2. 程式人生 > >Linux防火墻：iptables禁IP與解封IP常用命令

Linux防火墻：iptables禁IP與解封IP常用命令

阿新 • • 發佈：2018-06-04
for ip訪問 如果 攻擊 AD table cto dos mac地址

在Linux下，使用ipteables來維護IP規則表。要封停或者是解封IP，其實就是在IP規則表中對入站部分的規則進行添加操作。

要封停一個IP，使用下面這條命令：

iptables -I INPUT -s ***.***.***.*** -j DROP

要解封一個IP，使用下面這條命令：

  1. iptables -D INPUT -s ***.***.***.*** -j DROP

參數-I是表示Insert（添加），-D表示Delete（刪除）。後面跟的是規則，INPUT表示入站，***.***.***.***表示要封停的IP，DROP表示放棄連接。

此外，還可以使用下面的命令來查看當前的IP規則表：

  1. iptables -list

比如現在要將123.44.55.66這個IP封殺，就輸入：

  1. iptables -I INPUT -s 123.44.55.66 -j DROP

要解封則將-I換成-D即可，前提是iptables已經有這條記錄。如果要想清空封掉的IP地址，可以輸入：

  1. iptables -flush

要添加IP段到封停列表中，使用下面的命令：

  1. iptables -I INPUT -s 121.0.0.0/8 -j DROP

其實也就是將單個IP封停的IP部分換成了Linux的IP段表達式。關於IP段表達式網上有很多詳細解說的，這裏就不提了。

相信有了iptables的幫助，解決小的DDoS之類的攻擊也不在話下！

附：其他常用的命令

編輯 iptables 文件

  1. vi /etc/sysconfig/iptables

關閉/開啟/重啟防火墻

  1. /etc/init.d/iptables stop
  3. #start 開啟
  5. #restart 重啟

驗證一下是否規則都已經生效：

  1. iptables -L

保存並重啟iptables

  1. /etc/rc.d/init.d/iptables save
  2. service iptables restart

linux下實用iptables封ip段的一些常見命令：

封單個IP的命令是：

  1. iptables -I INPUT -s 211.1.0.0 -j DROP

封IP段的命令是：

  1. iptables -I INPUT -s 211.1.0.0/16 -j DROP
  2. iptables -I INPUT -s 211.2.0.0/16 -j DROP
  3. iptables -I INPUT -s 211.3.0.0/16 -j DROP

封整個段的命令是：

  1. iptables -I INPUT -s 211.0.0.0/8 -j DROP

封幾個段的命令是：

  1. iptables -I INPUT -s 61.37.80.0/24 -j DROP
  2. iptables -I INPUT -s 61.37.81.0/24 -j DROP

想在服務器啟動自運行的話有三個方法：

1、把它加到/etc/rc.local中

2、iptables-save >;/etc/sysconfig/iptables可以把你當前的iptables規則放到/etc/sysconfig/iptables中，系統啟動iptables時自動執行。

3、service iptables save 也可以把你當前的iptables規則放/etc/sysconfig/iptables中，系統啟動iptables時自動執行。

後兩種更好此，一般iptables服務會在network服務之前啟來，更安全。

解封的話：
iptables -D INPUT -s IP地址 -j REJECT
iptables -F 全清掉了

Linux防火墻Iptable如何設置只允許某個ip訪問80端口，只允許特定ip訪問某端口？參考下面命令，只允許46.166.150.22訪問本機的80端口。如果要設置其他ip或端口，改改即可。

  1. iptables -I INPUT -p TCP –dport 80 -j DROP
  2. iptables -I INPUT -s 46.166.150.22 -p TCP –dport 80 -j ACCEPT

在root用戶下執行上面2行命令後，重啟iptables， service iptables restart

查看iptables是否生效：

  1. [root@www.xxx.com]# iptables -L
  2. Chain INPUT (policy ACCEPT)
  3. target prot opt source destination
  4. ACCEPT tcp – 46.166.150.22 anywhere tcp dpt:http
  5. DROP tcp – anywhere anywhere tcp dpt:http
  7. Chain FORWARD (policy ACCEPT)
  8. target prot opt source destination
  10. Chain OUTPUT (policy ACCEPT)
  11. target prot opt source destination

上面命令是針對整個服務器（全部ip）禁止80端口，如果只是需要禁止服務器上某個ip地址的80端口，怎麽辦？

下面的命令是只允許來自174.140.3.190的ip訪問服務器上216.99.1.216的80端口

  1. iptables -A FORWARD -s 174.140.3.190 -d 216.99.1.216 -p tcp -m tcp –dport 80 -j ACCEPT
  2. iptables -A FORWARD -d 216.99.1.216 -p tcp -m tcp –dport 80 -j DROP

更多iptables參考命令如下：

1.先備份iptables

  1. # cp /etc/sysconfig/iptables /var/tmp

需要開80端口，指定IP和局域網

下面三行的意思：

先關閉所有的80端口

開啟ip段192.168.1.0/24端的80口

開啟ip段211.123.16.123/24端ip段的80口

  1. # iptables -I INPUT -p tcp –dport 80 -j DROP
  2. # iptables -I INPUT -s 192.168.1.0/24 -p tcp –dport 80 -j ACCEPT
  3. # iptables -I INPUT -s 211.123.16.123/24 -p tcp –dport 80 -j ACCEPT

以上是臨時設置。

2.然後保存iptables

  1. # service iptables save

3.重啟防火墻

  1. #service iptables restart

===============以下是轉載================================================

以下是端口，先全部封再開某些的IP

  1. iptables -I INPUT -p tcp –dport 9889 -j DROP
  2. iptables -I INPUT -s 192.168.1.0/24 -p tcp –dport 9889 -j ACCEPT

如果用了NAT轉發記得配合以下才能生效

  1. iptables -I FORWARD -p tcp –dport 80 -j DROP
  2. iptables -I FORWARD -s 192.168.1.0/24 -p tcp –dport 80 -j ACCEPT

常用的IPTABLES規則如下：
只能收發郵件，別的都關閉

  1. iptables -I Filter -m mac –mac-source 00:0F:EA:25:51:37 -j DROP
  2. iptables -I Filter -m mac –mac-source 00:0F:EA:25:51:37 -p udp –dport 53 -j ACCEPT
  3. iptables -I Filter -m mac –mac-source 00:0F:EA:25:51:37 -p tcp –dport 25 -j ACCEPT
  4. iptables -I Filter -m mac –mac-source 00:0F:EA:25:51:37 -p tcp –dport 110 -j ACCEPT

IPSEC NAT 策略

  1. iptables -I PFWanPriv -d 192.168.100.2 -j ACCEPT
  2. iptables -t nat -A PREROUTING -p tcp –dport 80 -d $INTERNET_ADDR -j DNAT –to-destination 192.168.100.2:80
  4. iptables -t nat -A PREROUTING -p tcp –dport 1723 -d $INTERNET_ADDR -j DNAT –to-destination 192.168.100.2:1723
  6. iptables -t nat -A PREROUTING -p udp –dport 1723 -d $INTERNET_ADDR -j DNAT –to-destination 192.168.100.2:1723
  8. iptables -t nat -A PREROUTING -p udp –dport 500 -d $INTERNET_ADDR -j DNAT –to-destination 192.168.100.2:500
  10. iptables -t nat -A PREROUTING -p udp –dport 4500 -d $INTERNET_ADDR -j DNAT –to-destination 192.168.100.2:4500

FTP服務器的NAT

  1. iptables -I PFWanPriv -p tcp –dport 21 -d 192.168.1.22 -j ACCEPT
  2. iptables -t nat -A PREROUTING -p tcp –dport 21 -d $INTERNET_ADDR -j DNAT –to-destination 192.168.1.22:21

只允許訪問指定網址

  1. iptables -A Filter -p udp –dport 53 -j ACCEPT
  2. iptables -A Filter -p tcp –dport 53 -j ACCEPT
  3. iptables -A Filter -d www.ctohome.com -j ACCEPT
  4. iptables -A Filter -d www.guowaivps.com -j ACCEPT
  5. iptables -A Filter -j DROP

開放一個IP的一些端口，其它都封閉

  1. iptables -A Filter -p tcp –dport 80 -s 192.168.1.22 -d www.pconline.com.cn -j ACCEPT
  2. iptables -A Filter -p tcp –dport 25 -s 192.168.1.22 -j ACCEPT
  3. iptables -A Filter -p tcp –dport 109 -s 192.168.1.22 -j ACCEPT
  4. iptables -A Filter -p tcp –dport 110 -s 192.168.1.22 -j ACCEPT
  5. iptables -A Filter -p tcp –dport 53 -j ACCEPT
  6. iptables -A Filter -p udp –dport 53 -j ACCEPT
  7. iptables -A Filter -j DROP

多個端口

  1. iptables -A Filter -p tcp -m multiport –destination-port 22,53,80,110 -s 192.168.20.3 -j REJECT

連續端口

  1. iptables -A Filter -p tcp -m multiport –source-port 22,53,80,110 -s 192.168.20.3 -j REJECT iptables -A Filter -p tcp –source-port 2:80 -s 192.168.20.3 -j REJECT

指定時間上網

  1. iptables -A Filter -s 10.10.10.253 -m time –timestart 6:00 –timestop 11:00 –days Mon,Tue,Wed,Thu,Fri,Sat,Sun -j DROP
  2. iptables -A Filter -m time –timestart 12:00 –timestop 13:00 –days Mon,Tue,Wed,Thu,Fri,Sat,Sun -j ACCEPT
  3. iptables -A Filter -m time –timestart 17:30 –timestop 8:30 –days Mon,Tue,Wed,Thu,Fri,Sat,Sun -j ACCEPT

禁止多個端口服務

  1. iptables -A Filter -m multiport -p tcp –dport 21,23,80 -j ACCEPT

將WAN 口NAT到PC

  1. iptables -t nat -A PREROUTING -i $INTERNET_IF -d $INTERNET_ADDR -j DNAT –to-destination 192.168.0.1

將WAN口8000端口NAT到192。168。100。200的80端口

  1. iptables -t nat -A PREROUTING -p tcp –dport 8000 -d $INTERNET_ADDR -j DNAT –to-destination 192.168.1.22:80

MAIL服務器要轉的端口

  1. iptables -t nat -A PREROUTING -p tcp –dport 110 -d $INTERNET_ADDR -j DNAT –to-destination 192.168.1.22:110
  2. iptables -t nat -A PREROUTING -p tcp –dport 25 -d $INTERNET_ADDR -j DNAT –to-destination 192.168.1.22:25

只允許PING 202。96。134。133,別的服務都禁止

  1. iptables -A Filter -p icmp -s 192.168.1.22 -d 202.96.134.133 -j ACCEPT
  2. iptables -A Filter -j DROP

禁用BT配置

  1. iptables –A Filter –p tcp –dport 6000:20000 –j DROP

禁用QQ防火墻配置

  1. iptables -A Filter -p udp –dport ! 53 -j DROP
  2. iptables -A Filter -d 218.17.209.0/24 -j DROP
  3. iptables -A Filter -d 218.18.95.0/24 -j DROP
  4. iptables -A Filter -d 219.133.40.177 -j DROP

基於MAC，只能收發郵件，其它都拒絕

  1. iptables -I Filter -m mac –mac-source 00:0A:EB:97:79:A1 -j DROP
  2. iptables -I Filter -m mac –mac-source 00:0A:EB:97:79:A1 -p tcp –dport 25 -j ACCEPT
  3. iptables -I Filter -m mac –mac-source 00:0A:EB:97:79:A1 -p tcp –dport 110 -j ACCEPT

禁用MSN配置

  1. iptables -A Filter -p udp –dport 9 -j DROP
  2. iptables -A Filter -p tcp –dport 1863 -j DROP
  3. iptables -A Filter -p tcp –dport 80 -d 207.68.178.238 -j DROP
  4. iptables -A Filter -p tcp –dport 80 -d 207.46.110.0/24 -j DROP

只允許PING 202。96。134。133 其它公網IP都不許PING

  1. iptables -A Filter -p icmp -s 192.168.1.22 -d 202.96.134.133 -j ACCEPT
  2. iptables -A Filter -p icmp -j DROP

禁止某個MAC地址訪問internet:

  1. iptables -I Filter -m mac –mac-source 00:20:18:8F:72:F8 -j DROP

禁止某個IP地址的PING:

  1. iptables –A Filter –p icmp –s 192.168.0.1 –j DROP

禁止某個IP地址服務：

  1. iptables –A Filter -p tcp -s 192.168.0.1 –dport 80 -j DROP
  2. iptables –A Filter -p udp -s 192.168.0.1 –dport 53 -j DROP

只允許某些服務，其他都拒絕(2條規則)

  1. iptables -A Filter -p tcp -s 192.168.0.1 –dport 1000 -j ACCEPT
  2. iptables -A Filter -j DROP

禁止某個IP地址的某個端口服務

  1. iptables -A Filter -p tcp -s 10.10.10.253 –dport 80 -j ACCEPT
  2. iptables -A Filter -p tcp -s 10.10.10.253 –dport 80 -j DROP

禁止某個MAC地址的某個端口服務

  1. iptables -I Filter -p tcp -m mac –mac-source 00:20:18:8F:72:F8 –dport 80 -j DROP

禁止某個MAC地址訪問internet:

  1. iptables -I Filter -m mac –mac-source 00:11:22:33:44:55 -j DROP

禁止某個IP地址的PING:

    1. iptables –A Filter –p icmp –s 192.168.0.1 –j DROP https://blog.csdn.net/qjc_501165091/article/details/51225984

Linux防火墻：iptables禁IP與解封IP常用命令

相關推薦

Linux防火墻：iptables禁IP與解封IP常用命令

for ip訪問 如果 攻擊 AD table cto dos mac地址 在Linux下，使用ipteables來維護IP規則表。要封停或者是解封IP，其實就是在IP規則表中對入站部分的規則進行添加操作。 要封停一個IP，使用下面這條命令： iptables -I INP

Linux防火牆：iptables禁IP與解封IP常用命令

要封停一個IP，使用下面這條命令：iptables -I INPUT -s ***.***.***.*** -j DROP要解封一個IP，使用下面這條命令：iptables-D INPUT -s ***.***.***.***-j DROP引數-I是表示Insert（新增），-D表示Delete（刪除）。後面

Linux防火墻限制指定port僅僅能由指定IP訪問

端口 state article name dsm ack 防火墻 dport 公司 須要對redis的端口做限制，僅僅能讓公司內指定IP的機器訪問 -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACC

Linux防火墻之iptables參數

iptablesiptables命令參數1、清理參數[[email protected]~]# /etc/init.d/iptables start 啟動iptables[[email protected]~]# /etc/init.d/iptables status 查看iptables

Linux防火墻之iptables

filter iptables 防火墻 簡 述 Linux的防火墻主要工作在網絡層，針對TCP/IP數據包實施過濾和限制，屬於典型的包過濾防火墻（或稱為網絡層防火墻）。Linux系統的防火墻體系基於內核編碼實現，具有非常穩定的性能和極高的效率。 Netfilter與iptables的關系 Net

linux防火墻(iptables)關閉與開啟配置

iptables永久性生效，重啟後不會復原chkconfig iptables onchkconfig iptables off即時生效，重啟後復原service iptables startservice iptables stop需要說明的是對於Linux下的其它服務都可以用以上命令執行開啟和關閉操作。在

linux防火墻--firewalld：zone與service的介紹

service abc a13 備份 ffffff alt dff jpg 技術 iptables的備份與恢復 linux防火墻--firewalld firewalld的9個zone firewalld關於service的操作 小需求舉例 linux防火墻--fi

Linux添加防火墻、iptables的安裝和配置（親測）

accept verbose conf inpu wall ron -h 數據流 ack iptables基礎 規則（rules）其實就是網絡管理員預定義的條件，規則一般的定義為“如果數據包頭符合這樣的條件，就這樣處理這個數據包”。規則存儲在內核空間的信息

Linux 防火墻iptables開放端口

str table linux發行版本 因特網 拒絕 linux發行版 bin 其他 ble Iptabels是與Linux內核集成的包過濾防火墻系統，幾乎所有的linux發行版本都會包含Iptables的功能。如果 Linux 系統連接到因特網或 LAN、服務器或連接 L

Linux 防火墻iptables 實例

用戶 插入 就是 mtu dir all 註意 ftp連接 改變 　　iptables的基本語法格式 　　　　iptables [-t 表名] 命令選項 ［鏈名］ ［條件匹配］ ［-j 目標動作或跳轉］　　　　說明：表名、鏈名用於指定iptables命令所操作的表和鏈，命

Linux防火墻（SElinux、netfilter）防火墻工具iptables

pac val 重新開始 語法 tro his 序列號 disable sel Linux防火墻 SElinux防火墻 SElinux是Linux系統特有的安全機制，一般裝完系統後都會手動將它關閉； 查詢狀態 getenforce Enforcing:為開啟狀態，Pe

iptables 簡單介紹及應用 Linux防火墻

報文 防火 哪裏 慢慢 and 假設 命令 class dna iptables 即 Linux防火墻 的簡單介紹及使用 iptables生效位置如下圖: 　　其中, 網絡防火墻也可以使用一臺啟用了iptables的Linux主機代替; 路由器或集線器等設施在拓撲中省略

14-思科防火墻：ASA對IP分片的處理

方式 acc trying sha 遠程 bcf 分片 images 通過 一、實驗拓撲：二、實驗要求：1、R2開啟80的流量；2、R1采用http方式遠程登錄R2；R1#telnet 10.1.1.2 80：本來應該是Telnet流量，然後變成了80流量；3、抓包驗證：是

6-華為防火墻：配置基於源IP地址的NAT

外部 icm sha authent images 分享 -o 實驗 isp 一、實驗一：配置No-Pat1、基本配置略：2、R1開啟Telnet功能：[R1]user-interface vty 0 4[R1-ui-vty0-4]authentication-mode p

IP tables防火墻：SNAT策略、DNAT策略

let png 轉發 網上 網關 spa gif mage 裏的 SNAT+DNAT 策略簡介：·SNAT（源地址轉換）：是Linux防火墻的一種地址轉換操作，也是iptables命令中的一種數據包控制類型，其作用是根據指定調教修改數據包的源IP地址內部地址要訪問公網上的服

Linux防火墻iptables（三）

登錄 發現 實驗 置配 才有 設置 是我 簽名 all Linux防火墻iptables（三）我們前面兩篇已經把iptables介紹的比較充分了，今天來說一個iptables對layer 7的實踐。我們說過iptables/netfilter工作在內核空間是不支持應用層協議

Linux 防火墻開放特定端口 （iptables）

從服務器 ble acc 轉發 特定 數據源 ice 文件 drop iptables是linux下的防火墻，同時也是服務名稱。 service iptables status 查看防火墻狀態service iptables start

linux防火墻關閉與中文顯示亂碼排錯

三種 failed 使用命令 oot echo conf 防火 () bubuko PS1 PS1主要用來控制命令行的樣式 如： \u:代表當前用戶 whoami \h:代表當前主機名 hostname \W:代表當前位置 pwd 修改PS1 SEli

Linux防火墻常用操作

cmd 生效 規則 tcp logs public 常用 nbsp fire sudo firewall-cmd --permanent --zone=public --add-port=32200/tcp —— 配置白名單 sudo sys

linux防火墻開放端口

images art table com 分享 nbsp iptable 圖標 img 首先進入到cd /etc/sysconfig/ 這個目錄，然後查看這個文件：vim iptables； 然後將自己想要開放端口寫上去。（下圖標註） 最後重啟下服務service i