linux基础_防火墙_参考人家的_2小时玩转_iptables_企业版本_v1.6.0.ppt

3.5.4 multiport -m multiport --sports|--dports|--ports 端口1[,端口2,..,端口n] 一次性匹配多个端口，可以区分源端口，目的端口或不指定端口 例如： iptables -A INPUT -p tcp -m multiport --dports \ 21,22,25,80,110 -j ACCEPT 注意： 必须与 -p 参数一起使用 3.5.5 iprange -m iprange --src-range|--dst-range IP地址范围 例如： iptables -t nat -I PREROUTING -i eth0 -m iprange --src-range 02-02 -j ACCEPT iptables -t nat -A PREROUTING -m iprange --src-range 0-55 -i eth1 -p tcp -m tcp --dport 1:65535 -j REDIRECT --to-ports 80 3.5.6 string模块 -m string --string “指定需要过滤的字符串”—algo [bm|kmp] 例如： iptables -I FORWARD -s 89 -m string --string --algo bm -j DROP iptables -I FORWARD -p tcp --sport 80 -m string --string 广告 --algo kmp -j DROP 3.5.7 comment -m comment --comment“注释说明” 例如： iptables -I FORWARD -s 59 -m string --string --algo bm -j DROP -m comment --comment denny go to 4. 实例分析 单服务器的防护 如何做网关 如何限制内网用户 内网如何做对外服务器 连接追踪模块 4.1 单服务器的防护 弄清对外服务对象 书写规则 网络接口 lo 的处理 状态监测的处理 协议 + 端口的处理 实例：一个普通的 web 服务器 iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 22,80 -j ACCEPT iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -P INPUT DROP 注意：确保规则顺序正确，弄清逻辑关系，学会时刻使用 -vnL 4.2 如何做网关 弄清网络拓扑 本机上网 设置 nat 启用路由转发 地址伪装 SNAT/MASQUERADE 实例：ADSL 拨号上网的拓扑 echo 1 /proc/sys/net/ipv4/ip_forward iptables -t nat -A POSTROUTING -s /24 -o ppp0 \ -j MASQUERADE 4.3 如何限制内网用户 过滤位置 filer 表 FORWARD 链 匹配条件 -s -d -p --s/dport 处理动作 ACCEPT DROP 实例： iptables -A FORWARD -s -j DROP iptables -A FORWARD -m mac --mac-source 11:22:33:44:55:66 \ -j DROP iptables -A FORWARD -d -j DROP 4.4 内网如何做对外服务器 服务协议（TCP/UDP） 对外服务端口 内部服务器私网 IP 内部真正服务端口 实例： iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 \ -j DNAT --to iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 81 \ -j DNAT --to :80 5. 网管策略 怕什么 能做什么 让什么 vs 不让什么 三大“纪律”五项“注意” 其他注意事项 5.1 必加项 echo 1 /proc/sys/net/ipv4/ip_forward echo 1 /proc/sys/net/ipv4/tcp_syncookies echo 1 \ /proc/sys/net/ipv4/icmp_ignore_bogus_error_resp