zoukankan      html  css  js  c++  java
  • iptables详解(9)iptables之网络防火墙

    将B作为网络防火墙的出口,需要对当前的网络进行转发操作

    在A可以ping通B  但是ping不通同网段的C的时候,可以开启B的网络转发功能。

    使用如下命令查看当前主机是否已开启了核心转发,立即生效,但是重启网络配置后会失效

    方法1:

    root@ubuntu:~# cat /proc/sys/net/ipv4/ip_forward
    0
    root@ubuntu:~# 
    root@ubuntu:~# 
    root@ubuntu:~# echo 1 >/proc/sys/net/ipv4/ip_forward
    root@ubuntu:~# cat /proc/sys/net/ipv4/ip_forward
    1

    方法2:

    sysctl -w net.ipv4.ip_forward=1  

    想要永久生效就只能配置系统的/etc/sysctl.conf文件,在配置文件中将net.ipv4.ip_forward设置为1

    由于当前的iptables的角色为网络防火墙,所以需要在filter表中的FORWARD链中设置规则

    可以使用白名单机制 先添加一条默认拒绝的规则,然后再为所需要放行的报文设置规则

    配置规则时需要考虑方向问题,针对请求报文和回应报文,考虑报文的源地址和目标地址,源端口和目标端口等

    如eg

    允许网络主机访问网络外主机的web服务和sshd服务

    iptables -A FORWARD -j REJECT

    iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 80 -j ACCEPT

    iptables -I FORWARD -d 10.1.0.0/16 -p tcp --sport 80 -j ACCEPT

    iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 22 -j ACCEPT

    iptables -I FORWARD -d 10.1.0.0/16 -p tcp --sport 22 -j ACCEPT

    可以使用state扩展模块,对上述规则进行优化,使用如下配置可以省略许多 回应报文放行规则

    iptables -A FORWARD -j REJECT

    iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 80 -j ACCEPT

    iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 22 -j ACCEPT

    iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

    当测试网络防火墙 默认前提是网络已经正确配置,如果出现问题 先确定主机防火墙规则的配置没有问题

  • 相关阅读:
    新添61工程文件后无法编译问题
    beaglebone_black_学习笔记——(4)闪烁LED之shell命令
    PADS技巧——铺铜
    自定义map对象,用于再不支持es6的map的时候
    vue.js基础学习(2)
    vue.js基础学习(1)
    ie浏览器float兼容性
    webAPI路由的使用
    webAPI中使用log4net进行日志记录
    webAPI中使用FormsAuthenticationTicket作为登录权限票据
  • 原文地址:https://www.cnblogs.com/chenxiaomeng/p/12382537.html
Copyright © 2011-2022 走看看