Учебная программа по конфигурации iptables брандмауэра на阿里yun CentOS

Хотя Aliyun запустил услугу Cloud Shield, все же добавление дополнительного брандмауэра делает его более безопасным. Ниже приведен процесс настройки брандмауэра на VPS Aliyun, в настоящее время настроены только правила INPUT. Правила OUTPUT и FORWARD установлены в ACCEPT

Первый раздел, проверить состояние сервиса iptables

Сначала проверьте состояние сервиса iptables

[root@woxplife ~]# service iptables status
iptables: Брандмауэр не работает.

Усложнение: сервис iptables установлен, но сервис не запущен.
Если не установлено,可以直接 yum установить

yum install -y iptables

Запуск iptables

[root@woxplife ~]# service iptables start
iptables: Применение правил брандмауэра:             [ OK ]

Проверьте текущее состояние конфигурации iptables

[root@woxplife ~]# iptables -L -n

Второй раздел, удалить缺损的防火墙规则

# сначала перед удалением нужно изменить policy INPUT на ACCEPT, что означает прием всех запросов.
# это一定要先做,不然 после сброса может быть трагедия
iptables -P INPUT ACCEPT
# удалить все défaut правила
iptables -F
# удалить все自定义 правила
iptables -X
# сброс счетчиков к 0
iptables -Z

Третий раздел, настройка правил

# Разрешить пакеты из интерфейса lo
# Если у вас нет этой правила, вы не сможете доступа к локальным службам через 127.0.0.1, например ping 127.0.0.1
iptables -A INPUT -i lo -j ACCEPT 
# порт ssh 22
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# порт FTP 21
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
# порт веб-службы 80
iptables -A INPUT -p tcp --dport 80 -j ACCEP
# tomcat
iptables -A INPUT -p tcp --dport xxxx -j ACCEP
# mysql
iptables -A INPUT -p tcp --dport xxxx -j ACCEP
# Разрешить пакеты icmp, то есть разрешить ping
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
# Разрешить все возвращаемые запросы за пределами
# Запросы за пределами этой машины соответствуют OUTPUT, для возвращаемых пакетов данных необходимо принимать, что эквивалентно INPUT
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
# Если нужно добавить доверенный IP-адрес внутренней сети (принимать все TCP-запросы)
iptables -A INPUT -p tcp -s 45.96.174.68 -j ACCEPT
# Фильтровать все запросы, не включенные в вышеуказанные правила
iptables -P INPUT DROP

Четыре: Сохранить
Сначала посмотрите, правильно ли настроены конфигурации, используя iptables -L -n.
Не спешите сохранять, потому что это работает только в текущем сеансе, после перезагрузки это не будет работать, и если что-то пойдет не так, вы можете восстановить настройки сервера из бэкдага.
Откройте еще один ssh-соединение, чтобы убедиться, что вы можете войти.

Убедитесь, что все в порядке, а затем сохраните

# Сохранить
[root@woxplife ~]# service iptables save
# Добавить в автоматический запуск chkconfig
[root@woxplife ~]# chkconfig iptables on

Вот и все, что было в этой статье, надеюсь, это поможет вам в изучении.我们也 надеемся на вашу поддержку и поддержку учебного руководства.

Декларация: содержимое этой статьи взято из Интернета, авторские права принадлежат их авторам, материалы предоставлены пользователями Интернета добровольно и безвозмездно, сайт не обладает правами собственности, не производит редактирование материалов, не несет ответственности за них. Если вы обнаружите подозрительное содержимое, пожалуйста, отправьте письмо по адресу: notice#oldtoolbag.com (при отправке письма, пожалуйста, замените # на @) для сообщения и предоставления доказательств. Если подтвердится, сайт немедленно удаляет涉嫌侵权的内容.