24小时热门版块排行榜

返回列表

当前主题已经存档。

当前只显示满足指定条件的回帖，点击这里查看本话题的所有回帖

q68

铁杆木虫 (著名写手)

应助: 3 (幼儿园)
贵宾: 1.615
金币: 14110.2
散金: 10
红花: 3
帖子: 2277
在线: 149.8小时
虫号: 325340
注册: 2007-03-17
性别: GG
专业: 金属材料的合金相、相变及

[交流] 【讨论】linux防火墙的选择？

如题！
有两个问题
1. linux有必要装防火墙吗？
2. 防火墙的选取与对比？
请使用过的说一下。

回复此楼

» 猜你喜欢

球磨粉体时遇到了大的问题，请指教！已经有11人回复
江汉大学解明教授课题组招博士研究生/博士后已经有3人回复

1楼 2009-06-06 12:26:02

已阅回复此楼关注TA 给TA发消息送TA红花 TA的回帖

tjyl

金虫 (正式写手)

应助: 0 (幼儿园)
金币: 3218.1
红花: 2
帖子: 576
在线: 156.6小时
虫号: 765184
注册: 2009-05-07
专业: 生物无机化学
管辖: 程序语言

★ ★ ★ ★ ★ ★ ★ ★ ★ ★ ★
小木虫(金币+0.5):给个红包，谢谢回帖交流
zeoliters(金币+5,VIP+0):感谢回帖交流！ 6-7 12:06
zhaohscas1976(金币+5,VIP+0):谢谢交流 6-9 16:03

我的机器自己简单配置了iptables
1-1023是需要root权限才能开启的端口，使用iptables来控制一下，高位端口1024-65535直接放开了。
把这个放在/etc/init.d下面
用/etc/inittab看现在的运行等级
debian下都是level 2.然后建立一个软连接在/etc/rc2.d下面。
链接的名字为S30wall（随便取，第一个S表示启动时start,30是启动的序号吧，自己也有点忘记了）
Debian系列的适应，Redhat系列的启动脚本放的位置不一样的。
端口需要根据自己的情况改一下。
一般情况用不着设置这些的，linux也有专门的防火墙软件的（个人感觉就是根据你的选择来修改iptables吧）。

#!/bin/bash
IPT=iptables
INTERNET="eth0"
LOOP="lo"
UNPRIVPORTS="1024:65535"
openports="20 22 21" #
allowports="80 443"
DNSPORT="53"
case $1 in
stop)
$IPT -F
$IPT -P INPUT ACCEPT
;;
start)
$IPT -F
#set the policy targets
$IPT -P INPUT DROP
$IPT -P OUTPUT ACCEPT
#accept all input actions  throw local loopback
$IPT -A INPUT -i $LOOP -j ACCEPT
#accept dnsserver's reply
$IPT -A INPUT -i $INTERNET -p udp  --dport $DNSPORT -j ACCEPT
#allow ftp and ssh connection
$IPT -A INPUT -i $INTERNET -p tcp --sport 20:22 -j ACCEPT
$IPT -A INPUT -i $INTERNET -p tcp --dport 20:22 -j ACCEPT
$IPT -A INPUT -i $INTERNET -p tcp --dport 1020:1023 -j ACCEPT
#allow http and https
$IPT -A INPUT -i $INTERNET -p tcp --sport 80 -j ACCEPT
$IPT -A INPUT -i $INTERNET -p tcp --sport 443 -j ACCEPT
#open unprivate ports
$IPT -A INPUT -i $INTERNET -p tcp  --dport $UNPRIVPORTS  -j ACCEPT
$IPT -A INPUT -i $INTERNET -p udp  --dport $UNPRIVPORTS  -j ACCEPT
#allow local pc to  ping  remote IP
$IPT -A INPUT -i $INTERNET -p icmp --icmp-type echo-reply -j ACCEPT
$IPT -A INPUT -i $INTERNET -p tcp -j REJECT --reject-with tcp-reset
$IPT -A INPUT -i $INTERNET -p udp -j REJECT --reject-with icmp-port-unreachable
#这里其实就是不要别人ping自己，但是自己可以ping其他机器
;;
*)
echo "wrong input."
;;
esac

书的话推荐机械工业出版社的第三版

赞一下(13人)

回复此楼

6楼2009-06-07 17:30:14

已阅回复此楼关注TA 给TA发消息送TA红花 TA的回帖

查看全部 10 个回答

abbott

金虫 (著名写手)

不要用QQ问我东西

应助: 16 (小学生)
金币: 1071.6
散金: 2787
红花: 10
帖子: 1015
在线: 105.2小时
虫号: 452267
注册: 2007-11-05
性别: GG
专业: 计算机硬件技术

★ ★ ★ ★ ★ ★ ★ ★ ★ ★ ★
小木虫(金币+0.5):给个红包，谢谢回帖交流
mingdong(金币+5,VIP+0):感谢交流！ 6-7 11:15
zhaohscas1976(金币+5,VIP+0):感谢交流！ 6-9 16:02

如果做严格的管理，
可以结合/etc/hosts.allow
/etc/hosts.deny
iptables
然后关闭不需要的服务,
你的系统几乎就OK了.
iptables 默认的策略 input全部drop
然后开启自己需要的端口的数据，策略为接受就可以了.....具体的可以参考鸟哥的站点......

echo 1 > /proc/sys/net/ipv4/ip_forward
/sbin/modprobe ip_tables
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
/sbin/iptables --flush INPUT
/sbin/iptables --flush FORWARD
/sbin/iptables --flush POSTROUTING --table nat
#/sbin/iptables --policy FORWARD DROP
/sbin/iptables --policy FORWARD ACCEPT
/sbin/iptables INPUT DROP

iptables -t nat -A PREROUTING -p tcp -d 59.72.122.49 --dport 3389 -j DNAT --to 192.9.206.130:3389
iptables -t nat -A PREROUTING -p tcp -d 59.72.122.49 --dport 20 -j DNAT --to 192.9.206.130:20
iptables -t nat -A PREROUTING -p tcp -d 59.72.122.49 --dport 21 -j DNAT --to 192.9.206.130:21

/sbin/iptables --table nat --append POSTROUTING --out-interface eth0 --source 192.9.206.0/24 --jump MASQUERADE

然后我设定，可以登录我机器的IP地址范围，就可以够用了

赞一下(17人)

回复此楼

Chemistry[]==[]Chem[]is[]try!!!