会员登录/控制面版您的位置: 首页 >> 操作系统 >> Linux >> 一个iptables教本

一个iptables教本

阅览次数:
文章来源:
原文作者:
整理日期: 2005-09-07
发表评论

字体大小:
小
中
大

#!/bin/bash
#
# ========================================================
# 脚本说明:
# 欢迎使用iptables.rule这个script来建立您的防火墙
# 这个script还需要您自己根据您的环境设定后,方可工作
# 基本规则定义为::[拒绝所有,开放特定]
#
# 强烈建议
# 不了解Linux防火墙机制iptables的朋友使用这个script
# 可能会不太了解每个命令的意义,如果这样
# 欢迎您参考以下几个网页:
# http://www.study-area.org/linux/servers/linux_nat.htm
# http://linux.vbird.org/linux_server/0240network-secure-1.php
# http://linux.vbird.org/linux_server/0250simple_firewall.php
#
# 使用说明
# 请先将这个脚本权限更改为可执行:
# chmod 755 iptables.rule
# 将此脚本放置在 /usr/local/firewall 下
# mkdir -p /usr/local/firewall
# mv /您的完整的路径/iptables.rule /usr/local/firewall
# 执行测试:
# /usr/local/firewall.rule
# iptables -L -n   (这个动作检查防火墙规则)
# 将下面一行加入 /etc/rc.d/rc.local 中
# /usr/local/firewall.rule
# 取消防火墙
# iptables -F
# iptables -X
# iptables -t nat -F
# iptables -t nat -X
#
# ========================================================
# 版权提示:
# 此脚本为 GPL 授权,任何人都可以使用
# 使用此 scripts 发生任何问题时
# 本人不负任何责任
# VBird <vbird@tsai.adsldns.org>
# ========================================================
# 历史纪录:
# 2002/08/20 VBird 首次
# 2003/04/26 VBird 加入砍站软体的相关执行文件
# 2003/08/25 VBird 修改 INPUT 的 Policy 为 DROP
# ========================================================

# 0.0 Please key in your parameters
# 这个EXTIF后面接的为[对外的网卡"WAN"]
# 一般来说,如果是ADSL/FTTH等,就是"ppp0"
# 如果是固定IP,那么就是"eth0"
# The interface that connect Internet
EXTIF="ppp0"

# 下面的INIF为对内网卡(Lan)
# 如果您的Linux没有对内网卡,请留空
# INIF=""
# 
# the inside interface. if you don't have this one
# and you must let this be black ex> INIF=""
INIF="eth1"
INNET="192.168.1.0/24" # This is for NAT's network

# 1.0 测试您的Linux内核版本及防火墙模组
#kver=`uname -r | cut -c 1-3`
#if [ "$kver" != "2.4" ] && [ "$kver" != "2.5" ]; then
#echo "Your Linux Kernel Version may not be suported by this script!"
#echo "This scripts will not be runing"
#exit
# fi
# ipchains=`lsmod | grep ipchains`
# if [ "$ipchains" != "" ]; then
#echo "unload ipchains in your system"
#rmmod ipchains 2> /dev/null
# fi

# 2.0 载入模组
PATH=/sbin:/bin:/usr/sbin:/usr/bin
export PATH EXTIF INIF INNET
modprobe ip_tables > /dev/null 2>&1
modprobe iptable_nat > /dev/null 2>&1
modprobe ip_nat_ftp > /dev/null 2>&1
modprobe ip_nat_irc > /dev/null 2>&1
modprobe ip_conntrack > /dev/null 2>&1
modprobe ip_conntrack_ftp > /dev/null 2>&1
modprobe ip_conntrack_irc > /dev/null 2>&1

# 3.0 清除所有的防火墙规则
/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -Z
/sbin/iptables -F -t nat
/sbin/iptables -X -t nat
/sbin/iptables -Z -t nat
/sbin/iptables -P INPUT   DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -t nat -P PREROUTING ACCEPT
/sbin/iptables -t nat -P POSTROUTING ACCEPT
/sbin/iptables -t nat -P OUTPUT      ACCEPT

# 4.0 先允许任何网络,包括lo这个界面
#          以及刚才指定的内部界面(LAN)
#          当然,重点是启动您的Linux为NAT服务器功能
/sbin/iptables -A INPUT -i lo -j ACCEPT
if [ "$INIF" != "" ]; then
/sbin/iptables -A INPUT -i $INIF -j ACCEPT
echo "1" > /proc/sys/net/ipv4/ip_forward
/sbin/iptables -t nat -A POSTROUTING -s $INNET -o $EXTIF -j MASQUERADE
fi

# 5.0 开始载入任何可以拒绝的网络设定的文件
#     下面2个文件可以自行建立
if [ -f /usr/local/firewall.deny ]; then
sh /usr/local/firewall.deny
fi
if [ -f /usr/local/firewall.allow ]; then
sh /usr/local/firewall.allow
fi

# 6.0 下面这个文件如果存在,则执行!!
#       请注意::这个文件与防止砍站的软件有关
if [ -f /usr/local/firewall/httpd-err/iptables.http ]; then
        sh /usr/local/firewall/httpd-err/iptables.http
fi

# 7.0 允许ICMP封包,允许已建立的连接通过
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
AICMP="0 3 3/4 4 11 12 14 16 18"
for tyicmp in $AICMP
do
/sbin/iptables -A INPUT -i $EXTIF -p icmp --icmp-type $tyicmp -j ACCEPT
done

# 8.0 Allow services,请关闭您的服务器没有开放的服务..在行前加"#"..
# /sbin/iptables -A INPUT -p TCP -i $EXTIF --dport 22 -j ACCEPT # SSH
#/sbin/iptables -A INPUT -p TCP -i $EXTIF --dport 25 -j ACCEPT # SMTP
/sbin/iptables -A INPUT -p UDP -i $EXTIF --dport 53 -j ACCEPT # DNS
/sbin/iptables -A INPUT -p TCP -i $EXTIF --dport 53 -j ACCEPT # DNS
/sbin/iptables -A INPUT -p TCP -i $EXTIF --dport 80 -j ACCEPT # WWW
/sbin/iptables -A INPUT -p TCP -i $EXTIF --dport 21 -j ACCEPT     # FTP
# /sbin/iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 20000:30000 -j ACCEPT     # PASV_PORTS FTP USE
# /sbin/iptables -A INPUT -p TCP -i $EXTIF --dport 110 -j ACCEPT # POP3
# /sbin/iptables -A INPUT -p TCP -i $EXTIF --dport 113 -j ACCEPT # auth
# /sbin/iptables -A INPUT -p tcp -i eth1 -s 192.168.1.0/24 --dport 137:139

上一篇:深入理解sizeof
下一篇:Photoshop调色，制作阿宝色彩的练习

相关文章

热点文章

一个iptables教本