iptables防火墙(一).ppt

常见的通用匹配条件 协议匹配：-p 协议名 地址匹配：-s 源地址、-d 目的地址 接口匹配：-i 入站网卡、-o 出站网卡 规则的匹配条件5-2 [root@localhost ~]# iptables -I INPUT -p icmp -j DROP [root@localhost ~]# iptables -A FORWARD -p ! icmp -j ACCEPT 叹号 ! 表示条件取反 [root@localhost ~]# iptables -A FORWARD -s 192.168.1.11 -j REJECT [root@localhost ~]# iptables -I INPUT -s 10.20.30.0/24 -j DROP [root@localhost ~]# iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP [root@localhost ~]# iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP [root@localhost ~]# iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP 外网接口 常用的隐含匹配条件 端口匹配：--sport 源端口、--dport 目的端口 TCP标记匹配：--tcp-flags 检查范围 被设置的标记 ICMP类型匹配：--icmp-type ICMP类型 规则的匹配条件5-3 [root@localhost ~]# iptables -A FORWARD -s 192.168.4.0/24 -p udp --dport 53 -j ACCEPT [root@localhost ~]# iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT [root@localhost ~]# iptables -I INPUT -i eth1 -p tcp --tcp-flags SYN,RST,ACK SYN -j DROP [root@localhost ~]# iptables -I INPUT -i eth1 -p tcp --tcp-flags ! --syn -j ACCEPT 丢弃SYN请求包，放行其他包 [root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 8 -j DROP [root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT [root@localhost ~]# iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT [root@localhost ~]# iptables -A INPUT -p icmp -j DROP 8 请求，0 回显，3 不可达 B e n e t BENET 4.0 B e n e t BENET 4.0 */35 B e n e t BENET 4.0 */35 B e n e t BENET 4.0 B e n e t BENET 4.0 */35 B e n e t BENET 4.0 */35 其中标红色的是最常用的表、链 * 此部分的规则操作建议进行演示 * 此部分的各种匹配条件讲解建议做适当演示 * * * 第六章 iptables防火墙（一） —— 理论部分 iptables防火墙（一） 有哪些方法可以禁止root远程登录SSH服务器？ 如何使用scp命令远程复制文件？ TCP Wrappers的策略配置文件是什么？ 课程回顾 熟悉Linux防火墙的表、链结构 理解数据包匹配的基本流程 学会编写iptables规则 技能展示 本章结构 iptables防火墙(一) iptables的表、链结构 数据包控制的匹配流程 添加、查看、删除规则 规则的匹配条件 Linux防火墙基础 基本语法、控制类型 编写防火墙规则 netfilter 位于Linux内核中的包过滤功能体系 称为Linux防火墙的“内核态” iptables 位于/sbin/iptables，用来管理防火墙规则的工具 称为Linux防火墙的“用户态” —— 上述2种称呼都可以表示Linux防火墙 Linux包过滤防火墙概述2-1 包过滤的工作层次 主要是网络层，针对IP数据包 体现在对包内的IP地址、端口等信息的处理上 Linux包过滤防火墙概述2-2 链路层 网络层 传输层 应用代理 链路层 网络层 传输层 应用层 链路层 网络层 传输层 应用层