前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >iptables防火墙实验

iptables防火墙实验

作者头像
谢公子
发布2022-01-20 15:50:27
1.3K0
发布2022-01-20 15:50:27
举报
文章被收录于专栏:谢公子学安全谢公子学安全

目录

配置防火墙使之禁止访问 ftp 服务

配置防火墙使得指定网段的才可以访问FTP服务

禁止PING

按网段禁止Ping

禁止Telnet服务

按网段禁止Telnet服务

先说明一下环境,这里有四台主机,中间的Centos充当防火墙。右上角的win XP和右下角的Rhel7充当服务器,最左边的win7充当主机。四者之间的网卡都已经配置好。而且我们已经在Centos6.5上开启了端口转发功能。

  • echo 1 > /proc/sys/net/ipv4/ip_forward (临时开启)
  • sysctl -w net.ipv4.ip_forward=1 (临时开启)
  • vim /etc/sysctl.conf , 将net.ipv4.ip_forward=0 改为 =1,然后 sysctl -p /etc/sysctl.conf 使之生效 (永久开启IP转发)

防火墙开启了IP转发功能后,然后清空iptables里面的所有规则,放行所有。win7、winXP、Rhel7都把防火墙给关了,然后四者之间就可以相互通信了。

配置防火墙使之禁止访问 ftp 服务

我们在win xp上开启ftp服务,通过win7 和 Rhel7 可以 ftp WinXP。

现在我们要配置防火墙,使之禁止FTP服务的流量经过。因为Win7要想FTP访问WinXP,流量先经过防火墙,然后再由防火墙转发。所以我们对防火墙的 filter 表的 FORWARD 链进行配置,使之拒绝FTP流量经过

代码语言:javascript
复制
iptables -t filter -A FORWARD -p tcp --dport 21 -j DROP

可以看到,filter表中的FORWARD链已经加了一条拒绝TCP的21号端口通过的 规则了。然后我们再从Win7 FTP WinXP,可以看到,已经不能FTP了。

配置防火墙使得指定网段的才可以访问FTP服务

我们在防火墙上配置,使得Rhel7的才可以访问FTP服务,而Win7不能访问FTP服务。

代码语言:javascript
复制
iptables -t filter -A FORWARD -s 10.0.0.2 -p tcp --dport 21 -j ACCEPT //filter表的FORWARD链允许源地址10.0.0.2的主机,目的端口21号的流量 
iptables -t filter -A FORWARD -s 192.168.1.2 -p tcp --dport 21 -j DROP //filter表的FORWAARD链拒绝源地址192.168.1.2的主句,目的端口21号的流量

可以看到,filter表中的FORWARD链默认拒绝所有流量经过,放行源地址分别为10.0.0.0/24和20.0.0.0/24的ftp服务。

禁止PING

在防火墙上配置丢弃 icmp 协议的 request 包,也就是icmp-type为8的包

代码语言:javascript
复制
iptables -A FORWARD -p icmp --icmp-type 8 -j DROP

可以看到,已经ping不通了,Windows系统显示请求超时,而Linux系统则发不出去包

而当我们配置的是拒绝icmp协议的包通过

代码语言:javascript
复制
iptables -A FORWARD -p icmp --icmp-type 8 -j REJECT

拒绝的话,windows系统和Linux系统都是显示目标端口不可达。

按网段禁止Ping

配置防火墙,丢弃192.168.1.0/24网段的icmp请求包,允许10.0.0.0/24网段的icmp请求包

代码语言:javascript
复制
iptables -A FORWARD -s 192.168.1.0/24 -p icmp --icmp-type 8 -j DROP iptables -A FORWARD -s 10.0.0.0/24 -p icmp --icmp-type 8 -j ACCEPT

可以看到,Win7已经不能ping了,而Rhel7可以ping

禁止Telnet服务

其他的和上面的一模一样,只是过滤规则的端口改了

代码语言:javascript
复制
iptables -A FORWARD -p tcp --dport 23 -j DROP

按网段禁止Telnet服务

代码语言:javascript
复制
iptables -A FORWARD -s 192.168.1.0/24 -p tcp --dport 23 -j DROP iptables -A FORWARD -s 20.0.0.0/24 -p tcp --dport 24 -j ACCEPT

相关文章:Linux利用iptables做端口复用

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2021-04-26,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 谢公子学安全 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档