给大家带来Linux防火墙示例 用复杂划定规矩集回护收集

系统做了些什么，这需要时间去掌握，(背命令不是一件好的学习方法，相信我你一定会在你背完之前全部忘光)，尽量掌握常用命令；
防火墙的设置请求以下：
1、回绝一切表面传进的、向外的和转发的包。
2、同意一切别传的TCP毗连：我们这里同意的如web/telnet/ssh/ftp等别传。
3、同意外发的TCP毗连的前往封包经由过程防火墙，需反省封包的形态。
4、同意向外发送UDP毗连在端口53上指定域名服务器，但只同意伟进的DNS封包进进外部的域名服务器chivas。
5、创立同意内核从一个收集接口向另外一个收集接口得当转发封包的划定规矩：来自专网的向因特网传送的封包需从外部接口eth0向内部接口eth1转发。前往的封包以相反偏向发送返来。
6、在内核中启用IP转发功效。

构建一个基础的防火墙
[root@linux-tysroot]#sysctlCp-----设置IP转发
[root@linux-tysroot]#cat/proc/sys/net/ipv4/ip_forward-----确认IP转发，能够见到了局为1

[root@lgroot]#iptablesCF-----扫除预设表filter中一切划定规矩链的划定规矩
[root@lgroot]#iptablesCX-----扫除预设表filter中自界说划定规矩链的划定规矩
[root@lgroot]#iptablesCFCtmangle-----扫除表mangle中一切划定规矩链的划定规矩
[root@lgroot]#iptablesCtmangle-X-----扫除表mangle中一切自界说划定规矩链的划定规矩
[root@lgroot]#iptablesCFCtnat-----扫除表nat中一切划定规矩链的划定规矩
[root@lgroot]#iptablesCtnat-X-----扫除表nat中一切自界说划定规矩链的划定规矩

[root@linux-tysroot]#iptables-AINPUT-ptcp--dport22-jACCEPT
[root@lgroot]#iptables-AOUTPUT-ptcp--sport22-mstate--stateESTABLISHED-jACCEPT
[root@linux-tysroot]#iptables-PINPUTDROP
[root@linux-tysroot]#iptables-POUTPUTDROP
[root@linux-tysroot]#iptables-PFORWARDDROP

[root@linux-tysroot]#iptables-AOUTPUT-jACCEPT-olo----此两举动在回送接口上同意外部收集流量
[root@linux-tysroot]#iptables-AINPUT-jACCEPT-ilo

[root@linux-tysroot]#iptables-AOUTPUT-jACCEPT-oeth1-ptcp-mstate--stateESTABLISHED,NEW
-----此划定规矩设置新建和已建的TCP毗连的封包将会经由过程eth1向外转发，不指明源和方针地点代表任何地点

[root@linux-tysroot]#iptables-AINPUT-ieth0-s192.168.1.0/24-jACCEPT--这条同意来自专网抵达专网接口的一切流量，上面一条划定规矩则是反省抵达内部收集接口的每一个封包，属于已有毗连经由过程
[root@linux-tysroot]#iptables-AINPUT-ieth1-mstate--stateESTABLISHED,RELATED-jACCEPT

以下设置划定规矩使之从一个收集接口转发到另外一个：第一条划定规矩吸收一切来自专网的封包，并被转发到外网卡eth1上；第二条划定规矩抵达内部收集接口eth1上的封包，如属于已有毗连，则转发到内网。
[root@linux-tysroot]#iptables-AFORWARD-ieth0-jACCEPT-
[root@linux-tysroot]#iptables-AFORWARD-ieth1-mstate--stateESTABLISHED,RELATED-jACCEPT

最初创建NAT划定规矩，POSTROUTING表封包送出时必要翻译，该划定规矩设置为对流出内部收集接口eth1的封包起感化，并将源地点变成eth1的地点。
[root@linux-tysroot]#modprobeiptable_nat----加载NAT模块
[root@linux-tysroot]#iptables-APOSTROUTING-tnat-oeth1-jSNAT--to192.168.32.254

备份和恢复
1、备份防火墙设置：[root@lgroot]#iptables-save>iptablesrules.txt本次设为iptablesdefault.txt
2、删除防火墙设置：[root@lgroot]#iptablesCF删除一切的链。
3、恢复防火墙设置：[root@lgroot]#iptables-restoreiptablesrules.txt

使防火墙主动化
[root@linux-tysroot]#iptables-save>/etc/sysconfig/iptables---保留划定规矩到/etc/syscofig/iptables中，并自启动
[root@linux-tysroot]#/etc/init.d/iptablesstart/stop/restart----保留后则可用这个命令来把持其形态

利用自界说链整固防火墙
基础划定规矩其实不反省除TCP毗连形态之外的事项，可经由过程自界说的链来扩大基础防火墙以助于处置增添的庞大性，更加庞大的划定规矩集可指定哪个TCP端口可使用和毗连的源地点。同时创立特定的划定规矩来处置单个毗连能够削减黑客使用端口的时机。

修正后的防火墙设置以下：
1、起首也是启用转发，清空一切划定规矩，设默许为DROP，在回送接口上同意一切外部收集流量。然后我们将创立两条自界说链来处置从专网和外网接口抵达的封包。上面是SSH的会见要保存。

2、创立一个PRIV链来处置来自公用收集的流量。这个链传送已有前往的封包，进进防火墙的SSH封包，和目标地为因特网的FTP、SSH和HTTP封包，然后将INPUT链划定规矩导向到这一个链上。
[root@linux-tysroot]#iptables-NPRIV
[root@linux-tysroot]#iptables-APRIV-mstate--stateESTABLISHED,RELATED-jACCEPT
[root@linux-tysroot]#iptables-APRIV-ptcpCs192.168.1.0/24Cd192.168.1.254--dport22-jACCEPT
[root@linux-tysroot]#iptables-APRIV-pudpCd0/0--dport53-jACCEPT
[root@linux-tysroot]#iptables-APRIV-ptcp-d0/0--dport21-jACCEPT
[root@linux-tysroot]#iptables-APRIV-ptcp-d0/0--dport80-jACCEPT
[root@linux-tysroot]#iptables-AINPUT-ieth0-jPRIV
[root@linux-tysroot]#iptables-AOUTPUTCoeth0-jPRIV

3、创立一个链来处置来自DMZ（假如利用的话）和内部收集抵达的流量。这个链抛弃来自公用收集和DMZ网源地点的一切封包，这是由于，第一，前者是棍骗地点，第二，依据战略，不同意来自DMZ的流量进进到收集中。该链承受来自已有毗连和编址到因特网的包。
[root@linux-tysroot]#iptables-NEXT
[root@linux-tysroot]#iptables-AEXT-s192.168.32.0/24-jDROP
[root@linux-tysroot]#iptables-AEXT-s192.168.1.0/24-jDROP
[root@linux-tysroot]#iptables-AEXT-s0/0-ptcp--dport1024:65535-jACCEPT
[root@linux-tysroot]#iptables-AEXT-sany/0-d192.168.32.254-jACCEPT
[root@linux-tysroot]#iptables-AINPUT-ieth1-jEXT--设置INPUT链，使之将流量导向到EXT
[root@linux-tysroot]#iptables-AOUTPUTCoeth1-jEXT

4、修正FORWARD链以创立网关功效。自内网接口来的新的或已有的毗连被转发到内部接口上。
[root@linux-tysroot]#iptables-AFORWARD-ieth0-mstate--stateNEW,ESTABLISHED,RELATED-jACCEPT
[root@linux-tysroot]#iptables-AFORWARD-ieth1-mstate--stateESTABLISHED,RELATED-jACCEPT

5、创建SNAT划定规矩。对源地点起感化转换为192.168.32.254。此步后便可完成网关防火墙功效了。
[root@linux-tysroot]#modprobeiptable_nat
[root@linux-tysroot]#iptables-APOSTROUTING-tnat-oeth1-jSNAT--to192.168.32.254

6、设置OUTPUT链。使之同意来自防火墙服务的封包传到公用收集及因特网上。
[root@linux-tysroot]#iptables-AOUTPUT-oeth0-d192.168.1.0/24-jACCEPT
[root@linux-tysroot]#iptables-AOUTPUT-oeth1-mstate--stateNEW,ESTABLISHED,RELATED-jACCEPT

7、反省防火墙划定规矩并增加一条划定规矩然后保留划定规矩
[root@linux-tysroot]#iptables-LCv-----v将显现收集接口的附加信息
[root@linux-tysroot]#iptables-APRIV-ptcp-dany/0--dport23-jACCEPT
[root@linux-tysroot]#iptables-save>custom.txt或作上面命令的保留
[root@linux-tysroot]#iptables-save>/etc/sysconfig/iptables---保留划定规矩到/etc/syscofig/iptables中，并自启动

</p>
网络操作命令：ifconfig、ip、ping、netstat、telnet、ftp、route、rloginrcp、finger、mail、nslookup

一定要养成在命令行下工作的习惯，要知道X－window只是运行在命令行模式下的一个应用程序。在命令行下学习虽然一开始进度较慢。

linux鸟哥的私房菜，第三版，基础篇，网上有pdf下的，看它的目录和每章的介绍就行了，这个绝对原创！

其次，Linux简单易学，因为我们初学者只是学的基础部分，Linux的结构体系非常清晰，再加上老师循序渐进的教学以及耐心的讲解，使我们理解起来很快，短期内就基本掌握了操作和运行模式。

Windows有MS-DOS?方式，在该方式下通过输入DOS命令来操作电脑；Linux与Windows类似，也有命令方式，Linux?启动后如果不执行?X-WINDOWS，就会处于命令方式下，必须发命令才能操作电脑。?

Linux高手更具有鼓励新手的文化精神。如何在Linux社区获得帮助，需要说明的是你要有周全的思考，准备好你的问题，不要草率的发问。

虽然大家都比较喜欢漂亮的mm，但是在学 linux 的过程中，还是要多和“男人”接触一下：P 遇到问题的时候，出来看说和上网查之外，就是要多用 linux 下的 man 命令找找帮助。

Linux?最大的优点在于其作为服务器的强大功能，同时支持多种应用程序及开发工具，所以Linux操作系统有着广泛的应用空间。