一、iptables入門

     當今黑客入侵電腦有很多種途徑，其中通過埠進行入侵比較普遍。特別是作為伺服器的計算機，關閉不必要的埠，這是最簡單的也是最常用的防禦黑入侵的做法。用Linux作為伺服器作業系統，使用Linux自帶的iptables可以實現這功能。

   1、檢視一下iptables策略的組成

[[email protected] ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination        

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination        

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination  

得知， iptables 策略由3個部分組成：INPUT, FORWARD 和 OUTPUT

a.INPUT 網路資料包流向伺服器

b.OUTPUT 網路資料包從伺服器流出

c.FORWARD 網路資料包經伺服器路由

    2、關閉策略

關閉所有的 INPUT FORWARD OUTPUT 只對某些埠開放。

# iptables -P INPUT DROP
# iptables -P FORWARD DROP
# iptables -P OUTPUT DROP

用命令 iptables -L -n 檢視，得到：

[[email protected] ~]# iptables -L -n
Chain INPUT (policy DROP)
target     prot opt source               destination        

Chain FORWARD(policy DROP)
target     prot opt source               destination        

Chain OUTPUT(policy DROP)
target     prot opt source               destination  

這樣的設定只是臨時的， 重啟伺服器還是會恢復原來沒有設定的狀態(policy ACCEPT)，要想重啟後仍然生效需要

使用service iptables save 進行儲存,會提示儲存資訊到 /etc/sysconfig/iptables，所以我們可以開啟檔案檢視 vi /etc/sysconfig/iptables

DROP 可以這樣理解：

    當INPUT =DROP，表示防火牆遇到資料就不接受它，不讓它進入伺服器

    當OUTPUT=DROP，表示防火牆阻止從伺服器流出的資料

    當FORWARD=DROP，表示伺服器不允許經伺服器路由

    3、開啟INPUT策略
# iptables -P INPUT  ACCEPT

# iptables -P FORWARD ACCEPT

# iptables -P OUTPUT ACCEPT

二、只開啟某個端口
在配置伺服器時候，通常是隻開啟某個特定的埠(服務需要的埠)，關閉不需要的埠來提高伺服器的安全性。

下面就用埠22來舉個例子如何實現只允許埠22的訪問，其他埠全部都不能訪問的(埠22是用ssh軟體訪問Linux的埠)。

a、檢視當前伺服器埠開啟情況：

通過netstat -tnl 檢視當前伺服器打開了哪些埠

[[email protected] ~]# netstat -tnl
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address               Foreign Address             State     
tcp        0      0 127.0.0.1:2208              0.0.0.0:*                   LISTEN     
tcp        0      0 0.0.0.0:673                 0.0.0.0:*                   LISTEN     
tcp        0      0 0.0.0.0:111                 0.0.0.0:*                   LISTEN     
tcp        0      0 127.0.0.1:631               0.0.0.0:*                   LISTEN     
tcp        0      0 127.0.0.1:25                0.0.0.0:*                   LISTEN     
tcp        0      0 127.0.0.1:2207              0.0.0.0:*                   LISTEN     
tcp        0      0 :::22                       :::*                        LISTEN     
tcp        0      0 ::1:631                     :::*                        LISTEN     

開啟的埠挺多的，其中22(ssh)埠也是開啟的

b、檢視防火牆設定

通過命令:iptables -L -n 檢視，得知防火牆 INPUT FORWARD OUTPUT 三個部分全部是 ACCEPT 的，也就是沒有做任何限制

通過 SSH軟體來連結伺服器，可以成功連結上去。

c、關閉所有的埠

# iptables -P INPUT DROP
# iptables -P FORWARD DROP
# iptables -P OUTPUT DROP

稍等會發現SSH連結斷開了，說明已經關閉了埠。

d、只打開22埠

# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

 iptables -L -n 檢視是否新增上去,

Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:22

Chain FORWARD (policy DROP)
target     prot opt source               destination

Chain OUTPUT (policy DROP)
target     prot opt source               destination
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spt:22

現在Linux伺服器只打開了22埠，用SSH測試，可以連結上去。
通過命令：service iptables save 進行儲存

備註：

# iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
-A ：新增一條 INPUT 的規則
-p ：指定是什麼協議 我們常用的tcp 協議，當然也有udp 例如53埠的DNS

--dport ：目標埠 當資料從外部進入伺服器為目標埠
反之 資料從伺服器出去 則為資料來源埠 使用 --sport

-j ：指定是 ACCEPT 接收 或者 DROP 不接收