V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
Distributions
Ubuntu
Fedora
CentOS
中文资源站
网易开源镜像站
GASALA
V2EX  ›  Linux

求指点 iptables 规则

  •  
  •   GASALA · 2014-04-10 20:47:05 +08:00 · 2967 次点击
    这是一个创建于 3909 天前的主题,其中的信息可能已经有所发展或是发生改变。
    下面iptables规则是我现在用的,是从linode上看来的,然后加了几行从其他地方看来的规则。-A -I 混合在一起,请问这样有问题吗?

    *filter

    # Allow all loopback (lo0) traffic and drop all traffic to 127/8 that doesn't use lo0
    -A INPUT -i lo -j ACCEPT
    -A INPUT -d 127.0.0.0/8 -j REJECT

    # Accept all established inbound connections
    -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

    # Allow all outbound traffic - you can modify this to only allow certain traffic
    -A OUTPUT -j ACCEPT

    # Allow HTTP and HTTPS connections from anywhere (the normal ports for websites and SSL).
    -A INPUT -p tcp --dport 80 -j ACCEPT
    -A INPUT -p tcp --dport 443 -j ACCEPT

    # Allow SSH connections
    #
    # The -dport number should be the same port number you set in sshd_config
    #
    -A INPUT -p tcp -m state --state NEW --dport 22 -j ACCEPT

    # limit 80 port
    -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 -j DROP

    -I INPUT -p tcp --dport 80 --syn -m recent --name badboy --rcheck --seconds 60 --hitcount 20 -j LOG --log-prefix "DDOS: " --log-ip-options

    -I INPUT -p tcp --dport 80 --syn -m recent --name badboy --rcheck --seconds 60 --hitcount 20 -j DROP

    -I INPUT -p tcp --dport 80 --syn -m recent --name badboy --set -j ACCEPT

    # Allow ping
    -A INPUT -p icmp -j ACCEPT

    # Log iptables denied calls
    -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7

    # Drop all other inbound - default deny unless explicitly allowed policy
    -A INPUT -j DROP
    -A FORWARD -j DROP

    COMMIT
    3 条回复    1970-01-01 08:00:00 +08:00
    GASALA
        1
    GASALA  
    OP
       2014-04-10 21:36:30 +08:00
    有人愿意指导一下吗^_^
    sheaven
        2
    sheaven  
       2014-04-11 11:57:45 +08:00
    iptables -L -vn 最终效果看看呢
    julyclyde
        3
    julyclyde  
       2014-04-11 22:19:34 +08:00
    -A和-I添加的位置不一样
    以最终形成的chain为准
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   4845 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 23ms · UTC 01:16 · PVG 09:16 · LAX 17:16 · JFK 20:16
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.