25 个最常用的 Linux IPTables 规则示例
乍一看,IPTables 规则可能看起来很神秘。
在本文中,我给出了 25 条实用的 IPTables 规则,您可以复制/粘贴这些规则并根据需要使用它们。
这些示例将作为您调整这些规则以满足您的特定要求的基本模板。
为便于参考,所有这 25 条 iptables 规则均采用 shell 脚本格式:iptables-rules
1. 删除现有规则
在开始构建新规则集之前,您可能需要清除所有默认规则和现有规则。使用如下所示的iptables flush 命令来执行此操作。
iptables -F
(或者)
iptables --flush
2. 设置默认链策略
默认的链策略是 ACCEPT。对于所有 INPUT、FORWARD 和 OUTPUT 链,将其更改为 DROP,如下所示。
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
当您将 INPUT 和 OUTPUT 链的默认策略设置为 DROP 时,对于您拥有的每个防火墙规则要求,您应该定义两个规则。即一种用于传入,一种用于传出。
在下面的所有示例中,每个场景都有两个规则,因为我们已将 DROP 设置为 INPUT 和 OUTPUT 链的默认策略。
如果您信任内部用户,则可以省略上面的最后一行。即默认情况下不要丢弃所有传出数据包。在这种情况下,对于您拥有的每个防火墙规则要求,您只需定义一个规则。即只为传入定义规则,因为所有数据包都接受传出。
3. 阻止特定的 ip 地址
在我们继续进行其他示例之前,如果您想阻止特定的 ip 地址,您应该首先执行如下所示的操作。将下面示例中的“xxxx”更改为您要阻止的特定IP地址。
BLOCK_THIS_IP="xxxx"
iptables -A INPUT -s "$BLOCK_THIS_IP" -j DROP
当您从日志文件中的特定 ip 地址中发现一些奇怪的活动时,这很有用,并且您希望在进一步研究时暂时阻止该 ip 地址。
您还可以使用以下变体之一,该变体仅阻止此 IP 地址的 eth0 连接上的 TCP 流量。
iptables -A INPUT -i eth0 -s "$BLOCK_THIS_IP" -j DROP
iptables -A INPUT -i eth0 -p tcp -s "$BLOCK_THIS_IP" -j DROP
4. 允许所有传入的 SSH
以下规则允许 eth0 接口上的所有传入 ssh 连接。
iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
5. 仅允许来自特定网络的传入 SSH
以下规则仅允许来自 192.168.100.X 网络的传入 ssh 连接。
iptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
在上面的示例中,您还可以使用完整的子网掩码来代替 /24。即“192.168.100.0/255.255.255.0”。
6. 允许传入的 HTTP 和 HTTPS
以下规则允许所有传入的 Web 流量。即到端口 80 的 HTTP 流量。
iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
以下规则允许所有传入的安全 Web 流量。即到端口 443 的 HTTPS 流量。
iptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A 输出 -o eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
7. 使用 MultiPorts 将多个规则组合在一起
当您允许来自外部世界的传入连接到多个端口时,您可以使用多端口扩展将它们组合在一起,而不是为每个端口编写单独的规则,如下所示。
以下示例允许所有传入的 SSH、HTTP 和 HTTPS 流量。
iptables -A INPUT -i eth0 -p tcp -m multiport --dports 22,80,443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp -m multiport --sports 22,80,443 -m state --state ESTABLISHED -j ACCEPT
8. 允许传出 SSH
以下规则允许传出 ssh 连接。即当您从内部 ssh 到外部服务器时。
iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
请注意,这与传入规则略有不同。即我们在 OUTPUT 链上允许 NEW 和 ESTABLISHED 状态,而在 INPUT 链上只允许 ESTABLISHED 状态。对于传入规则,反之亦然。
9. 只允许传出 SSH 到特定网络
以下规则仅允许传出 ssh 连接到特定网络。即你的 ssh 只能从内部连接到 192.168.100.0/24 网络。
iptables -A OUTPUT -o eth0 -p tcp -d 192.168.100.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
10. 允许传出 HTTPS
以下规则允许传出安全 Web 流量。当您希望允许用户访问 Internet 流量时,这很有用。在服务器上,当您想使用 wget 从外部下载某些文件时,这些规则也很有用。
iptables -A OUTPUT -o eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
注意:对于传出的 HTTP 网络流量,添加两个类似上面的额外规则,并将 443 更改为 80。
11. 负载平衡传入的 Web 流量
您还可以使用 iptables 防火墙规则对传入的 Web 流量进行负载平衡。
这使用 iptables 第 n 个扩展。以下示例将 HTTPS 流量负载平衡到三个不同的 ip 地址。对于每 3 个数据包,它将负载平衡到适当的服务器(使用计数器 0)。
iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.101:443
iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 1 -j DNAT --to-destination 192.168.1.102:443
iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 2 -j DNAT --to-destination 192.168.1.103:443
12. 允许从外到内 Ping
以下规则允许外部用户能够 ping 您的服务器。
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
13.允许从内到外ping
以下规则允许您从内部 ping 到任何外部服务器。
iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT
14. 允许环回访问
您应该允许在您的服务器上进行完全环回访问。即使用 127.0.0.1 访问
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
15. 允许内部网络到外部网络。
在一个以太网卡连接到外部,另一个以太网卡连接到内部服务器的防火墙服务器上,使用以下规则允许内部网络与外部网络通信。
本例中eth1连接外网(internet),eth0连接内网(例如:192.168.1.x)。
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
16. 允许出站 DNS
以下规则允许传出 DNS 连接。
iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT
iptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT
17. 允许 NIS 连接
如果您正在运行 NIS 来管理您的用户帐户,您应该允许 NIS 连接。即使允许 SSH 连接,如果不允许 NIS 相关的 ypbind 连接,用户将无法登录。
NIS 端口是动态的。即当 ypbind 启动时,它会分配端口。
首先执行如下所示的 rpcinfo -p 并获取端口号。在此示例中,它使用端口 853 和 850。
rpcinfo -p | grep ypbind
现在允许传入连接到端口 111,以及 ypbind 使用的端口。
iptables -A INPUT -p tcp --dport 111 -j ACCEPT
iptables -A INPUT -p udp --dport 111 -j ACCEPT
iptables -A INPUT -p tcp --dport 853 -j ACCEPT
iptables -A INPUT -p udp --dport 853 -j ACCEPT
iptables -A INPUT -p tcp --dport 850 -j ACCEPT
iptables -A INPUT -p udp --dport 850 -j ACCEPT
当您重新启动 ypbind 时,上述内容将不起作用,因为那时它将具有不同的端口号。
有两种解决方案:1) 为您的 NIS 使用静态 ip-address,或 2) 使用一些巧妙的 shell 脚本技术从“rpcinfo -p”命令输出中自动获取动态端口号,并使用上面的那些iptables 规则。
18. 允许来自特定网络的 Rsync
以下规则仅允许来自特定网络的 rsync。
iptables -A INPUT -i eth0 -p tcp -s 192.168.101.0/24 --dport 873 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 873 -m state --state ESTABLISHED -j ACCEPT
19. 只允许来自特定网络的 MySQL 连接
如果您正在运行 MySQL,通常您不希望允许来自外部的直接连接。在大多数情况下,您可能在运行 MySQL 数据库的同一台服务器上运行 Web 服务器。
然而,DBA 和开发人员可能需要使用 MySQL 客户端从他们的笔记本电脑和台式机直接登录到 MySQL。在这种情况下,您可能希望允许您的内部网络直接与 MySQL 对话,如下所示。
iptables -A INPUT -i eth0 -p tcp -s 192.168.100.0/24 --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 3306 -m state --state ESTABLISHED -j ACCEPT
20. 允许 Sendmail 或 Postfix 流量
以下规则允许邮件通信。它可能是sendmail 或postfix。
iptables -A INPUT -i eth0 -p tcp --dport 25 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT
21. 允许 IMAP 和 IMAPS
以下规则允许 IMAP/IMAP2 流量。
iptables -A INPUT -i eth0 -p tcp --dport 143 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 143 -m state --state ESTABLISHED -j ACCEPT
以下规则允许 IMAPS 流量。
iptables -A INPUT -i eth0 -p tcp --dport 993 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 993 -m state --state ESTABLISHED -j ACCEPT
22. 允许 POP3 和 POP3S
以下规则允许 POP3 访问。
iptables -A INPUT -i eth0 -p tcp --dport 110 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPT
以下规则允许 POP3S 访问。
iptables -A INPUT -i eth0 -p tcp --dport 995 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 995 -m state --state ESTABLISHED -j ACCEPT
23. 防止 DoS 攻击
以下 iptables 规则将帮助您防止对您的网络服务器的拒绝服务 (DoS) 攻击。
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
在上面的例子中:
- -m 限制:这使用限制 iptables 扩展
- –limit 25/minute:这限制每分钟最多 25 个连接。根据您的特定要求更改此值
- –limit-burst 100:此值表示仅在连接总数达到限制突发级别后才会强制执行限制/分钟。
24. 端口转发
以下示例将所有到达端口 442 的流量路由到 22。这意味着传入的 ssh 连接可以来自端口 22 和 422。
iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 --dport 422 -j DNAT --to 192.168.102.37:22
如果您执行上述操作,您还需要明确允许端口 422 上的传入连接。
iptables -A INPUT -i eth0 -p tcp --dport 422 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 422 -m state --state ESTABLISHED -j ACCEPT
25. 记录丢弃的数据包
您可能还想记录所有丢弃的数据包。这些规则应该在底部。
首先,创建一个名为 LOGGING 的新链。
iptables -N LOGGING
接下来,确保所有剩余的传入连接都跳转到 LOGGING 链,如下所示。
iptables -A INPUT -j LOGGING
接下来,通过指定自定义“日志前缀”来记录这些数据包。
iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables Packet Dropped:" --log-level 7
最后,丢弃这些数据包。
iptables -A LOGGING -j DROP
以上25条iptables规则都是shell脚本格式:
# Modify this file accordingly for your specific requirement.
# 1. Delete all existing rules
iptables -F
# 2. Set default chain policies
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
# 3. Block a specific ip-address
#BLOCK_THIS_IP="x.x.x.x"
#iptables -A INPUT -s "$BLOCK_THIS_IP" -j DROP
# 4. Allow ALL incoming SSH
#iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
# 5. Allow incoming SSH only from a sepcific network
#iptables -A INPUT -i eth0 -p tcp -s 192.168.200.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
# 6. Allow incoming HTTP
#iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
# Allow incoming HTTPS
#iptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
#iptables -A OUTPUT -o eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
# 7. MultiPorts (Allow incoming SSH, HTTP, and HTTPS)
iptables -A INPUT -i eth0 -p tcp -m multiport --dports 22,80,443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp -m multiport --sports 22,80,443 -m state --state ESTABLISHED -j ACCEPT
# 8. Allow outgoing SSH
iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
# 9. Allow outgoing SSH only to a specific network
#iptables -A OUTPUT -o eth0 -p tcp -d 192.168.101.0/24 --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
#iptables -A INPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
# 10. Allow outgoing HTTPS
iptables -A OUTPUT -o eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
# 11. Load balance incoming HTTPS traffic
#iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 0 -j DNAT --to-destination 192.168.1.101:443
#iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 1 -j DNAT --to-destination 192.168.1.102:443
#iptables -A PREROUTING -i eth0 -p tcp --dport 443 -m state --state NEW -m nth --counter 0 --every 3 --packet 2 -j DNAT --to-destination 192.168.1.103:443
# 12. Ping from inside to outside
iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT
# 13. Ping from outside to inside
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
# 14. Allow loopback access
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# 15. Allow packets from internal network to reach external network.
# if eth1 is connected to external network (internet)
# if eth0 is connected to internal network (192.168.1.x)
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
# 16. Allow outbound DNS
#iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT
#iptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT
# 17. Allow NIS Connections
# rpcinfo -p | grep ypbind ; This port is 853 and 850
#iptables -A INPUT -p tcp --dport 111 -j ACCEPT
#iptables -A INPUT -p udp --dport 111 -j ACCEPT
#iptables -A INPUT -p tcp --dport 853 -j ACCEPT
#iptables -A INPUT -p udp --dport 853 -j ACCEPT
#iptables -A INPUT -p tcp --dport 850 -j ACCEPT
#iptables -A INPUT -p udp --dport 850 -j ACCEPT
# 18. Allow rsync from a specific network
iptables -A INPUT -i eth0 -p tcp -s 192.168.101.0/24 --dport 873 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 873 -m state --state ESTABLISHED -j ACCEPT
# 19. Allow MySQL connection only from a specific network
iptables -A INPUT -i eth0 -p tcp -s 192.168.200.0/24 --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 3306 -m state --state ESTABLISHED -j ACCEPT
# 20. Allow Sendmail or Postfix
iptables -A INPUT -i eth0 -p tcp --dport 25 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT
# 21. Allow IMAP and IMAPS
iptables -A INPUT -i eth0 -p tcp --dport 143 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 143 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 993 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 993 -m state --state ESTABLISHED -j ACCEPT
# 22. Allow POP3 and POP3S
iptables -A INPUT -i eth0 -p tcp --dport 110 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 995 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 995 -m state --state ESTABLISHED -j ACCEPT
# 23. Prevent DoS attack
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
# 24. Port forwarding 422 to 22
iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 --dport 422 -j DNAT --to 192.168.102.37:22
iptables -A INPUT -i eth0 -p tcp --dport 422 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 422 -m state --state ESTABLISHED -j ACCEPT
# 25. Log dropped packets
iptables -N LOGGING
iptables -A INPUT -j LOGGING
iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables Packet Dropped: " --log-level 7
iptables -A LOGGING -j DROP