Linux限制IP访问详解

小蓝 • 2024-12-12 13:00 • 编程

一、基本概念

在讨论Linux的IP访问限制之前，先来了解一下相关的基本概念。IP（Internet Protocol）地址是标识计算机网络中设备的数字标识符。它是由32位二进制数组成，可以用点分十进制表示。

IP地址被分为公网IP和内网IP，公网IP是通过互联网供应商提供的，可以直接被访问；内网IP是在局域网内部使用的，不能直接被访问。

限制IP访问是指禁止或允许特定的IP地址或IP地址段访问计算机资源。这项技术可以被应用于网络安全和管理控制等各种场景。

二、iptables限制IP访问

iptables是Linux系统下的一个强大的防火墙工具，它可以限制各种网络流量的进出。下面是一个常见的iptables示例，可以限制所有来自192.168.0.1的IP地址的访问。

iptables -A INPUT -s 192.168.0.1 -j DROP

这条命令的意思是将所有源地址为192.168.0.1的数据包丢弃。

除了DROP以外，iptables还支持ALLOW和REJECT等多种action，分别表示允许和拒绝数据包。可以结合使用不同的action来实现更加精细的IP限制策略。

三、hosts.allow和hosts.deny

除了iptables以外，Linux系统还提供了另外两种限制IP访问的方式，即hosts.allow和hosts.deny文件。这两个文件通常位于/etc目录下，用于限制哪些IP可以访问哪些服务。

对于hosts.allow文件，可以使用ALL:ALL表示所有IP都被允许访问，也可以使用ALL:LOCAL表示只有本机地址可以访问。同样，可以使用特定的IP地址段或主机名限制访问。

# 允许所有主机访问ssh服务
sshd:ALL:ALLOW

# 限制192.168.0.1~192.168.0.255的主机访问ssh服务
sshd:192.168.0.0/255.255.255.0:ALLOW

# 仅允许localhost访问ssh服务
sshd:127.0.0.1:ALLOW

hosts.deny文件则可以用来限制被拒绝的主机。同样，可以使用ALL:ALL拒绝所有主机的访问，也可以使用特定的IP地址段。

# 拒绝所有主机访问ftp服务
ftp:ALL:DENY

# 限制192.168.0.1~192.168.0.255的主机访问ftp服务
ftp:192.168.0.0/255.255.255.0:DENY

四、ufw应用级别的限制

ufw（Uncomplicated Firewall）是一个基于iptables的简易防火墙工具，可以轻松地对系统进行防火墙配置。

ufw可以通过限制特定端口或应用程序来限制访问。下面的命令将允许来自192.168.0.1的主机访问ssh服务。

ufw allow from 192.168.0.1 to any port 22 proto tcp

如果想要禁止某个主机访问某个服务，则可以使用如下命令。

ufw deny from 192.168.0.1 to any port 22 proto tcp

五、fail2ban防攻击

fail2ban是一个Python编写的防止暴力破解攻击的工具，通过监听系统日志文件，可以检测到恶意的登录尝试，从而自动封锁攻击者的IP地址。

fail2ban主要通过配置相关规则，将检测到的恶意IP地址添加到防火墙规则中，从而实现自动封禁。

以下是一个常见的fail2ban配置文件示例，可以限制来自特定IP地址的ssh访问。

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
bantime = 86400
maxretry = 3
banaction = iptables_multiport
banip = 192.168.0.1

六、总结

Linux提供了多种限制IP访问的技术，在实际应用中可以选择最适合自己的方式进行限制，以保障系统的安全和可靠运行。使用iptables、hosts.allow和hosts.deny、ufw和fail2ban等工具可以实现对IP访问的全面管控，更好地保护服务器的安全。

原创文章，作者：小蓝，如若转载，请注明出处：https://www.506064.com/n/244227.html