Ubuntu mysql Android google nginx java 编程 centos apache 开源 Windows 云计算 微软 linux Firefox Python shell 程序员 php wordpress

在线介绍一些基本的命令参数

 iptables是一款基於命令行的防火墻策略管理工具,具有大量參數,學習難度較大。好在對於日常的防火墻策略配置來講,大家無需深入了解諸如“四表五鏈”的理論概念,只需要掌握常用的參數並做到靈活搭配即可,這就足以應對日常工作了。

 iptables命令可以根據流量的源地址、目的地址、傳輸協議、服務類型等信息進行匹配,一旦匹配成功,iptables就會根據策略規則所預設的動作來處理這些流量。另外,再次提醒一下,防火墻策略規則的匹配順序是從上至下的,因此要把較為嚴格、優先級較高的策略規則放到前面,以免發生錯誤。表8-1總結歸納了常用的iptables命令參數。再次強調,我們無需死記硬背這些參數,只需借助下面的實驗來理解掌握即可。

 如前面所提到的防火墻策略設置無非有兩種方式,一種是“通”,一種是“堵”,當把INPUT鏈設置為默認拒絕後,就要往裏面寫入允許策略了,否則所有流入的數據包都會被默認拒絕掉,同學們需要留意規則鏈的默認策略拒絕動作只能是DROP,而不能是reject

 向INPUT鏈中添加允許ICMP流量進入的策略規則:

 在日常運維工作中,經常會使用ping命令來檢查對方主機是否在線,而向防火墻的INPUT規則鏈中添加一條允許ICMP流量進入的策略規則就默認允許了這種ping命令檢測行為。

 再次重申,防火墻策略規則是按照從上到下的順序匹配的,因此一定要把允許動作放到拒絕動作前面,否則所有的流量就將被拒絕掉,從而導致任何主機都無法訪問我們的服務。另外,這裏提到的22號端口是ssh服務使用的(有關ssh服務,請見下一章),劉遄老師先在這裏挖坑,等大家學完第9章後可再驗證這個實驗的效果。

 在設置完上述INPUT規則鏈之後,我們使用ip地址在192.168.10.0/24網段內的主機訪問服務器(即前面提到的設置了INPUT規則鏈的主機)的22端口。

 有關iptables命令的知識講解到此就結束了,大家是不是意猶未盡?考慮到Linux防火墻的發展趨勢,大家只要能把上面的實例吸收消化,就可以完全搞定日常的iptables配置工作了。但是請特別註意,使用iptables命令配置的防火墻規則默認會在系統下一次重啟時失效,如果想讓配置的防火墻策略永久生效,還要執行保存命令。

延伸阅读

评论