設置默認策略以刪除輸入和前進鏈，同時允許輸出； 2。允許回環(huán)流量和障礙物欺騙的本地主機地址； 3.允許建立響應流量的相關(guān)連接； 4。允許SSH在端口22上（如果需要的話，以及HTTP/HTTPS）； 5。使用特定於分佈的方法保存規(guī)則，例如iptables-persistent或iptables-save； 6.使用iptable -l驗證規(guī)則，並通過記錄刪除數(shù)據(jù)包進行監(jiān)視，以確保在維持安全性的同時僅允許使用必要的流量。

使用Linux上的iptables設置基本的防火牆可為您提供對網(wǎng)絡流量的細粒度控制。雖然現(xiàn)代分佈經(jīng)常使用ufw或firewalld等高級工具，但了解iptables可以幫助您直接管理規(guī)則有效地進行故障排除。這是使用iptables設置簡單但安全的防火牆的方法。

1。了解iptables的基礎知識

iptables通過在表中包含鏈條的表中定義規(guī)則來起作用。最常用的表是filter表，其中包括三個默認鏈：

• 輸入- 處理系統(tǒng)的傳入流量
• 輸出- 處理系統(tǒng)的傳出流量
• 向前- 處理路由流量（通常用於路由器）

每個規(guī)則都指定條件（例如端口，協(xié)議，源IP）和目標操作（例如ACCEPT ， DROP或REJECT ）。

默認情況下，通常將策略（如果沒有規(guī)則匹配的話）設置為ACCEPT 。安全的設置更改默認策略以DROP和明確允許僅允許所需的流量。

2。設置基本的安全規(guī)則集

首先要沖洗現(xiàn)有規(guī)則（如果您遠程連接，請小心 - 您可能會鎖定自己）：

 sudo iptables -f
sudo iptables -x

設置默認策略以DROP傳入流量，但允許外向：

 sudo iptables -p輸入下降
sudo iptables -p向前下降
sudo iptables -p輸出接受

現(xiàn)在允許基本流量：

允許回環(huán)流

本地服務需要通過環(huán)回接口進行通信：

 sudo iptables -a輸入-i lo -j接受
sudo iptables -a輸入-s 127.0.0.0/8 -J drop

第二個規(guī)則阻止外部數(shù)據(jù)包欺騙本地主機。

允許建立的相關(guān)連接

讓您對您發(fā)出的請求的回復回來：

 sudo iptables -a輸入-M conntrack -ctState已建立，相關(guān)-J接受

允許SSH（端口22）

如果遠程管理服務器，則至關(guān)重要：

 sudo iptables -A輸入-P TCP -DPORT 22 -J接受

？安全提示：考慮更改SSH端口或使用基於密鑰的身份驗證來降低風險。

允許HTTP和HTTPS（可選）

如果運行Web服務器：

 sudo iptables -A輸入-P TCP -DPORT 80 -J接受
sudo iptables -A輸入-P TCP -DPORT 443 -J接受

3。保存規(guī)則

除非保存，否則在重新啟動時會丟失規(guī)則。該方法因分佈而變化。

在Debian/Ubuntu上：

安裝iptables-persistent ：

 sudo apt安裝iptables is stistent
sudo netfilter-persistent保存

在Centos/Rhel/Rocky Linux上：

使用service或iptables-save ：

 sudo服務iptables保存

或手動：

 sudo iptables-save> /etc/iptables/rules.v4

然後使用腳本或SystemD服務在啟動上還原。

4。驗證和監(jiān)視

檢查活動規(guī)則：

 sudo iptables -l -v

請參閱規(guī)則訂單中的規(guī)則數(shù)字：

 sudo iptables -l輸入-v -n -line -numbers

按數(shù)字刪除規(guī)則：

 sudo iptables -d輸入3＃刪除輸入鏈中的規(guī)則＃3

最後筆記

• 始終從另一個終端測試防火牆規(guī)則，或使用CRON作業(yè)重置規(guī)則，如果您被鎖定了。

• 除非需要，避免阻止所有ICMP（如ping） - 它有助於解決故障排除。

• 如果調(diào)試，請使用日誌記錄以刪除數(shù)據(jù)包：

   sudo iptables -a輸入-j log -log -prefix“ iptables -dropped：”

  基本的防火牆不需要復雜 - 默認情況下只能阻止一切，只允許您需要的東西。

  基本上，就是這樣：默認下降，允許環(huán)回和已建立的連接，為您運行的服務打開端口並保存規(guī)則。

  以上是如何在Linux上使用Iptables設置基本防火牆的詳細內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！