如何使用iptables配置Linux防火墙?

在网络安全领域,iptables是配置Linux防火墙的强大工具。无论您是在管理服务器租用环境还是保护服务器托管设置,掌握iptables都至关重要。本指南将带您从iptables基础知识到高级技巧,使您能够前所未有地加强Linux系统的安全性。

理解iptables: Linux的守门人

iptables不仅仅是一个工具,它是Linux网络安全的支柱。它在内核级别运作,根据预定义的规则拦截和控制网络流量。可以将其视为俱乐部里警惕的保安,决定哪些数据包可以进入,哪些被拒之门外,哪些获得特殊待遇。

iptables的核心包含三个主要概念:

表(Tables): 不同类型规则的分类
链(Chains): 表内规则的序列
规则(Rules): 应用于数据包的实际过滤器

准备您的武器库: 安装iptables

大多数Linux发行版都预装了iptables。但如果您需要手动安装,以下是在不同系统上的安装方法:


# Debian/Ubuntu
sudo apt-get update
sudo apt-get install iptables

# CentOS/RHEL
sudo yum install iptables-services

# Arch Linux
sudo pacman -S iptables

要验证安装,请运行:

iptables --version

基本iptables命令: 您的第一道防线

在深入复杂配置之前,让我们先熟悉一些基本的iptables命令:


# 查看当前规则
sudo iptables -L

# 添加允许SSH的规则
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 阻止一个IP地址
sudo iptables -A INPUT -s 192.168.1.100 -j DROP

# 保存规则
sudo iptables-save > /etc/iptables/rules.v4

制定您的防御策略: 常见防火墙配置

现在我们已经掌握了基础知识,让我们探索一些每个系统管理员都应该知道的常见防火墙配置:

允许特定端口


# 允许传入的HTTP流量
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# 允许传入的HTTPS流量
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

实现NAT


# 启用NAT
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# 将80端口转发到内部服务器
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80

高级iptables技巧: 成为防火墙忍者

准备好将您的iptables技能提升到新的水平了吗?让我们探索一些高级技巧:

使用自定义链实现更好的组织


# 创建自定义链
sudo iptables -N CUSTOM_CHAIN

# 向自定义链添加规则
sudo iptables -A CUSTOM_CHAIN -p tcp --dport 8080 -j ACCEPT

# 将自定义链链接到INPUT链
sudo iptables -A INPUT -j CUSTOM_CHAIN

实现速率限制


# 限制SSH连接每分钟不超过3次
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP