美国云服务器ubuntu16.04如何使用iptables防火墙

已关闭留言

美国云服务器ubuntu16.04使用iptables防火墙的方法:1、打开ubuntu16.04云服务器终端控制台;2、输入“sudo apt-get install iptables iptables-persistent”命令安装iptables防火墙;3、安装iptables防火墙成功后,设置防火墙规则即可。

具体内容如下:

iptables是整合在Linux操作系统中的防火墙软件,绝大部分Ubuntu发行版都预装了iptables。在一些非默认安装的Ubuntu系统或者容器环境中,可能没有预装iptables,我们可以通过下面的命令来安装。

sudo apt-get install iptables iptables-persistent

安装iptables之后,系统会提示我们是否保存当前防火墙规则。如果我们要设置自己的防火墙规则,这时可以不用保存。

扩展:

1、端口测试工具

我们可以使用以下工具来检测端口是否开启或关闭,用来测试iptables是否生效。

客户端测试工具(Windows环境):

telnet [服务器IP] [端口号]

服务端测试工具(Linux系统):

sudo netstat -tulpn

2iptables的语法规则

sudo iptables -A INPUT -p tcp -m tcp –dport 22 –m geoip –src-cc PE -j ACCEPT

-A INPUT:添加一个INPUT类型的规则。最常见的规则类型有三种,分别是INPUTOUTPUTPREROUTING

-p tcp:设置这条规则的协议为TCP协议。其他支持的协议还有udpicmpall

-m tcp:使用tcp模块。iptables通过模块来扩展功能特性,有些常用模块是iptables预装的,比如geoip模块。

–dport 22:双横线表示为前面使用的模块的更多选项。在这个示例里,我们设置tcp模块只应用于22端口。

-m geoip:使用geoip模块。这个模块可以控制来自某个国家的网络请求。

–src-cc PE:这个选项是让geoip模块限制从秘鲁的网络请求。PE是秘鲁的国家编码,这里可以替换成其他国家编码。

-j ACCEPT:告诉iptables对满足上述条件的请求如何处理。ACCEPT(接受)、ERJECT(拒绝)和DROP(丢弃)是三种常用的处理方式。

3iptables的基本命令

查看当前规则:

sudo iptables -L

删除某条规则(-D表示删除):

sudo iptables -D INPUT -p tcp -m tcp –dport 22 -j ACCEPT

清空当前规则

sudo iptables -F

只清空OUTPUT类型的规则:

sudo iptables -F OUTPUT

创建iptables规则

eth0接口允许SSH连接:

sudo iptables -A INPUT -i eth0 -p tcp -m tcp –dport 22 -j ACCEPT

注:如果要应用于所有网络接口,请删除-i eth0指令。

允许特定IP进行SSH连接(以10.0.3.1为例):

sudo iptables -A INPUT -s 10.0.3.1/32 -p tcp -m tcp –dport 22 -j ACCEPT

设置默认规则:

sudo iptables -P INPUT DROP

sudo iptables -P FORWARD DROP

sudo iptables -P OUTPUT ACCEPT

说明:

-P INPUT DROP:表示丢弃所有流入请求,即无法访问云服务器上的任何服务,如ApacheSQL等。

-P FORWARD DROP:表示丢弃所有转发请求。

-P OUTPUT ACCEPT:表示接受所有流出请求。

接受所有的回环流量(推荐设置):

sudo iptables -A INPUT -i lo -j ACCEPT

sudo iptables -A OUTPUT -o lo -j ACCEPT

保存iptables规则

使用以下命令保存并加载iptables规则:

sudo netfilter-persistent save

sudo netfilter-persistent reload

在容器环境中,上面的netfilter-persistent很可能无法生效,需要重新设置一下iptables。请执行以下命令重新配置iptables安装包:

sudo dpkg-reconfigure iptables-persistent

设置流出请求

允许DNS查询:

sudo iptables -A OUTPUT -p tcp –dport 53 -m state –state NEW -j ACCEPT

sudo iptables -A OUTPUT -p udp –dport 53 -m state –state NEW -j ACCEPT

使用state模块接受相关的和已建立的请求:

sudo iptables -A OUTPUT -m state –state RELATED,ESTABLISHED -j ACCEPT

sudo iptables -A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT

接受端口请求(如80端口):

sudo iptables -A OUTPUT -p tcp –dport 80 -m state –state NEW -j ACCEPT

其他常见服务和端口:

服务 协议 端口

FTP TCP 20 & 21

HTTPS TCP 443

DHCP TCP 67

NTP TCP 123

更多有用的规则

允许Ping

sudo iptables -A INPUT -p icmp –icmp-type echo-request -j ACCEPT

sudo iptables -A OUTPUT -p icmp –icmp-type echo-reply -j ACCEPT

端口转发(把来自2200端口的请求转发给10.0.3.21:22 ,多用于容器场景):

sudo iptables -t nat -A PREROUTING -i eth0 -p tcp –dport 2200 -j DNAT –to-destination 10.0.3.21:22

创建SSH永久连接,阻止未经允许的SSH登录请求:

sudo iptables -I INPUT -p tcp –dport 22 -m state –state NEW -m recent –set

sudo iptables -I INPUT -p tcp –dport 22 -m state –state NEW -m recent –update –seconds 3600 –hitcount 4 -j DROP