为CentOS 6设置IPTables防火墙

By | 2014/05/03

这里我们来讨论一下如何为你的CentOS 服务器来设置简单的防火墙。 这篇文章是以DigitalOcean的CentOS 6 VPS为基础来讨论的,同样也适用于 阿里云上其他类型的LINUX系统。 (阿里云有个云盾系统,因此在你自己的VPS上不设置防火墙也是可以的)

需要说明的是: 本文只涉及最基本的防火墙设置,能屏蔽一些常用的攻击,但并不能彻底保证你的服务器的安全。

系统的随时更新 以及 关闭不必要的服务 仍然是保证系统安全非常重要的步骤。

如果你需要更全面的了解iptables,阅读本文后,请google或是阅读更加深入的资料!

首先简单介绍一下什么是IPTables:

iptables是Linux内核中内置的防火墙,可以允许管理员通过设置table, chain以及相关的规则来进行数据包过滤和NAT。 一般来讲,iptables防火墙已经内置于CentOS 6及其他Linux版本中,而且iptables服务默认都是启动的。  iptables应用于IPv4, 如果要用IPv6,需要使用ip6tables.

iptables的命令格式:

 iptables [-t table] command [chain] [rules] [-j target] 

[-t table] :用来指明使用的表, 有三种选项: filter, nat 和 mangle,如果未指定,则使用filter作为缺省表。 事实上,对于单个服务器的防火墙配置,一般来讲,我们只需要对filter表进行配件就OK了。filter表包括 INPUT, OUTPUT,和FORWARD三个chain.

command 表明iptables命名要做什么,比如

-A (–append): 该命令会把一条规则附件到chain的末尾。

-D(–delete)用来删除某个规则。

-F (–flush) 如果指定了chain, 删除该chain中的所有规则,如果未指定chain, 则删除所有chain中的所有规则。

target: 是由规则指定的操作。 包括下面几种:

ACCEPT: 接收信息包(允许它前往目的地),并且将停止遍历chain.

DROP:  拒绝,

此外还有REJECT, RETURN, LOG, REDIRECT, MARK, MIRROR, MAQUERADE等。

具体的iptables的语法和概念就不再多说了,请参照 iptables man page 官方文档 .

简单来说,iptables防火墙是由一系列的规则(rule)组成,  一个数据请求进来, 会依次和这些规则进行比较,如果正好符合规则的定义,那这个数据请求要么会被接收ACCEPT,要么被拒绝DRIP。如果不符合任何规则的定义,最后缺省的规则会被应用。

 

开始操作之前:

注意:一定要把你在DigitalOcean/ Linode/ 阿里云上的服务器做一下快照备份 , 否则一旦你 iptables的配置出了问题,极有可能把你自己挡在门外,你自己都无法连接到服务器了!! 出现这种情况可是会欲哭无泪呀,除了重新做系统好像没有更好的办法了。( DigitalOcean提供了一个web console的界面,有时候会给你反悔和擦除iptables设置的机会,但阿里云没有)

 决定哪些端口需要开放

首先, SSH 的端口22自然是需要开放的,否则我们就无法登录服务器了。

一般来讲,CentOS的VPS经常作为用LAMP搭建的Web服务器,FTP服务器, Mail服务器等。

对于Web服务来说,需要开放80端口,如果是HTTPS/SSL协议的话,还需用开放443端口

对于Mail服务来说,由于涉及SMTP, POP3, IMAP协议,需要开放的端口如下:

SMTP : 25   Secure SMTP:465  POP3: 110   Secure POP3: 995   IMAP: 143   IMAP over SSL: 993

对于FTP服务来说,需要开放 20, 21两个端口

 

第一步: 屏蔽最常见的攻击

缺省情况下,CentOS的iptables的设置是允许任何数据通过的。

我们首先要清空iptables中的所有的规则:

 iptables -F 

然后我们加上阻止简单扫描和攻击的规则


iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP             #NONE 包(所有标识bit都没有设置)主要是扫描类的数据包

iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP     #防止sync-flood 攻击

iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP              #ALL包(所有的标注bit都被设置了)也是网络扫描的数据包

关于sync-flood, 请参照wikipedia 的解释。

 

第二步: 为相应的服务开放对应的端口

首先我们应该接受本机localhost的任何请求,否则,数据库连接等将无法工作

 iptables -A INPUT -i lo -j ACCEPT 

对于不同的服务需要开放不同的端口

iptables -A INPUT -p tcp --dport 22 -j ACCEPT      # SSH
iptables -A INPUT -p tcp --dport 80 -j ACCEPT      # HTTP
iptables -A INPUT -p tcp --dport 443 -j ACCEPT     #HTTPS
iptables -A INPUT -p tcp --dport 25 -j ACCEPT   #SMTP
iptables -A INPUT -p tcp --dport 465  -j ACCEPT #Secure SMTP
iptables -A INPUT -p tcp --dport 110 -j ACCEPT   #POP3
iptables -A INPUT -p tcp --dport 995 -j ACCEPT   #Secure POP3
iptables -A INPUT -p tcp --dport 143 -j ACCEPT   #IMAP
iptables -A INPUT -p tcp --dport 993 -j ACCEPT   #Secure IMAP

 

第三步: 加上通用的规则

首先要允许所有从服务器端发起的连接,由此返回的响应数据应该是允许的!比如VPS发起的yum update , 必须要允许外部的update数据进来


iptables -I INPUT -m state  --state ESTABLISHED, RELATED -j ACCEPT

最后,设置缺省的策略:屏蔽任何进入的数据请求,允许所有从Server发出的请求


iptables -P OUTPUT ACCEPT

iptables -P INPUT DROP

至此,规则设置完毕

第四步: 保存设置

首先通过下面的命令查看一下我们的设置是否正确!

 iptable -L -n 

确认没有问题后,执行下面的命令

 service iptables save

执行上述命令后,相应的规则会写入 /etc/sysconfig/iptables这个文件,你可以检查一下看看。

最后执行

service iptables restart

重新启动iptables防火墙,以使上述设置生效。

 

最佳的方法

为了更方便的修改和维护自己的iptables的设置,我一般是把所有的iptables的设置先写到一个单独文件中,测试没有问题后。然后再保存到iptable的配置文件中。

下面是我自己的iptables文件    ~/script/firewall.sh

</pre>
#!/bin/bash
# A simple iptables firewall configuration

PATH=/sbin:/bin:/usr/sbin:/usr/bin; export PATH

#flush/erase original rules
iptables -F #清除所有已制定的rule
iptables -X #清除用户自定义的chain/table
iptables -Z #将所有的chain的计数和流量统计归零

#Accept localhost connetting, no matter what it is
iptables -A INPUT -i lo -j ACCEPT

#Accept any response package which is initiated from inside
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#block most common network attacks(recon packets and syn-flood attack)
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

#open ports for different services
iptables -A INPUT -p tcp --dport 22 -j ACCEPT #SSH
iptables -A INPUT -p tcp --dport 80 -j ACCEPT #HTTP
#iptables -A INPUT -p tcp --dport 443 -j ACCEPT #HTTPS
#iptables -A INPUT -p tcp --dport 25 -j ACCEPT #SMTP
#iptables -A INPUT -p tcp --dport 465 -j ACCEPT #Secure SMTP
#iptables -A INPUT -p tcp --dport 110 -j ACCEPT #POP3
#iptables -A INPUT -p tcp --dport 995 -j ACCEPT #Secure POP

#ICMP configuration
#To prevent ICMP DDOS,we do not allow ICMP type 8(echo-request) or limit this request with 1/second
#some ICMP requests are allowed.
icmp_type="0 3 4 11 12 14 16 18"
for ticmp in $icmp_type
do
    iptables -A INPUT -p icmp --icmp-type $ticmp -j ACCEPT
done
#iptables -A INPUT -p icmp --icmp-type 8 -m limit --limit 1/second -j ACCEPT

#default policies
iptables -P OUTPUT ACCEPT
iptables -P INPUT DROP

#save to /etc/sysconfig/iptables
/etc/init.d/iptables save

你可以根据你的需要进行相应的修改。

 

4 thoughts on “为CentOS 6设置IPTables防火墙

  1. Noah SHENG

    楼主这篇文章条理清楚,解释很详细。小白受教了。
    不过文中略微有些不足,可以改进下。首先:
    1/ 第三步中 ESTABLISHED, RELATED 中间多了个空格,楼主后面文档中是正确的,希望楼主可以在网页中修改,以方便吾等新手啊。
    2/ 楼主可以将VPN的三条规则加进去,我就是因为这个才搜到楼主的文章》》》
    iptables -A INPUT -p tcp -m tcp –dport 1723 -j ACCEPT
    iptables -A INPUT -p gre -j ACCEPT
    iptables -t nat -A POSTROUTING -s 192.168.240.0/24 -o eth0 -j MASQUERADE #ip地址需根据需要自己修改

    望楼主能采纳建议。

    Reply
    1. Noah SHENG

      还有一点:第四步中 “iptable -L -n“ 无法执行,我只能用 ”iptables -L -n“, 自己用的是CentOS6,不知道是不是版本问题。

      最后可以再加上开机启动:
      chkconfig –level 345 iptables on

      Reply
    2. Jerry Wang Post author

      谢谢, 我回来修改一下原文

      Reply

发表评论

电子邮件地址不会被公开。 必填项已用*标注

This site uses Akismet to reduce spam. Learn how your comment data is processed.