Hexo

CentOS7安装和配置iptables防火墙

2018-09-06

本文主要介绍一下CentOS7下如何安装和配置iptables防火墙。

环境配置

从CentOS7(RHEL7)开始,官方的标准防火墙设置软件从iptables变更为firewalld。 因此,为了使Fail2ban与iptables联动,需禁用自带的firewalld服务,同时安装iptables服务。

首先,使用如下命令停止和禁用自带的firewalld服务。

1
2
systemctl stop firewalld
systemctl mask firewalld

然后,使用如下命令安装iptables。

1
2
3
yum install -y iptables
yum update iptables
yum install iptables-services

为了记录iptables防火墙丢弃的数据包到日志文件,还需修改/etc/rsyslog.conf文件。

1
vim  /etc/rsyslog.conf

填入以下内容。

kern.*     /var/log/iptables.log

重启rsyslog服务。

1
service rsyslog restart

另外,还需对日志文件每隔一段时间(一周)进行切割,所以需要编辑/etc/logrotate.d/syslog文件。

1
vim /etc/logrotate.d/syslog

然后填入以下内容。

/var/log/iptables.log

规则设定

关于iptables的书写规则网上已经有很多说明。本文列举一份针对Web服务器的iptables脚本然后对其进行说明。

以下是一份完整的iptables脚本。

1
2
3
4
5
6
7
8
9
10
11
12
13
iptables -P INPUT ACCEPT
iptables -F
iptables -X
iptables -Z
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -j LOG --log-prefix "iptables denied"
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

然后重启防火墙。

1
2
service iptables save
service iptables restart

查看iptables现有规则

1
iptables -L -n

脚本说明

1
iptables -P INPUT ACCEPT

表示先允许所有的输入通过防火墙,以防远程连接断开。

1
iptables -F

表示清空所有默认规则。

1
iptables -X

表示清空所有自定义规则。

1
iptables -Z

表示将所有计数器归0。

1
iptables -A INPUT -i lo -j ACCEPT

表示允许来自于lo接口(本地访问)的数据包

1
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

表示开放22端口(SSH)。

1
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

表示开放80端口(HTTP)

1
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

表示开放443端口(HTTPS)

1
iptables -A INPUT -m state --state  RELATED,ESTABLISHED -j ACCEPT

表示允许接受本机请求之后的返回数据。

1
iptables -A INPUT  -p tcp -j LOG --log-prefix "iptables denied"

表示所有被丢弃的包都会被记录到/var/log/iptables.log文件中,且每条记录会以”iptables denied”作为前缀。

1
iptables -P INPUT DROP

表示其他入站一律丢弃

1
iptables -P OUTPUT ACCEPT

表示所有出站一律通过

1
iptables -P FORWARD DROP

表示所有转发一律通过

设定其他规则

如果要添加可信任网段:192.168.0.1/24,接受其所有请求。

1
iptables -A INPUT -s 192.168.0.1/24 -j ACCEPT

如果要添加可信任ip:192.168.0.1,接受其所有TCP请求。

1
iptables -A INPUT -p tcp -s 192.168.0.1 -j ACCEPT

如果要添加可信任ip:192.168.0.1,接受其对某个端口:3306的所有TCP请求。

1
iptables -I INPUT -p tcp -s 192.168.0.1 --dport 3306 -j ACCEPT

如果要封停一个IP:192.168.0.1。

1
iptables -I INPUT -s 192.168.0.1 -j DROP

参考文献

1.CentOS7安装iptables防火墙
2.iptables命令
3.如何记录Linux IPTables防火墙丢弃的数据包到日志文件
4.iptables案例:搭建web服务器的防火墙