iptables常用配置实例2006.docVIP

iptables 常用配置实例2006-11-01 #外网 eth0 ──ip为自动获取 #内网 eth1 ──ip /16 #!/bin/sh # modprobe ipt_MASQUERADE modprobe ip_conntrack_ftp modprobe ip_nat_ftp iptables -F iptables -t nat -F iptables -X iptables -t nat -X #INPUT iptables -P INPUT DROP iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #允许内网samba 可以和windows文件共享通信的一个linux协,不需要的不要打开 ,smtp,pop3,需要imap等协议的,请自行添加相应端口 iptables -A INPUT -p tcp -m multiport --dports 110,80,25,445,1863,5222 -j ACCEPT iptables -A INPUT -p tcp -s /16 --dport 139 -j ACCEPT #允许dns解析通过,如果内网配置了DNS服务器 转发器 ,那只允许转发器那个IP能过,请自行修改, -s ip iptables -A INPUT -i eth1 -p udp -m multiport --dports 53 -j ACCEPT #允许外网vpn连接 企业用户有VPN的话,需要打开 #iptables -A INPUT -p tcp --dport 1723 -j ACCEPT #iptables -A INPUT -p gre -j ACCEPT iptables -A INPUT -s /16 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT #只允许最多20个初始连接,超过的丢弃 iptables -A INPUT -i eth0 -p tcp --syn -m connlimit --connlimit-above 20 -j DROP #允许最多20个初始连接,超过的丢弃 iptables -A INPUT -s 172.16.0/16 -p tcp --syn -m connlimit --connlimit-above 20 -j DROP #禁止icmp通信-ping 建议测试时不要打开 #iptables -A INPUT -p icmp -m limit --limit 3/s -j LOG --log-level INFO --log-prefix ICMP packet IN: #iptables -A INPUT -p icmp -j DROP #内网转发 iptables -t nat -A POSTROUTING -o eth0 -s /24 -j MASQUERADE #防止SYN攻击 轻量 iptables -N syn-flood iptables -A INPUT -p tcp --syn -j syn-flood iptables -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN iptables -A syn-flood -j REJECT #FORWARD iptables -P FORWARD DROP iptables -A FORWARD -p tcp -s /16 -m multiport --dports 80,110,21,25,1723 -j ACCEPT iptables -A FORWARD -p udp -s 172.16.0/16 --dport 53 -j ACCEPT #允许 vpn客户走vpn网络连接外网 网吧一般不需要开,企业有VPN的需要打开 #iptables -A FORWARD -p gre -s /16 -j ACCEPT #iptables -A FORWARD -p icmp -s /16 -j ACCEPT #以下是禁QQ的,在网吧的话不要去掉前面的# #iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT #iptables -I FORWARD -p udp --dport 53 -m string --string tencent -m time --timestart 8:15