Linux防火牆策略：僅允許部分端口訪問

一、端口選擇

在確定Linux防火牆策略的過程中，首先要選擇需要開放的端口。一般來說，對於服務器來說，需要開放的端口包括HTTP、HTTPS、SSH、FTP等。但是在實際使用中，我們可以根據具體情況進行選擇。

以HTTP為例，HTTP協議的默認端口為80。因此，在防火牆中開放80端口可以讓用戶通過HTTP協議訪問網站。如果需要使用HTTPS協議，需要開放443端口。可以通過下面的iptables命令開放80端口：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

其中，“-A INPUT”表示添加一條規則到INPUT鏈，“-p tcp”表示使用TCP協議，“–dport 80”表示目標端口是80，最後“-j ACCEPT”表示接受這個連接。通過這個命令，可以將來自網絡的80端口的連接請求授權給服務器。

同樣的，如果需要開放其他端口，可以按照上述方法進行設置。

二、禁止所有端口訪問

在確定需要開放的端口後，為了確保服務器的安全性，需要禁止所有未授權的端口訪問。可以通過下面的iptables命令實現：

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

其中，“-P INPUT DROP”表示INPUT鏈默認拒絕所有請求，“-P FORWARD DROP”表示FORWARD鏈默認拒絕所有請求，“-P OUTPUT ACCEPT”表示OUTPUT鏈默認允許所有請求。

當然，如果網絡中有特殊的服務需要開放，可以針對該服務在輸入鏈中添加相應規則，以滿足服務的正常運行。

三、通過MAC地址限制訪問

除了限制端口訪問之外，還可以通過MAC地址限制訪問。MAC地址是網絡接口的唯一地址，因此只有授權的MAC地址才能訪問服務器。

可以通過下面的iptables命令實現MAC地址過濾：

iptables -A INPUT -m mac --mac-source 00:11:22:33:44:55 -j ACCEPT

其中，“-m mac”表示使用mac模塊進行過濾，“–mac-source 00:11:22:33:44:55”表示指定MAC地址為00:11:22:33:44:55。

針對不同的MAC地址可以添加不同的規則，以實現細粒度的訪問控制。

四、防止DDoS攻擊

DDoS攻擊是一種常見的網絡攻擊方式，可以通過佔用服務器的帶寬、資源等方式使服務器無法正常運行。為了防止DDoS攻擊，可以使用iptables的限制速率功能，限制同一個IP地址的訪問速率。

可以通過下面的iptables命令啟用限速功能：

iptables -A INPUT -p tcp -m limit --limit 100/minute -j ACCEPT
iptables -A INPUT -j DROP

其中，“-m limit”表示使用速率限制模塊，“–limit 100/minute”表示每分鐘允許100個連接請求，“-j ACCEPT”表示接受這個連接。如果超過限制，就會進入DROP規則，拒絕這個連接。

通過此方式，可以有效地防止DDoS攻擊。