-
規(guī)定時間禁止聊QQ查看全部
-
iptables規(guī)則組成，四張表和五條鏈查看全部
-
iptables -I INPUT -p tcp --dport 80 -j ACCEPT iptables -I INPUT -p tcp --dport 22 -j ACCEPT iptables -I INPUT -p tcp --dport 10:21 -j ACCEPT iptables -A INPUT -j REJECT iptables -I INPUT -p icmp -j ACCEPT查看全部
-
iptables查看全部
-
--connlimit-above 最大并發(fā)個數(shù)n #限制并發(fā)個數(shù) iptables -I INPUT -p tcp -syn --dport 80 -m connlimit --connlimit-above 100 -j REJECT 測試，轉發(fā)到其它10.66.192.9:80端口，前端10.66.192.77限制 iptables -t nat -F iptables -t nat -I PREROUTING -d 10.66.192.77 -p tcp --dport 80 -j DNAT --to 10.66.192.9 iptables -t nat -I POSTROUTING -p tcp --dport 80 -j MASQUERADE iptables -F iptables -I INPUT -p tcp --dport 80 -m connlimit -connlimit-above 10 -j REJECT iptables -nL 客戶機 ab -n 200 -c 20 http://10.66.192.77 Limit模塊 一個小時允許3個連接 iptables -A INPUT -m limit --limit 3/hour --limit-burst默認為5 ICMP只允許10個包能通過，超過后每1分鐘只允許1個包通過,順序很重要-I -A iptables -F iptables -I INPUT -p icmp -m limit --limit 1/m --limit-burst 10 -j ACCEPT iptables -A INPUT -p icmp -j DROP iptables -nL 6秒多一個允許包 10/m 60/10=6 每20秒增加一個 3/m 單位m minute s second h hour 客戶機測試 ping iptablese服務器IP查看全部
-
算了，上阿里的 https://www.hiczp.com/post-71.html iptables -t nat -I PREROUTING -p tcp --dport 80 -j DNAT --to 10.66.192.9:80 iptables -t nat -I POSTROUTING -p tcp --dport 80 -j MASQUERADE iptables -t nat -A PREROUTING -d a.b.c.d -p tcp --dport 80 -j DNAT --to 192.168.1.10 # 用SNAT作源地址轉換（關鍵），以使回應包能正確返回 iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to 192.168.1.1查看全部
-
DNAT環(huán)境與SNAT一樣，這里方向反了一下，內(nèi)網(wǎng)機充當為服務器，外網(wǎng)客戶端充當為服務器 CLIENT NAT-Server DetectionServer replace for replace for Detection client NAT-Server操作 可正常返回html網(wǎng)頁 curl 10.66.192.10 iptables -F iptables -t -nat -F 這是沒有任何規(guī)則，只要ip_forward開啟，充當客戶機的網(wǎng)關設置為NAT-Server的內(nèi)網(wǎng)地址， 目標服務器可訪問，得到的地址為真實用戶地址，不是NAT服務器外網(wǎng)IP，這里是192.168.2.33 Client(原目標服務器內(nèi)網(wǎng)） route add default gw 192.168.2.77 NAT-Server操作 TUT: iptables -t nat -A PREROUTING -d 10.10.188.232 -p tcp --dport 80 -j DNAT --to 10.10.177.232:80 YULY: iptables -t nat -A PREROUTING -d 192.168.2.77 -p tcp --dport 80 -j DNAT --to 10.66.192.9:80 測試，源IP在對方WEB服務器接收為客戶機IP，非NAT服務IP，不能正常工作，變通是WEB添加路由到客戶機，為NAT10.66.192.77 還要再加一條出去， 教程是默認網(wǎng)關為NAT，真實中跑不通 iptable -t nat -A POSTROUTING -d 10.66.192.9 -p tcp --dport 80 -j SNAT --to 192.168.2.77查看全部
-
分類 功能 作用鏈 SNAT 源地址轉換 出口POSTROUTING DNAT 目標地址轉換 進口PREROUTING 教程中環(huán)境 CLIENT NAT-Server DetectionServer 10.10.177.233 10.10.177.232 10.10.188.232 10.10.188.173 YULY 10.66.192.10 10.66.192.77 192.168.2.77 192.168.2.33 小結： 進站是DNAT，出口是SNAT查看全部
-
先在Nat-Server測試到DetectionServer通信 這里是Web服務，也可是3389 curl 192.168.2.9 在Nat-Server上操作 開啟NAT轉發(fā)功能，在內(nèi)核上 vi /etc/sysctl.conf net.ipv4.ip_forward = 0 改為 net.ipv4.ip_forward = 1 配置生效 sysctl -p 臨時修改單項值 sysctl -e varibalename=value 查看當前值 sysctl -a|grep ip_forward iptables -t nat -A POSTROUTING -s 10.10.177.0/24 -j SNAT --to 10.10.188.232 YULY iptables -t nat -A POSTROUTING -s 10.0.0.0/8 -j SNAT --to 192.168.2.77 查看當前nat表規(guī)則 iptables -t nat -L 在客戶機配置非默認路由段路由 windows: route add 192.168.2.0 mask 255.255.255.0 10.66.192.77 小結： 顯式網(wǎng)關代理轉變，源IP為網(wǎng)關，目標機子得不到真實外網(wǎng)用戶IP查看全部
-
分類 功能 作用鏈 SNAT 源地址轉換 出口POSTROUTING DNAT 目標地址轉換 進口PREROUTING 教程中環(huán)境 CLIENT NAT-Server DetectionServer 10.10.177.233 10.10.177.232 10.10.188.232 10.10.188.173 YULY 10.66.196.209 10.66.192.77 192.168.2.77 192.168.2.9 小結： 進站是DNAT，出口是SNAT查看全部
-
需求一：員工在公司內(nèi)部(10.10.155.0/24, 10.10.188.0/24)能訪問服務器上的任何服務 TUT: 差異 本機回環(huán)127.0.0.1用-i lo代替 iptables -F iptables -I INPUT -i lo -j ACCEPT iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -I INPUT -p icmp -j ACCEPT iptables -I INPUT -s 10.10.155.0/24 -j ACCEPT iptables -I INPUT -s 10.10.188.0/24 -j ACCEPT iptables -A INPUT -j REJECT 保存配置 /etc/sysconfig/iptables 一： service iptables save 二： /etc/init.d/iptables save 三： history把命令復制為文本做成一個shell.sh #!/bin/sh 放到/etc/rc.local啟動查看全部
-
需求一：員工在公司內(nèi)部(10.10.155.0/24, 10.10.188.0/24)能訪問服務器上的任何服務 需求二：員工在公司外，通過VPN連接到外網(wǎng)，撥號->VPN服務器->內(nèi)網(wǎng)FTP，SAMBA，NFS，SSH 需求三：公司發(fā)布網(wǎng)站到公網(wǎng) 需求一：員工在公司內(nèi)部(10.10.155.0/24, 10.10.188.0/24)能訪問服務器上的任何服務 這里用10.66.196.0/24為例子 常見端口： 網(wǎng)站www http 80/tcp https 443/tcp 郵件mail smtp 25/tcp smtps 465/tcp pop3 110/tcp pop3s 995/tcp imap 143/tcp 不允許外部訪問的服務 文件服務file NFS 123/udp SAMBA 137,138,139/tcp 445/tcp FTP 20/tcp, 21/tcp 遠程管理manage SSH 22/tcp 數(shù)據(jù)庫 MYSQL 3306/tcp ORACLE 1521/tcp YULY： 本機要加起, 10.66.196.0/24實驗時先不加，試試效果 iptables -F iptables -I INPUT -s 10.66.196.0/24 -j ACCEPT iptables -A INPUT -j REJECT YULY2看了原理： 允許本地訪問 允許已監(jiān)聽狀態(tài)數(shù)據(jù)包通過 允許規(guī)則中允許的數(shù)據(jù)包通過（注意SSH管理端口要開啟） 最后DENY拒絕未被允許的數(shù)據(jù)包 iptables -F iptables -I INPUT -s 127.0.0.1 -j ACCEPT iptables -I INPUT -s 自身IP -j ACCEPT iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -I INPUT -s 10.66.196.0/24 -j ACCEPT iptables -A INPUT -j REJECT查看全部
-
擴展實驗: 方法一EXT1 只能FTP出,第二句關鍵，可先不加入實驗 iptables -I OUTPUT -p tcp --sport 21 -j ACCEPT iptables -I OUTPUT -p tcp --sport 50000:60000 -j ACCEPT iptables -I OUTPUT -p tcp --sport 22 -j ACCEPT iptables -A OUTPUT -j REJECT 方法二EXT1 只能FTP出,第二句關鍵，可先不加入實驗 看來nf_conntrack_ftp不能自動打通出端口流量 iptables -I OUTPUT -p tcp --sport 21 -j ACCEPT iptables -I OUTPUT -p tcp --sport 50000:60000 -j ACCEPT iptables -I OUTPUT -p tcp --sport 22 -j ACCEPT iptables -A OUTPUT -j REJECT 小結： 服務端只開INPUT21即可連接FTP，執(zhí)行命令 服務端開放端口范圍50000：60000,被動連接傳輸數(shù)據(jù) 被動模式：客戶端務連接服務器開放的端口連接，服務器21端口告訴是那個端口，服務器20端口都沒有使用 服務端是公網(wǎng)IP, 命令是passive 開關為開查看全部
-
方法一： FTP服務端開放連續(xù)范圍端口等待客戶機連接，配置防火墻允許訪問此端 在tcp_wrappers下面新增 # vi /etc/vsftpd/vsftpd.conf pasv_min_port=50000 pasv_max_port=60000 iptables -F iptables -I INPUT -p tcp --dport 21 -j ACCEPT iptables -I INPUT -p tcp --dport 22 -j ACCEPT iptables -I INPUT -p tcp --dport 50000:60000 -j ACCEPT iptables -I INPUT -p icmp -j ACCEPT iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -j REJECT iptables -nL 方法二： FTP不開范圍，模塊nf_conntrack_ftp自動跟蹤打開客戶端需要連接的端口 可不要iptables -I INPUT -p tcp --dport 50000:60000 -j ACCEPT iptables -F iptables -I INPUT -p tcp --dport 21 -j ACCEPT iptables -I INPUT -p tcp --dport 22 -j ACCEPT iptables -I INPUT -p icmp -j ACCEPT iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -j REJECT iptables -nL 臨時 modprobe nf_conntrack_ftp 自動加載 模塊文件列表在文件/etc/modprobe.conf 命令modprobe --list | grep conn 快速查看conn相同模塊，這里是ftp # vi /etc/sysconfig/iptables-config IPTABLES_MODULES="" 改為 IPTABLES_MODULES="nf_conntrack_ftp"查看全部
-
安裝vsftpd,默認不支持主動模式，要改動配置,port_enabled手動新增在connect上面哈 ftp默認用戶為anonymous, 密碼為空 $ yum install vsftpd $ cat /etc/vsftpd/vsftpd.conf port_enable=yes connect_from_port_20=YES $ ftp [FTPIP地址] ftp> ls 進入主動模式 ftp> passive ftp> ls ftp> quit 服務端配置，只開放特定端口,SSH22要開，不然連接不上服務器了,最少21 iptables -F iptables -I INPUT -p tcp --dport 21 -j ACCEPT iptables -I INPUT -p tcp --dport 22 -j ACCEPT iptables -I INPUT -p icmp -j ACCEPT iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -j REJECT iptables -nL 擴展實驗: EXT1，只能登陸FTP,主動，被動都不可 iptables -I OUTPUT -p tcp --sport 21 -j ACCEPT iptables -I OUTPUT -p tcp --sport 22 -j ACCEPT iptables -A OUTPUT -j REJECT EXT2，只能登陸FTP,主動，被動都不可 在EXT1基礎上,加入udp20，可正常工作 iptables -I OUTPUT -p udp --sport 20 -j ACCEPT 小結： 服務端只開INPUT21即可連接FTP，執(zhí)行命令，不能主被動傳輸數(shù)據(jù) 服務端只開OUTPUT20,即可主動連接傳輸數(shù)據(jù) 主動模式：服務端通過UDP20連接客戶端新開任意端口，客戶是公網(wǎng)IP, 命令是passive查看全部
舉報
0/150
提交
取消