U系银河麒麟防火墙详解 |
您所在的位置：网站首页 › iptables配置保存 › U系银河麒麟防火墙详解 |
|
文章目录
1）原理： 2）四表五链： 3）命令选项 4）匹配选项 5）动作选项 6）NAT规则例子 7）防火墙使用
1）原理：
根据源、目的IP和端口、协议、流向等判断是否允许通过。 2）四表五链： 名字描述INPUT链进方向，包目的地址为本机OUPUT链出方向，本机产生的包FORWARD链转发，路过本机的包PREROUTING链路由表转发前，一般用于SNATPOSTROUTING链路由表转发后，一般用于DNATfilter表默认常用表nat表用于NATmangle表、raw表用的少 3）命令选项 参数例子-Piptables -P INPUT DROP 所有进来的包默认丢弃（默认接收）-L -niptables -L -n -t nat 查看nat表、 iptables -L -n 查看filter表-Aiptables -A INPUT -p tcp --dport 666 -j ACCEPT 从INPUT链末尾增加规则-Iiptables -I INPUT 3 -p tcp --dport 666 -j DROP 在INPUT链第三条增加规则-Diptables -D INPUT 2 删除INPUT链第二条策略-Fiptables -F 删除所有策略、 iptables -F -t nat 删除所有nat表策略 4）匹配选项 参数例子-i 从网口进eth0-o 从网口出eth0-s 源地址10.10.10.10-d 目的地址10.10.10.10-p 协议tcp、udp、ssh等等-j 动作ACCEPT接收、DROP丢弃等等-t 哪张表filter、nat等等–dport 目的端口22、2006等等–sport 源端口22、2006等等多个端口–dport 21:25,135:139 iptables -t filter -A INPUT -i eth0 -s 10.10.10.10 --sport 666 -p tcp -j ACCEPT #从末尾增加一条规则为进方向、从eth0网口进、源地址为10.10.10.10、源端口为666、协议为tcp的数据包接收 5）动作选项 名字描述ACCEPT接收DROP丢弃REDIRECT重新转向本机或其他主机的某端口，代理SNAT源地址转换DNAT目的地址转换MASQUERADE动态转化自动找外网地址转 6）NAT规则例子进出方向、动作、链的逻辑要理清，乱了会报错 #映射内网服务、POSTROUTING链、-i、DNAT iptables -t nat -A POSTROUTING -i eth1 -d 1.1.1.1 --dport 1080 -p tcp -j DNAT --to 192.168.0.10:80 #访问公网IP1.1.1.1的1080端口实际是访问内网192.168.0.10的80端口 #访问外网服务、PREROUTING链、-o、 SNAT iptables -t nat -A PREROUTING -o eth1 -s 192.168.0.11/16 -j SNAT --to 1.1.1.10-1.1.1.20 #内网地址192.168.0.11访问外网前转换成公网池里任意地址 7）防火墙使用银河麒麟系统没有iptables服务以及配置文件，可以安装ufw，也可以直接使用命令保存配置文件，开机导入。v4默认放行所有，重启恢复默认规则。 iptables-save > /etc/iptables.rules #防火墙当前配置保存为文件 iptables-restore < /etc/iptables.rules #导入防火墙文件配置使防火墙配置一直生效 1.可以把iptables-restore < /etc/iptables.rules 这条命令放到/etc/network/interfaces里，网卡状态变化执行。 2.也可以放到/etc/rc.local里面，开机执行。 ubuntu记得命令要放在exit（0）前面，rc.local文件 exit（0）：正常运行程序并退出程序，调用时程序运行正常结束； exit（1）：非正常运行导致退出程序，调用时程序运行非正常结束； return（）：返回函数，若在主函数中，则会退出函数并返回一值,在其他函数中意味着函数调用完毕，并返回一个值。 |
今日新闻 |
点击排行 |
|
推荐新闻 |
图片新闻 |
|
专题文章 |
| CopyRight 2018-2019 实验室设备网 版权所有 win10的实时保护怎么永久关闭 |