码迷,mamicode.com
首页 > 其他好文 > 详细

CentOS项目实例之九--防火墙端口配置

时间:2014-09-28 19:59:17      阅读:327      评论:0      收藏:0      [点我收藏+]

标签:防火墙   服务器   policy   source   target   

1. 防火墙配置

1.1. ZZSRV1


首先,需要对ZZSRV1的角色进行分析。它是主DNS、网站、DHCP服务器、时钟服务器。

我们决定不做出站限制,仅做入站限制,类似XP


查看当前配置

# iptables -L

Chain INPUT (policy ACCEPT)

target     prot opt source               destination


Chain FORWARD (policy ACCEPT)

target     prot opt source               destination


Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination



将以下配置写入一个脚本文件,执行

# vi /root/myfw.sh

# Clear All

iptables -P INPUT ACCEPT

iptables -P OUTPUT ACCEPT

iptables -P FORWARD ACCEPT

iptables -F


iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT


配置开放SSH的端口。

iptables -A INPUT -p tcp --dport 22 -j ACCEPT


# Allow ping


iptables -A INPUT -p icmp --icmp-type 8 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


允许外部主机访问服务器上的web服务

iptables -A INPUT -p tcp --dport 80 -j ACCEPT


允许外部对本机访问服务器上DNS服务

iptables -A INPUT -p udp --dport 53 -j ACCEPT

iptables -A INPUT -p tcp --dport 53 -j ACCEPT


允许外部对本机访问服务器上NTP服务

iptables -A INPUT -p udp --dport 123 -j ACCEPT


允许外部对本机访问服务器上fTP服务 (active and passive)

iptables -A INPUT -p tcp --dport 21 -j ACCEPT

iptables -A INPUT -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT

iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT


# DHCP服务器

iptables -A INPUT  -p udp --sport 67:68 --dport 67:68 -j ACCEPT


默认规则

iptables -P INPUT DROP

iptables -P OUTPUT ACCEPT

iptables -P FORWARD DROP



# chmod +x /root/myfw.sh

# /root/myfw.sh

# iptables -L -n

Chain INPUT (policy DROP)

target  prot opt source     destination

ACCEPT  all  --  0.0.0.0/0  0.0.0.0/0  state RELATED,ESTABLISHED

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:22

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:80

ACCEPT  udp  --  0.0.0.0/0  0.0.0.0/0  udp dpt:53

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:53

ACCEPT  udp  --  0.0.0.0/0  0.0.0.0/0  udp dpt:123

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:21

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:20 state ESTABLISHED

ACCEPT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp spts:1024:65535 dpts:1024:65535 state RELATED,ESTABLISHED

ACCEPT  udp  --  0.0.0.0/0  0.0.0.0/0  udp spts:67:68 dpts:67:68


Chain FORWARD (policy DROP)

target     prot opt source     destination


Chain OUTPUT (policy ACCEPT)

target     prot opt source     destination


扫描TCP端口

C:\>nmap -sS -T 5 192.168.188.11


Starting Nmap 6.46 ( http://nmap.org ) at 2014-08-12 20:20 中国标准时间

Nmap scan report for www.bigcloud.local (192.168.188.11)

Host is up (0.00069s latency).

Not shown: 996 filtered ports

PORT   STATE SERVICE

21/tcp open  ftp

22/tcp open  ssh

53/tcp open  domain

80/tcp open  http

MAC Address: 00:0C:29:A4:2E:39 (VMware)


Nmap done: 1 IP address (1 host up) scanned in 7.06 seconds


扫描UDP端口

C:\>nmap -sU -T 5 192.168.188.11


Starting Nmap 6.46 ( http://nmap.org ) at 2014-08-12 20:21 中国标准时间

Nmap scan report for www.bigcloud.local (192.168.188.11)

Host is up (0.0010s latency).

Not shown: 998 open|filtered ports

PORT    STATE SERVICE

53/udp  open  domain

123/udp open  ntp

MAC Address: 00:0C:29:A4:2E:39 (VMware)


Nmap done: 1 IP address (1 host up) scanned in 6.82 seconds



Tip: 做实验的时候,可以使用以下命令来清除所有配置,从头来做

iptables -P INPUT ACCEPT

iptables -P OUTPUT ACCEPT

iptables -P FORWARD ACCEPT

iptables -F




RHEL 7(CetOS 7) 使用新的Firewalld来代替iptables。在本次实验中,采用的在启动时执行脚本来解决

# vi /etc/rc.local

在最后添加如下内容:

/root/myfw.sh


本文出自 “刘琼@天道酬勤” 博客,请务必保留此出处http://lqiong.blog.51cto.com/8170814/1559079

CentOS项目实例之九--防火墙端口配置

标签:防火墙   服务器   policy   source   target   

原文地址:http://lqiong.blog.51cto.com/8170814/1559079

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!