1. まずiptablesをバックアップする
# cp /etc/sysconfig/iptables /var/tmp
ポート80を開けて、IPアドレスとLANアドレスを指定する必要があります
以下の三行の意味:
まず80の全ポートを閉鎖しろ
IPセグメント192.168.1.0/24で80ポートを開ける
211.123.16.123/24 IPセグメントのIPセグメントの80ポートをオープン
# iptables -I INPUT -p tcp --dport 80 -j DROP
# iptables -I INPUT -s 192.168.1.0/24 -p tcp --dport 80 -j ACCEPT
# iptables -I INPUT -s 211.123.16.123/24 -p tcp --dport 80 -j ACCEPT
上記は一時的な設定です。
2. 次にiptablesを保存します
# サービス iptables 保存
3. ファイアウォールの再起動
#service iptables restart
===============以下は再版================================================
以下がポートで、IPが開く前にすべてブロックされています
iptables -I INPUT -p tcp --dport 9889 -j DROP
iptables -I INPUT -s 192.168.1.0/24 -p tcp --dport 9889 -j ACCEPT
NAT転送を使用する場合は、以下の方法に協力して有効にしてください
iptables -I FORWARD -p tcp --dport 80 -j DROP
iptables -I FORWARD -s 192.168.1.0/24 -p tcp --dport 80 -j ACCEPT
一般的に使われるIPTABLESのルールは以下の通りです:
メールの送受信はできず、それ以外はすべて閉じられています
iptables -I Filter -m mac --mac-source 00:0F:EA:25:51:37 -j DROP
iptables -I Filter -m mac --mac-source 00:0F:EA:25:51:37 -p udp --dport 53 -j ACCEPT
iptables -I Filter -m mac --mac-source 00:0F:EA:25:51:37 -p tcp --dport 25 -j ACCEPT
iptables -I Filter -m mac --mac-source 00:0F:EA:25:51:37 -p tcp --dport 110 -j ACCEPT
IPSEC NATポリシー
iptables -I PFWanPriv -d 192.168.100.2 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 80 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.2:80
iptables -t nat -A PREROUTING -p tcp --dport 1723 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.2:1723
iptables -t nat -A PREROUTING -p udp --dport 1723 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.2:1723
iptables -t nat -A PREROUTING -p udp --dport 500 -d $INTERNET ADDR -j DNAT --to-destination 192.168.100.2:500
iptables -t nat -A PREROUTING -p udp --dport 4500 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.2:4500
FTPサーバー用のNAT
iptables -I PFWanPriv -p tcp --dport 21 -d 192.168.100.200 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 21 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.200:21
指定されたURLのみが許可されています
iptables -A フィルター -p udp --dport 53 -j ACCEPT
iptables -A フィルター -p tcp --dport 53 -j ACCEPT
iptables -A フィルター -d www.3322.org -j ACCEPT
iptables -A フィルター -d img.cn99.com -j ACCEPT
iptables -A フィルター -j DROP
IPの一部のポートはオープンで、他は閉じられています
iptables -A Filter -p tcp --dport 80 -s 192.168.100.200 -d www.pconline.com.cn -j ACCEPT
iptables -A フィルター -p tcp --dport 25 -s 192.168.100.200 -j ACCEPT
iptables -A Filter -p tcp --dport 109 -s 192.168.100.200 -j ACCEPT
iptables -A Filter -p tcp --dport 110 -s 192.168.100.200 -j ACCEPT
iptables -A フィルター -p tcp --dport 53 -j ACCEPT
iptables -A フィルター -p udp --dport 53 -j ACCEPT
iptables -A フィルター -j DROP
複数ポート
iptables -A Filter -p tcp -m マルチポート --destination-port 22,53,80,110 -s 192.168.20.3 -j REJECT
連続ポート
iptables -A フィルター -p tcp -m マルチポート --source-port 22,53,80,110 -s 192.168.20.3 -j 拒否 iptables -A フィルター -p tcp --source-port 2:80 -s 192.168.20.3 -j 拒否
インターネット閲覧の時間を指定してください
iptables -A フィルター -s 10.10.10.253 -m 時間 --時間開始 6:00 --時間停止 11:00 --日曜日 月曜、火曜、水曜、金曜、土曜 -j DROP
iptables -A フィルター -m 時間 --時間開始 12:00 --時間停止 13:00 --日曜日 月曜・火・水・木・金・土・日 -j ACCEPT
iptables -A フィルター -m 時間 --時間開始 17:30 --時間停止 8:30 --日曜日 月、火、水、木、金、土、日 -j 承認
複数の港湾サービスは禁止されています
iptables -A フィルター -m マルチポート -p tcp --dport 21,23,80 -j ACCEPT
WANポートをPCにNATしてください
iptables -t nat -A PREROUTING -i $INTERNET_IF -d $INTERNET ADDR -j DNAT --to-destination 192.168.0.1
NATポート8000から192まで。 168。 100。 80個の200ポート
iptables -t nat -A PREROUTING -p tcp --dport 8000 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.200:80
MAILサーバーが転送したいポート
iptables -t nat -A PREROUTING -p tcp --dport 110 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.200:110
iptables -t nat -A PREROUTING -p tcp --dport 25 -d $INTERNET_ADDR -j DNAT --to-destination 192.168.100.200:25
許可されているのはPING 202のみです。 96。 134。 133. その他のサービスは禁止されています
iptables -A Filter -p icmp -s 192.168.100.200 -d 202.96.134.133 -j ACCEPT
iptables -A フィルター -j DROP
BT設定を無効にしてください
iptables –A Filter –p tcp –dport 6000:20000 –j DROP
QQファイアウォールの設定を無効にしてください
iptables -A Filter -p udp --dport ! 53 -j ドロップ
iptables -A Filter -d 218.17.209.0/24 -j DROP
iptables -A Filter -d 218.18.95.0/24 -j DROP
iptables -A Filter -d 219.133.40.177 -j DROP
MACに基づき、メールの送受信のみができ、それ以外はすべて拒否できます
iptables -I Filter -m mac --mac-source 00:0A:EB:97:79:A1 -j DROP
iptables -I Filter -m mac --mac-source 00:0A:EB:97:79:A1 -p tcp --dport 25 -j ACCEPT
iptables -I Filter -m mac --mac-source 00:0A:EB:97:79:A1 -p tcp --dport 110 -j ACCEPT
MSN設定を無効にしてください
iptables -A Filter -p udp --dport 9 -j DROP
iptables -A Filter -p tcp --dport 1863 -j DROP
iptables -A フィルター -p tcp --dport 80 -d 207.68.178.238 -j DROP
iptables -A Filter -p tcp --dport 80 -d 207.46.110.0/24 -j DROP
許可されているのはPING 202のみです。 96。 134。 133 PINGは他の公共ネットワークIPでは許可されていません
iptables -A Filter -p icmp -s 192.168.100.200 -d 202.96.134.133 -j ACCEPT
iptables -A フィルター -p icmp -j DROP
MACアドレスによるインターネットアクセス禁止:
iptables -I Filter -m mac --mac-source 00:20:18:8F:72:F8 -j DROP
IPアドレスへのping:
iptables –A Filter –p icmp –s 192.168.0.1 –j DROP
IPアドレスの提供を禁止する:
iptables –A Filter -p tcp -s 192.168.0.1 --dport 80 -j DROP
iptables –A Filter -p udp -s 192.168.0.1 --dport 53 -j DROP
許可されるサービスは特定のもののみで、他は拒否されます(ルール2つ)
iptables -A Filter -p tcp -s 192.168.0.1 --dport 1000 -j ACCEPT
iptables -A フィルター -j DROP
IPアドレスのポートサービスは禁止されています
iptables -A Filter -p tcp -s 10.10.10.253 --dport 80 -j ACCEPT
iptables -A Filter -p tcp -s 10.10.10.253 --dport 80 -j DROP
MACアドレスのポートサービスを禁止する
iptables -I Filter -p tcp -m mac --mac-source 00:20:18:8F:72:F8 --dport 80 -j DROP
MACアドレスによるインターネットアクセス禁止:
iptables -I Filter -m mac --mac-source 00:11:22:33:44:55 -j DROP
IPアドレスへのping:
iptables –A Filter –p icmp –s 192.168.0.1 –j DROP
|
掲載地 2015/12/17 22:02:49
|
|
|
地主|
掲載地 2015/12/17 22:16:55
|
