Linux防火墙策略：仅允许部分端口访问

IICB • 2024-10-26 11:53 • 编程

在确定Linux防火墙策略的过程中，首先要选择需要开放的端口。一般来说，对于服务器来说，需要开放的端口包括HTTP、HTTPS、SSH、FTP等。但是在实际使用中，我们可以根据具体情况进行选择。

以HTTP为例，HTTP协议的默认端口为80。因此，在防火墙中开放80端口可以让用户通过HTTP协议访问网站。如果需要使用HTTPS协议，需要开放443端口。可以通过下面的iptables命令开放80端口：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

其中，“-A INPUT”表示添加一条规则到INPUT链，“-p tcp”表示使用TCP协议，“–dport 80”表示目标端口是80，最后“-j ACCEPT”表示接受这个连接。通过这个命令，可以将来自网络的80端口的连接请求授权给服务器。

同样的，如果需要开放其他端口，可以按照上述方法进行设置。

在确定需要开放的端口后，为了确保服务器的安全性，需要禁止所有未授权的端口访问。可以通过下面的iptables命令实现：

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

其中，“-P INPUT DROP”表示INPUT链默认拒绝所有请求，“-P FORWARD DROP”表示FORWARD链默认拒绝所有请求，“-P OUTPUT ACCEPT”表示OUTPUT链默认允许所有请求。

当然，如果网络中有特殊的服务需要开放，可以针对该服务在输入链中添加相应规则，以满足服务的正常运行。

除了限制端口访问之外，还可以通过MAC地址限制访问。MAC地址是网络接口的唯一地址，因此只有授权的MAC地址才能访问服务器。

可以通过下面的iptables命令实现MAC地址过滤：

iptables -A INPUT -m mac --mac-source 00:11:22:33:44:55 -j ACCEPT

其中，“-m mac”表示使用mac模块进行过滤，“–mac-source 00:11:22:33:44:55”表示指定MAC地址为00:11:22:33:44:55。

针对不同的MAC地址可以添加不同的规则，以实现细粒度的访问控制。

DDoS攻击是一种常见的网络攻击方式，可以通过占用服务器的带宽、资源等方式使服务器无法正常运行。为了防止DDoS攻击，可以使用iptables的限制速率功能，限制同一个IP地址的访问速率。

可以通过下面的iptables命令启用限速功能：

iptables -A INPUT -p tcp -m limit --limit 100/minute -j ACCEPT
iptables -A INPUT -j DROP

其中，“-m limit”表示使用速率限制模块，“–limit 100/minute”表示每分钟允许100个连接请求，“-j ACCEPT”表示接受这个连接。如果超过限制，就会进入DROP规则，拒绝这个连接。

通过此方式，可以有效地防止DDoS攻击。

原创文章，作者：IICB，如若转载，请注明出处：https://www.506064.com/n/144883.html