# iptables企業應用模板 [TOC] ## 一、簡述 ### 1. 部署企業級防火墻兩種思路 1) 默認規則默認是允許的狀態。 逛公園的思路,只阻止指定的人員進入 2) 默認規則默認是不允許的狀態[更安全]。 看電影的思路,只允許指定的人員進入 ### 2. 防止自己被踢出門外 操作過程中,有可能配置錯誤導致自己也被阻斷SSH連接,處理此問題的方法如下 1) 去機房重啟系統或登錄服務器刪除剛才的禁止規則 2) 讓機房人員重啟服務器或者讓機房人員拿用戶密碼登錄進去 3) 通過服務器的遠程管理卡管理 4) 先寫一個定時任務，每5分鐘就停止防火墻 [預防為主,推薦] 5) 測試環境測試好，寫成腳本，批量執行[預防為主,推薦] ## 二、配置實戰 1. 備份防火墻配置文件信息 ```sh cp /etc/sysconfig/iptables{,.bak} ``` 2. 配置規則清除 ```sh iptables -F iptables -X iptables -Z ``` 3. 別把自己踢出到門外 ```sh iptables -A INPUT -s 10.0.0.1 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 22 -j ACCEPT ``` 4. 配置防火墻filter上各個鏈的默認規則 ```sh iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT ``` 5. 允許本機lo通信規則 ```sh iptables -A INPUT -i lo -j ACCEPT ``` 6. 指定外網可以訪問的端口信息 ```sh iptables -A INPUT -p tcp -m multiport --dport 80,443 -j ACCEPT ``` 7. 內網之間不要配置防火墻策略 放開內網網段之間的訪問 ```sh iptables -A INPUT -s 172.16.1.0/24 -j ACCEPT ``` 8. 允許某些外網訪問 如合作企業,異地機房等 ```sh iptables -A INPUT -s 10.0.1.0/24 -j ACCEPT iptables -A INPUT -s 10.0.2.0/24 -j ACCEPT ``` 9. 允許關聯的狀態包通過 ```sh iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT ``` 10. 允許icmp類型協議通過[ping.非必須] ```sh iptables -A INPUT -p icmp -m icmp-type any -j ACCEPT 提示：如果不想開，就不執行此命令,或者如下僅允許指定IP可以ping iptables -A INPUT -p icmp -s 10.0.0.0/24 -m icmp --icmp-type any -j ACCEPT ``` ## 三、保存配置 1. 用防火墻啟動腳本命令參數，實現永久保存 ```sh /etc/init.d/iptables save ``` 保存到/etc/sysconfig/iptables 下面，以后重啟，會自動調用此文件中的配置 2. 利用防火墻配置信息保存命令，實現永久保存 ```sh iptables-save >/etc/sysconfig/iptables ``` 3. 保存文件查看 ```sh cat /etc/sysconfig/iptables # Generated by iptables-save v1.4.7 on Mon Aug 15 01:33:44 2016 *nat :PREROUTING ACCEPT [1413:153792] :POSTROUTING ACCEPT [132:8834] :OUTPUT ACCEPT [132:8834] COMMIT # Completed on Mon Aug 15 01:33:44 2016 # Generated by iptables-save v1.4.7 on Mon Aug 15 01:33:44 2016 *filter :INPUT DROP [1798:662465] :FORWARD DROP [0:0] :OUTPUT ACCEPT [288:21100] -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT -A INPUT -s 10.0.0.0/24 -p tcp -j ACCEPT -A INPUT -i lo -j ACCEPT -A OUTPUT -o lo -j ACCEPT COMMIT # Completed on Mon Aug 15 01:33:44 2016 ```