我们来讨论一下怎样为你的CentOS服务器来设置简单的防火墙。这儿我们以DigitalOcean的CentOS6VPS为基础来讨论的,同样也适用于阿里云上其他类型的LINUX系统。(阿里云有个云盾系统,因而在你自己的VPS上不设置防火墙也是可以的)
须要说明的是:本文只涉及最基础最常用的防火墙设置,能屏蔽一些常用的功击,但并不能彻底保证你的服务器的安全。
系统的随时更新以及关掉何必要的服务一直是保证系统安全十分重要的步骤。
假如你须要更全面的了解iptables,阅读本文后,请google或是阅读愈加深入的资料!
首先简单介绍一下哪些是IPTables:
iptables是Linux内核中外置的防火墙,可以容许管理员通过设置table,chain以及相关的规则来进行数据包过滤和NAT。通常来讲,iptables防火墙早已外置于CentOS6及其他Linux版本中,但是iptables服务默认都是启动的。iptables应用于IPv4,假如要用IPv6,须要使用ip6tables.
iptables的命令格式:
复制代码
代码如下:
iptables[-ttable]command[chain][rules][-jtarget]
[-ttable]:拿来指明使用的表linux视频教程,有三种选项:filter,nat和mangle,倘若未指定,则使用filter作为缺省表。事实上,对于单个服务器的防火墙配置,通常来讲,我们只须要对filter表进行配件就OK了。filter表包括INPUT,OUTPUT,和FORWARD三个chain.
command表明iptables命名要做哪些,例如
-A(–append):该命令会把一条规则附件到chain的末尾。
-D(–delete)拿来删掉某个规则。
-F(–flush)假如指定了chain,删掉该chain中的所有规则,倘若未指定chain,则删掉所有chain中的所有规则。
target:是由规则指定的操作。包括下边几种:
ACCEPT:接收信息包(容许它抵达目的地),而且将停止遍历chain.
DROP:拒绝,
据悉还有REJECT,RETURN,LOG,REDIRECT,MARK,MIRROR,MAQUERADE等。
具体的iptables的句型和概念就不再多说了,请参照iptablesmanpage官方文档.
简单来说,iptables防火墙是由一系列的规则(rule)组成,一个数据恳求进来,会依次和这种规则进行比较,假如刚好符合规则的定义,那这个数据恳求要么会被接收ACCEPT,要么被拒绝DRIP。倘若不符合任何规则的定义,最后缺省的规则会被应用。
开始操作之前:
注意:一定要把你在DigitalOcean/Linode/阿里云上的服务器做一下快照备份,否则一旦你iptables的配置出了问题,极有可能把你自己挡在门外,你自己都难以联接到服务器了!!出现此类情况而且会欲哭无泪呀,不仅重新做系统似乎没有更好的办法了。(DigitalOcean提供了一个webconsole的界面,有时侯会给你毁约和擦除iptables设置的机会,但阿里云没有)
决定什么端口须要开放
首先,SSH的端口22自然是须要开放的,否则我们就没法登陆服务器了。
通常来讲,CentOS的VPS常常作为用LAMP搭建的Web服务器,FTP服务器,Mail服务器等。
对于Web服务来说redhat清空防火墙规则,须要开放80端口,倘若是HTTPS/SSL合同的话redhat清空防火墙规则linux windows,还需用开放443端口
对于Mail服务来说,因为涉及SMTP,POP3,IMAP合同,须要开放的端口如下:
SMTP:25SecureSMTP:465POPPOP3:110SecurePOPSecurePOP3:995IMAP:143IMAPoverSSL:993
对于FTP服务来说,须要开放20,21两个端口
第一步:屏蔽最常见的功击
缺省情况下,CentOS的iptables的设置是容许任何数据通过的。
我们首先要清空iptables中的所有的规则:
复制代码
代码如下:
iptables-F
之后我们加上制止简单扫描和功击的规则
复制代码
代码如下:
iptables-AINPUT-ptcp--tcp-flagsALLNONE-jDROP#NONE包(所有标示bit都没有设置)主要是扫描类的数据包
iptables-AINPUT-ptcp!--syn-mstate--stateNEW-jDROP#避免sync-flood功击
iptables-AINPUT-ptcp--tcp-flagsALLALL-jDROP#ALL包(所有的标明bit都被设置了)也是网路扫描的数据包
关于sync-flood,请参照wikipedia的解释。
第二步:为相应的服务开放对应的端口
首先我们应当接受本机localhost的任何恳求,否则,数据库联接等将难以工作
1
iptables-AINPUT-ilo-jACCEPT
对于不同的服务须要开放不同的端口
复制代码
代码如下:
iptables-AINPUT-ptcp--dport22-jACCEPT#SSH
iptables-AINPUT-ptcp--dport80-jACCEPT#HTTP
iptables-AINPUT-ptcp--dport443-jACCEPT#HTTPS
iptables-AINPUT-ptcp--dport25-jACCEPT#SMTP
iptables-AINPUT-ptcp--dport465-jACCEPT#SecureSMTP
iptables-AINPUT-ptcp--dport110-jACCEPT#POP3
iptables-AINPUT-ptcp--dport995-jACCEPT#SecurePOP3
iptables-AINPUT-ptcp--dport143-jACCEPT#IMAP
iptables-AINPUT-ptcp--dport993-jACCEPT#SecureIMAP
第三步:加上通用的规则
首先要容许所有从服务器端发起的联接,由此返回的响应数据应当是容许的!例如VPS发起的yumupdate,必需要容许外部的update数据进来
复制代码
代码如下:
iptables-IINPUT-mstate--stateESTABLISHED,RELATED-jACCEPT
最后,设置缺省的策略:屏蔽任何步入的数据恳求,容许所有从Server发出的恳求
复制代码
代码如下:
iptables-POUTPUTACCEPT
iptables-PINPUTDROP
至此,规则设置完毕
第四步:保存设置
首先通过下边的命令查看一下我们的设置是否正确!
复制代码
代码如下:
iptable-L-n
确认没有问题后,执行下边的命令
复制代码
代码如下:
serviceiptablessave
执行上述命令后,相应的规则会写入/etc/sysconfig/iptables这个文件,你可以检测一下瞧瞧。
最后执行
复制代码
代码如下:
serviceiptablesrestart.
重新启动iptables防火墙,以使上述设置生效。
最佳的方式:
为了更便捷的更改和维护自己的iptables的设置,我通常是把所有的iptables的设置先讲到一个单独文件中,测试没有问题后。之后再保存到iptable的配置文件中。
下边是我自己的iptables文件~/script/firewall.sh
复制代码
代码如下:
#!/bin/bash
#Asimpleiptablesfirewallconfiguration
PATH=/sbin:/bin:/usr/sbin:/usr/bin;exportPATH
#flush/eraseoriginalrules
iptables-F#消除所有已拟定的rule
iptables-X#消除用户自定义的chain/table
iptables-Z#将所有的chain的计数和流量统计归零
#Acceptlocalhostconnetting,nomatterwhatitis
iptables-AINPUT-ilo-jACCEPT
#Acceptanyresponsepackagewhichisinitiatedfrominside
iptables-AINPUT-mstate--stateESTABLISHED,RELATED-jACCEPT
#blockmostcommonnetworkattacks(reconpacketsandsyn-floodattack)
iptables-AINPUT-ptcp--tcp-flagsALLNONE-jDROP
iptables-AINPUT-ptcp!--syn-mstate--stateNEW-jDROP
iptables-AINPUT-ptcp--tcp-flagsALLALL-jDROP
#openportsfordifferentservices
iptables-AINPUT-ptcp--dport22-jACCEPT#SSH
iptables-AINPUT-ptcp--dport80-jACCEPT#HTTP
#iptables-AINPUT-ptcp--dport443-jACCEPT#HTTPS
#iptables-AINPUT-ptcp--dport25-jACCEPT#SMTP
#iptables-AINPUT-ptcp--dport465-jACCEPT#SecureSMTP
#iptables-AINPUT-ptcp--dport110-jACCEPT#POP3
#iptables-AINPUT-ptcp--dport995-jACCEPT#SecurePOP
#ICMPconfiguration
#TopreventICMPDDOS,wedonotallowICMPtype8(echo-request)orlimitthisrequestwith1/second
#someICMPrequestsareallowed.
icmp_type="18"
forticmpin$icmp_type
do
iptables-AINPUT-picmp--icmp-type$ticmp-jACCEPT
done
#iptables-AINPUT-picmp--icmp-type8-mlimit--limit1/second-jACCEPT
#defaultpolicies
iptables-POUTPUTACCEPT
iptables-PINPUTDROP
#saveto/etc/sysconfig/iptables
/etc/init.d/iptablessave
你可以按照你的须要进行相应的更改。