标签：
iptables -F #清空所有规则链
iptables -X #删除特定手工设置的链
iptables -P INPUT DROP #默认INPUT规则 丢弃
iptables -P OUTPUT DROP #默认OUTPUT规则 丢弃
iptables -P FORWARD DROP #默认FORWARD规则 丢弃
iptables -A INPUT -p tcp --dport 22 -o eth0 -j ACCEPT #开SSH服务进站端口
iptables -A INPUT -p tcp --dport 80 -o eth0 -j ACCEPT #开WEB服务进站端口
iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT #对SSH的服务进入的数据包开启出站端口
iptables -A OUTPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT #对WEB的服务进入的数据包开启出站端口
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT #允许本地环回数据
iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT #允许本地环回数据
iptables -A INPUT -p udp -m udp --sport 53 -j ACCEPT #来自远程DNS服务器53端口的数据包进站通过
iptables -A OUTPUT -p udp -m udp --dport 53 -j ACCEPT #进入本地服务器53端口的数据包进站通过
iptables -A INPUT -p icmp -j ACCEPT #ICPM数据包可进入本地服务器
iptables -A OUTPUT -p icmp -j ACCEPT #对对方ICMP数据包回应(ping命令回应数据包)
# 防止nmap探测
iptables -A INPUT -p tcp --dport 1:1024 -j DROP
iptables -A INPUT -p udp --dport 1:1024 -j DROP
# 防止同步包洪水（Sync Flood）
iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
# 防止各种端口扫描
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
# Ping洪水攻击（Ping of Death）
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
# Null Scan(possibly)XiKc.om
iptables -A INPUT -i eth0 -p tcp --tcp-flags ALL NONE -j DROP
# 使用iptables layer-7 filter禁止迅雷
iptables -t mangle -I POSTROUTING -m layer7 --l7proto xunlei -j DROP
iptables -t mangle -I PREROUTING -m layer7 --l7proto edonkey -j DROP
iptables -t mangle -I PREROUTING -m layer7 --l7proto bittorrent -j DROP
标签：
原文地址：http://my.oschina.net/u/2404183/blog/507792
