特点： 1．以STM32单片机为核心，配合水质模块； 2．主要完成系统的功能控制、状态显示、信息检测以及报警硬件组建所单片机和传感器等元器件的选择； 3．完成系统控制的软件设计编程； 4．实现对水质检测、温度检查、预警的功能内容包含： 1、原理图工程 2、PCB工程 3、源码工程 4、实物照片 5、详细介绍说明书-22531字 6、实物照片 7、浊度传感器资料

人脸识别_seetaface6_SDK_多功能应用开发工具包_1741771332.zip: 人脸识别项目实战

华中科技大学计算机科学研究生复试上机测试题.zip: 华中科技大学计算机科学研究生复试上机测试题.zip

YOLOv8部署到web上（Django+html）: YOLOv8部署到web上（Django+html）

最近访客 更多访客>>