分享ｊａｖａ帶來的快樂

我喜歡ｊａｖａ新東西

統計

隨筆 - 18
文章 - 232
評論 - 106
引用 - 0

常用鏈接

留言簿(8)

文章分類

文章檔案

相冊

收藏夾

flex(1) (rss)

搜索

閱讀排行榜

評論排行榜

iptables

(轉）這個iptables腳本用起來很不錯！和大家一起分享

我想下面的腳本很容易看懂！當然如果沒看懂提出來，我很樂意解答！當然，也很希望你們可以指出錯誤！很感謝大家的指導，特別是platinum!

環境：redhat9 加載了string time等模塊，加載方法參照 http://www.lslnet.com/linux/#forum/viewtopic.php?t=525493

etho 接外網──ppp0
eth1 接內網──192.168.0.0/24

[color=blue]
################################################################
#!/bin/sh
#
modprobe ipt_MASQUERADE
modprobe ip_conntrack_ftp
modprobe  ip_nat_ftp
iptables -F
iptables -t nat -F
iptables -X
iptables -t nat -X

###########################INPUT鍵###################################
iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -s 192.186.0.0/24 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
#為了防止DOS太多連接進來,那么可以允許最多15個初始連接,超過的丟棄.
iptables -A INPUT -s 192.186.0.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
#為了防止DOS太多連接進來,那么可以允許最多15個初始連接,超過的丟棄.
iptables -A INPUT -i eth1 -p tcp -m multiport --dports 443,139,80,21,110,25 -j ACCEPT
#允許內網samba,http,smtp,pop3,連接
iptables -A INPUT -i eth1 -p udp -m multiport --dports 53 -j ACCEPT
#允許dns連接
iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
iptables -A INPUT -p gre -j ACCEPT
#允許風外網vpn連接
iptables -A INPUT -i ppp0 -p tcp -m multiport --dports 110,80,25 -j ACCEPT
#允許外網smtp,http,pop3連接
iptables -A INPUT -p icmp -m limit --limit 3/s -j LOG --log-level INFO --log-prefix "ICMP packet IN: "
iptables -A INPUT -p icmp -j DROP
#禁止icmp通信-ping 不通
iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.0.0/24 -j MASQUERADE
#內網轉發

#######################FORWARD鏈###########################
iptables -P FORWARD DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -m multiport --dports 80,110,21,25,1723 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.0.50  --dport 22 -j ACCEPT
#允許轉發192.168.0.50的ssh連接！這個鏈我一直不是很明白，請朋友指教！
iptables -A FORWARD -p udp -s 192.168.0.0/24 --dport 53 -j ACCEPT
iptables -A FORWARD -p gre -s 192.168.0.0/24 -j ACCEPT
#允許 vpn客戶走vpn網絡連接外網
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -p udp --dport 53 -m string --string "tencent" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
#星期一到星期六的8:00-12:30禁止qq通信
iptables -A FORWARD -p udp --dport 53 -m string --string "TENCENT" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
#星期一到星期六的8:00-12:30禁止qq通信
iptables -A FORWARD -p udp --dport 53 -m string --string "tencent" -m time --timestart 13:30 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
iptables -A FORWARD -p udp --dport 53 -m string --string "TENCENT" -m time --timestart 13:30 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
#星期一到星期六的13:30-20:30禁止QQ通信
iptables -A FORWARD -s 192.168.0.0/24 -m string --string "qq.com" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
#星期一到星期六的8:00-12:30禁止qq網頁
iptables -A FORWARD -s 192.168.0.0/24 -m string --string "qq.com" -m time --timestart 13;30 --timestop 20;30 --days Mon,Tue,Wed,Thu,Fri,Sat  -j DROP
#星期一到星期六的13:30-20:30禁止QQ網頁
iptables -A FORWARD -s 192.168.0.0/24 -m string --string "ay2000.net" -j DROP
iptables -A FORWARD -d 192.168.0.0/24 -m string --string "寬頻影院" -j DROP
iptables -A FORWARD -s 192.168.0.0/24 -m string --string "色情" -j DROP
iptables -A FORWARD -p tcp --sport 80 -m string --string "廣告" -j DROP
#禁止ay2000.net，寬頻影院，色情，廣告網頁連接！但中文不是很理想
iptables -A FORWARD -m ipp2p --edk --kazaa --bit -j DROP
iptables -A FORWARD -p tcp -m ipp2p --ares -j DROP
iptables -A FORWARD -p udp -m ipp2p --kazaa -j DROP
#禁止BT連接
iptables -A FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 20 --connlimit-mask 24 -j DROP
#只允許每組ip同時20個80端口轉發
#######################################################################
sysctl -w net.ipv4.ip_forward=1 &>;/dev/null
#打開轉發
#######################################################################
sysctl -w net.ipv4.tcp_syncookies=1 &>;/dev/null
#打開 syncookie （輕量級預防 DOS 攻擊）
sysctl -w net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=3600 &>;/dev/null
#設置默認 TCP 連接癡呆時長為 3600 秒（此選項可以大大降低連接數）
sysctl -w net.ipv4.ip_conntrack_max=500000 &>;/dev/null
#設置支持最大連接樹為 50W（這個根據你的內存和 iptables 版本來，每個 connection 需要 300 多個字節）
#######################################################################
iptables -I INPUT -s 192.168.0.50 -j ACCEPT
iptables -I FORWARD -s 192.168.0.50 -j ACCEPT
#192.168.0.50是我的機子，全部放行！
############################完#########################################
[/color]

(轉）這個iptables腳本用起來很不錯！和大家一起分享

凸凸
頂你一下……
^^

(轉）這個iptables腳本用起來很不錯！和大家一起分享

禁止qq 通信中的前幾條規則似乎沒什么用，你禁止了53的域名查詢，但是人家可以在hosts文件里手工添加。
最后過濾qq.com 那條沒看懂。

(轉）這個iptables腳本用起來很不錯！和大家一起分享

-->

客戶機是win ,呵呵，他們的計算機水平不是很高，目前來說在我使用的禁qq中效果是最好的！也是最不占資源的！

過濾qq的網頁？這個是time模塊！不知道你是腳本沒看懂還是懷疑腳本有問題？

(轉）這個iptables腳本用起來很不錯！和大家一起分享

(轉）這個iptables腳本用起來很不錯！和大家一起分享

-->
windows也有hosts文件呀。
我沒看懂過濾qq.com有什么用？難道qq通訊協議里面有這個字符串？

(轉）這個iptables腳本用起來很不錯！和大家一起分享

是啊，這樣的很好。。。
凡是想禁用的QQ之類的。。
就這樣搞定了。。

(轉）這個iptables腳本用起來很不錯！和大家一起分享

我想用iptables做防火墻,我只要達到下面功能:

對外網(internet)只開放22/8080兩個端口
對內網192.168.1.0/24,開放22和8080兩個端口
對內網192.168.1.11這臺機器, 開放samba這個端口和postgreSQL數據庫的5432端口.
內網所有機器不能通過這臺機器連接外網.

DNS服務器192.168.1.253

再加些簡單的防止Dos攻擊的功能,流量限制等

搞了半天都沒有搞懂
(系統CentOS 4,
網卡 ech0,ech1,其中ech0連接internt,ech1連接內網)

更據上面的提示,我寫了下,請各位指正,謝謝先:)
================================
#!/bin/bash

  [b]echo "starting firewall..."[/b]
# iptables command full path
  [b]IPT=/sbin/iptables[/b]
# the interface that connect Internet
[b]  EXTIF="eth0"[/b]
# the inside interface
[b]  INIF="eth1" [/b]
# this is for NAT's network
[b] INNET="192.168.1.0/24" [/b]

# import the current models
[b]  PATH=/sbin:/bin:/usr/sbin:/usr/bin
  export PATH EXTIF INIF INNET
  modprobe ip_tables                >; /dev/null 2>;&1
  modprobe iptable_nat             >; /dev/null 2>;&1
  modprobe ipt_MASQUERADE >; /dev/null 2>;&1[/b]

# clear all of the previous firewall rules
[b]  $IPT -F
  $IPT -X
  $IPT -F -t nat
  $IPT -X -t nat

  $IPT -P INPUT                         DROP
  $IPT -P OUTPUT                   ACCEPT
  $IPT -P FORWARD                DROP
  $IPT -t nat -P PREROUTING ACCEPT
  $IPT -t nat -P POSTROUTING  ACCEPT
  $IPT -t nat -P OUTPUT          ACCEPT [/b]

# 為了防止DOS太多連接進來,那么可以允許最多15個初始連接,超過的丟棄.
[b]  $IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
  $IPT -A INPUT -s $INNET -p TCP --syn -m connlimit --connlimit-above 15 -j DROP
  $IPT -A INPUT -s $INNET -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
  $IPT -A INPUT -i $EXTIF  -p TCP --syn -m connlimit --connlimit-above 15 -j DROP [/b]

# 允許內網ssh,samba,postgresql,http連接
[b]  $IPT -A INPUT -i $INIF -p tcp -m multiport --dports 22,8080 -j ACCEPT[/b]

# 對192.168.0.11 開放PostgreSQL和Samba
[b]  $IPT -A INPUT -i $INIF -p tcp -m multiport  -s 192.168.0.11 --dports 139,5432 -j ACCEPT[/b]

# 允許外網ssh,http連接
[b]  $IPT -A INPUT -i $EXTIF -p tcp -m multiport --dports 22,8080 -j ACCEPT[/b]

# 禁止icmp通信-ping 不通, 在哪兒可以看日志????
  [b]$IPT -A INPUT -p icmp -m limit --limit 3/s -j LOG --log-level INFO --log-prefix "ICMP packet IN: "
  $IPT -A INPUT -p icmp -j DROP  [/b]

# 打開 syncookie （輕量級預防 DOS 攻擊）
[b] sysctl -w net.ipv4.tcp_syncookies=1 &>;/dev/null [/b]

# 設置默認 TCP 連接癡呆時長為 3600 秒（此選項可以大大降低連接數）
[b]  sysctl -w net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=3600 &>;/dev/null  [/b]

# 設置支持最大連接樹為 50W（iptables v1.2.11）
  [b]sysctl -w net.ipv4.ip_conntrack_max=500000 &>;/dev/null

  $IPT -A INPUT -i lo -j ACCEPT
  echo "1" >; /proc/sys/net/ipv4/ip_forward
  $IPT -t nat -A POSTROUTING -s $INNET -o $EXTIF -j MASQUERADE[/b]

(轉）這個iptables腳本用起來很不錯！和大家一起分享

(轉）這個iptables腳本用起來很不錯！和大家一起分享

To 楓影誰用了,
我也不知道要加載什么模塊,你能不能更據我的要求,修改下我的shell?

(轉）這個iptables腳本用起來很不錯！和大家一起分享

-->

牛比吹大了，我用layer7，封qq比你簡單多了。
另，這樣照樣封不住通過外網http/socks代理登錄qq的情況。

(轉）這個iptables腳本用起來很不錯！和大家一起分享

-->

老兄，你給我介紹介紹layer7，我也學習學習！謝謝

posted on 2007-08-03 11:31 強強閱讀(476) 評論(0) 編輯收藏所屬分類: linux 操作系統配置

新用戶注冊刷新評論列表


只有注冊用戶登錄后才能發表評論。




網站導航: 博客園 IT新聞 Chat2DB C++博客博問管理
相關文章: 怎么樣查看/tmp空間占用 vsftp "上傳 553 Could not create file" Linux curl使用簡單介紹編寫shell腳本的技巧如何編寫一個shell腳本郵件發送退信分析大全/SMTP error, RCPT TO: 550 Relay Deny postfix 郵件維護 svn 文件名的大小寫轉換步驟 Apache 的標準中規定了4類日志：* Postfix的配置詳解