CentOS7安装iptables防火墙

Posted on In

本文转自 清园 的《CentOS7安装iptables防火墙》

请直接复制第八部分的脚本到服务器，保存成***.sh ，并使用chmod +x ***.sh 提升脚本权限，然后直接使用./***.sh 执行即可。参考链接附《国内端口检测网站》。

CentOS7默认的防火墙不是iptables，而是firewalld。

一、 安装iptables

#先检查是否安装了iptables

1
service iptables status

#安装iptables

1
yum install -y iptables

#升级iptables

1
yum update iptables

#安装iptables-services

1
yum install iptables-services

二、 禁用/停止自带的firewalld服务

#停止firewalld服务

1
systemctl stop firewalld

#禁用firewalld服务

1
systemctl mask firewalld

三、 设置现有规则

#查看iptables现有规则

1
iptables -L -n

#先允许所有,不然有可能会杯具

1
iptables -P INPUT ACCEPT

#清空所有默认规则

1
iptables -F

#清空所有自定义规则

1
iptables -X

#所有计数器归0

1
iptables -Z

#允许来自于lo接口的数据包(本地访问)

1
iptables -A INPUT -i lo -j ACCEPT

#开放22端口

1
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

#开放21端口(FTP)

1
iptables -A INPUT -p tcp --dport 21 -j ACCEPT

#开放80端口(HTTP)

1
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

#开放443端口(HTTPS)

1
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

#允许ping

1
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

#允许接受本机请求之后的返回数据 RELATED,是为FTP设置的

1
iptables -A INPUT -m state --state  RELATED,ESTABLISHED -j ACCEPT

#其他入站一律丢弃

1
iptables -P INPUT DROP

#所有出站一律绿灯

1
iptables -P OUTPUT ACCEPT

#所有转发一律丢弃

1
iptables -P FORWARD DROP

四、 其他规则设定

#如果要添加内网ip信任（接受其所有TCP请求）

1
iptables -A INPUT -p tcp -s 45.96.174.68 -j ACCEPT

#过滤所有非以上规则的请求

1
iptables -P INPUT DROP

#要封停一个IP，使用下面这条命令：

1
iptables -I INPUT -s ***.***.***.*** -j DROP

#要解封一个IP，使用下面这条命令:

1
iptables -D INPUT -s ***.***.***.*** -j DROP

五、 保存规则设定

#保存上述规则

1
service iptables save

六、 开启iptables服务

#服务 开启 / 停止 / 重启 / 查看状态

1
service iptables start / stop / restart / status

# 七、其他

解决vsftpd在iptables开启后,无法使用被动模式的问题

1.首先在/etc/sysconfig/iptables-config中修改或者添加以下内容

1
2
3
#添加以下内容,注意顺序不能调换
IPTABLES_MODULES="ip_conntrack_ftp"
IPTABLES_MODULES="ip_nat_ftp"

2.重新设置iptables设置

1
iptables -A INPUT -m state --state  RELATED,ESTABLISHED -j ACCEPT

八、 以上完整脚本如下

版本一（通用）：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
#!/bin/sh
iptables -P INPUT ACCEPT
iptables -F
iptables -X
iptables -Z

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

service iptables save
systemctl restart iptables.service

版本二（自定义）：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
#!/bin/sh

systemctl stop firewalld
systemctl mask firewalld

iptables -P INPUT ACCEPT
iptables -F
iptables -X
iptables -Z

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

iptables -A INPUT -p tcp --dport 22222 -j ACCEPT
iptables -A INPUT -p tcp --dport 62666 -j ACCEPT
iptables -A INPUT -p tcp --dport 20188 -j ACCEPT
iptables -A INPUT -p tcp --dport 23333 -j ACCEPT
iptables -A INPUT -p tcp --dport 15347 -j ACCEPT
iptables -A INPUT -p tcp --dport 16666 -j ACCEPT

iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

service iptables save
service iptables restart

参考链接

  1. 《CentOS7安装iptables防火墙》
  2. 《国内端口检测网站》