如何使用iptables配置Linux防火牆?

在網路安全領域,iptables是配置Linux防火牆的強大工具。無論您是在管理伺服器租用環境還是保護伺服器託管設置,掌握iptables都至關重要。本指南將帶您從iptables基礎知識到進階技巧,使您能夠前所未有地加強Linux系統的安全性。

理解iptables: Linux的守門人

iptables不僅僅是一個工具,它是Linux網路安全的支柱。它在核心級別運作,根據預定義的規則攔截和控制網路流量。可以將其視為俱樂部裡警惕的保安,決定哪些資料包可以進入,哪些被拒之門外,哪些獲得特殊待遇。

iptables的核心包含三個主要概念:

表(Tables): 不同類型規則的分類
鏈(Chains): 表內規則的序列
規則(Rules): 應用於資料包的實際過濾器

準備您的武器庫: 安裝iptables

大多數Linux發行版都預裝了iptables。但如果您需要手動安裝,以下是在不同系統上的安裝方法:


# Debian/Ubuntu
sudo apt-get update
sudo apt-get install iptables

# CentOS/RHEL
sudo yum install iptables-services

# Arch Linux
sudo pacman -S iptables

要驗證安裝,請運行:

iptables --version

基本iptables命令: 您的第一道防線

在深入複雜配置之前,讓我們先熟悉一些基本的iptables命令:


# 查看當前規則
sudo iptables -L

# 添加允許SSH的規則
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 阻止一個IP地址
sudo iptables -A INPUT -s 192.168.1.100 -j DROP

# 保存規則
sudo iptables-save > /etc/iptables/rules.v4

制定您的防禦策略: 常見防火牆配置

現在我們已經掌握了基礎知識,讓我們探索一些每個系統管理員都應該知道的常見防火牆配置:

允許特定埠


# 允許傳入的HTTP流量
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# 允許傳入的HTTPS流量
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

實現NAT


# 啟用NAT
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# 將80埠轉發到內部伺服器
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80

進階iptables技巧: 成為防火牆忍者

準備好將您的iptables技能提升到新的水平了嗎?讓我們探索一些進階技巧:

使用自定義鏈實現更好的組織


# 創建自定義鏈
sudo iptables -N CUSTOM_CHAIN

# 向自定義鏈添加規則
sudo iptables -A CUSTOM_CHAIN -p tcp --dport 8080 -j ACCEPT

# 將自定義鏈連結到INPUT鏈
sudo iptables -A INPUT -j CUSTOM_CHAIN

實現速率限制


# 限制SSH連接每分鐘不超過3次
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP