个人工具
登录
查看“UbuntuHelp:IptablesHowTo/zh”的源代码 - Ubuntu中文
UbuntuHelp
讨论
查看源代码
历史
搜索
导航
首页
最近更改
随机页面
页面分类
帮助
编辑
编辑指南
沙盒
新闻动态
字词处理
工具
链入页面
相关更改
特殊页面
页面信息
查看“UbuntuHelp:IptablesHowTo/zh”的源代码
来自Ubuntu中文
←
UbuntuHelp:IptablesHowTo/zh
跳转至:
导航
,
搜索
因为以下原因,你没有权限编辑本页:
您所请求的操作仅限于该用户组的用户使用:
用户
您可以查看与复制此页面的源代码。
*1 Iptables基础 如何在Ubuntu Server版上实施iptables **1.1 基本命令 **1.2 允许建立会话 **1.3 在指定端口上允许入站流量 **1.4 阻断流量 **1.5 编辑iptables **1.6 日志记录 **1.7 保存iptables **1.8 配置启动时自动加载规则 **1.9 提示 ***1.9.1 如果你在一个已有规则上手动编辑iptables ***1.9.2 使用iptables-save/restore来测试规则 ***1.9.3 更详细的日志记录 ***1.9.4 禁用防火墙 **1.10 通过GUI界面程序简单配置 **1.11 更多信息 **1.12 致谢 ==Iptables基础 如何在Ubuntu Server版上实施iptables== iptables 是一个安装在Ubuntu Server上的默认防火墙。在正常的ubuntu安装过程中,iptables是被安装上了的,但是它默认允许所有的流量(不管防火墙是否是无效的)。 关于iptables有价值的信息很多,但是大多都描述的很复杂。如果你想做些基本的配置,下面的 How To 很适合你。 ===基本命令=== 键入: <pre><nowiki> # iptables -L </nowiki></pre> 列出您当前iptables中在规则。如果您是刚刚建立您的服务器,那么可能此时还没有任何规则,而且您应该看到如下: <pre><nowiki> Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination </nowiki></pre> ===允许建立会话=== 我们可以允许建立会话来接受流量: <pre><nowiki> # iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT </nowiki></pre> ===在指定端口上允许入站流量=== 阻断所有流量您也可以启动系统,但是您可能正在通过SSH工作,所有在您阻断其他流量前有必要允许SSH流量。 为了在22端口号(默认的SSH端口)上的允许流量入站,您可以告诉iptables允许您的网卡接受所有的目的端口为22的TCP流量。 <pre><nowiki> # iptables -A INPUT -p tcp -i eth0 --dport ssh -j ACCEPT </nowiki></pre> 特别的,这将向表中追加(-A)INPUT规则,允许目的端口号为SSH的所有流量进入接口(-i) eth0,以便iptables完成跳转(-j)或动作:ACCEPT 让我们核对下这些规则:(这里仅显示了少数行,您应该看到更多) <pre><nowiki> # iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:ssh </nowiki></pre> 现在,让我们允许所有的web流量 <pre><nowiki> # iptables -A INPUT -p tcp -i eth0 --dport 80 -j ACCEPT </nowiki></pre> 检查我们现有的规则 <pre><nowiki> # iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:ssh ACCEPT tcp -- anywhere anywhere tcp dpt:www </nowiki></pre> 我们已经指定SSH和web端口为允许通过的TCP流量,但是因为我们还没阻断任何流量,所以到目前为止所有的流量仍然可以进入。 === 阻断流量 === 一旦一条规则对一个包进行了匹配,其他规则不再对这个包有效。因为我们的规则首先允许SSH和WEB流量,所以只要我们阻断所有流量的规则紧跟其后,我们依然能接受我们感兴趣的流量。我们要做的仅仅是把阻断所有流量的规则放在最后,所以我们需要再次用到它。 <pre><nowiki> # iptables -A INPUT -j DROP # iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:ssh ACCEPT tcp -- anywhere anywhere tcp dpt:www DROP all -- anywhere anywhere </nowiki></pre> 因为我们刚才没有指定一个接口或一个协议,所以除了web和ssh流量外其他任何流量都会被阻断。 === 编辑 iptables === 到目前为止我们设置过程中唯一的问题是回环端口(loopbakc)也被阻断了。我们本可以通过指定 -i eth0 来仅仅丢弃eth0上的数据包,但我们也可以为回环端口(loopback)添加一条规则。如果我们追加这条规则,这将太晚了----因为所有的流量已经被丢弃。我们必须插入这条跪着到第4行。 <pre><nowiki> # iptables -I INPUT 4 -i lo -j ACCEPT # iptables -L Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:ssh ACCEPT tcp -- anywhere anywhere tcp dpt:www ACCEPT all -- anywhere anywhere DROP all -- anywhere anywhere </nowiki></pre> 最后2行看起来几乎一样,因此我们可以让iptables列的更详细些。 <pre><nowiki> # iptables -L -v </nowiki></pre> === 日志记录 === 在上面的例子中,所有的流量都不会被记录。如果您愿意在syslog中记录被丢弃的包, 下面将是最快捷的方式: <pre><nowiki> # iptables -I INPUT 5 -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7 </nowiki></pre> 看 提示 段获得更多关于logging的ideas. === 保存 iptables === 如果您现在要重新启动机器的话,您的iptables配置将会消失。为了不用每次重新启动时敲入这些命令,您可以保存你的配置,让它在系统启动时自动启动。你可以通过<code><nowiki>iptables-save</nowiki></code> 和<code><nowiki>iptables-restore</nowiki></code>命令来保存配置。 === 配置启动时自动加载规则 === 保存您的防火墙股则到一个文件 <pre><nowiki> # iptables-save > /etc/iptables.up.rules </nowiki></pre> 接着修改 /etc/network/interfaces 脚本自动应用这些规则(末行是添加的) <pre><nowiki> auto eth0 iface eth0 inet dhcp pre-up iptables-restore < /etc/iptables.up.rules </nowiki></pre> 你也可以准备一组规则冰并自动应用它 <pre><nowiki> auto eth0 iface eth0 inet dhcp pre-up iptables-restore < /etc/iptables.up.rules post-down iptables-restore < /etc/iptables.down.rules </nowiki></pre> === 提示 === ==== 如果你要在一个规则基础上手动编辑iptables ==== 下面的步骤复习了怎样建立你的防火墙规则,并假定它们相对固定(而且对于大多数人来说它们也应该是)。但是如果你要做许多研究工作,你也许想要你的iptables在你每次重启时保存一次。你可以在 /etc/network/interfaces 里添加像下面的一行: <pre><nowiki> pre-up iptables-restore < /etc/iptables.up.rules post-down iptables-save > /etc/iptables.up.rules </nowiki></pre> "post-down iptables-save > /etc/iptables.up.rules" 此行将保存规则用于下次启动时使用。 ==== 用iptables-save/restore来测试规则 ==== 如果你超出了这个指南来编辑iptables,你可能想利用iptables-save和iptables-restore来编辑和测试你的规则。你可以通过使用你喜爱的文本编辑器(此处为gedit)来打开这些规则文件来完成编辑。 <pre><nowiki> # iptables-save > /etc/iptables.test.rules # gedit /etc/iptables.test.rules </nowiki></pre> 你会得到一个如下类似的文件(下面是紧接上的例子文件): <pre><nowiki> # Generated by iptables-save v1.3.1 on Sun Apr 23 06:19:53 2006 *filter :INPUT ACCEPT [368:102354] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [92952:20764374] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT -A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7 -A INPUT -j DROP COMMIT # Completed on Sun Apr 23 06:19:53 2006 </nowiki></pre> 注意到这些都是减去iptables命令的iptables语句。随意编辑这些命令、完成后保存它们。然后简单的测试下:<pre><nowiki> # iptables-restore < /etc/iptables.test.rules </nowiki></pre> 测试完毕后,如果你还没添加iptables-save命令 到 /etc/network/interfaces 里面,记得不要丢失了你的更改: <pre><nowiki> # iptables-save > /etc/iptables.up.rules </nowiki></pre> ==== 更详细的日志 ==== 为了在你的syslog中获得更多细节,你可能想创建一个额外的链。下面是个很简短的例子---我的 /etc/iptables.up.rules ,它将展示我是如何设置iptables记录到syslong中的:<pre><nowiki> # Generated by iptables-save v1.3.1 on Sun Apr 23 05:32:09 2006 *filter :INPUT ACCEPT [273:55355] :FORWARD ACCEPT [0:0] :LOGNDROP - [0:0] :OUTPUT ACCEPT [92376:20668252] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT -A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -j LOGNDROP -A LOGNDROP -p tcp -m limit --limit 5/min -j LOG --log-prefix "Denied TCP: " --log-level 7 -A LOGNDROP -p udp -m limit --limit 5/min -j LOG --log-prefix "Denied UDP: " --log-level 7 -A LOGNDROP -p icmp -m limit --limit 5/min -j LOG --log-prefix "Denied ICMP: " --log-level 7 -A LOGNDROP -j DROP COMMIT # Completed on Sun Apr 23 05:32:09 2006 </nowiki></pre> 请注意 一个名为 LOGNDROP的链在文件顶部。而且,INPUT链底部标准的DROP被替换成了LOGNDROP,同时添加了协议描述so it makes sense looking at the log。最后我们在LOGNDROP链尾部丢弃了这些流量。下面的行告诉我们发生了什么: * <code><nowiki>--limit</nowiki></code> sets the number of times to log the same rule to syslog * <code><nowiki>--log-prefix "Denied..."</nowiki></code> adds a prefix to make finding in the syslog easier * <code><nowiki>--log-level 7</nowiki></code> sets the syslog level to informational (see man syslog for more detail, but you can probably leave this) ==== 禁用防火墙 ==== 如果您要临时禁用防火墙,您可以通过下面的命令清空所偶的规则: <pre><nowiki> # iptables -F </nowiki></pre>
返回至
UbuntuHelp:IptablesHowTo/zh
。