centos7防火墻如何設(shè)置只對(duì)部分端口號(hào)限源
更新時(shí)間：2023年06月03日 10:52:53 作者：chenshiying007
這篇文章主要介紹了centos7防火墻如何設(shè)置只對(duì)部分端口號(hào)限源問題，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方，望不吝賜教
centos7防火墻設(shè)置只對(duì)部分端口號(hào)限源
項(xiàng)目上線一段時(shí)候，安全測(cè)評(píng)整改的需要，需對(duì)特定一些端口進(jìn)行限源。
其他端口不做限制
iptables與firewalld的區(qū)別
1），firewalld可以動(dòng)態(tài)修改單條規(guī)則，動(dòng)態(tài)管理規(guī)則集，允許更新規(guī)則而不破壞現(xiàn)有會(huì)話和連接。而iptables，在修改了規(guī)則后必須得全部刷新才可以生效；
2），firewalld使用區(qū)域和服務(wù)而不是鏈?zhǔn)揭?guī)則；
3），firewalld默認(rèn)是拒絕的，需要設(shè)置以后才能放行。而iptables默認(rèn)是允許的，需要拒絕的才去限制；
4），firewalld自身并不具備防火墻的功能，而是和iptables一樣需要通過內(nèi)核的netfilter來實(shí)現(xiàn)。也就是說，firewalld和iptables一樣，它們的作用都用于維護(hù)規(guī)則，而真正使用規(guī)則干活的是內(nèi)核的netfilter。只不過
- firewalld和iptables的結(jié)果以及使用方法不一樣！
- firewalld是iptables的一個(gè)封裝，可以讓你更容易地管理iptables規(guī)則。它并不是iptables的替代品，雖然iptables命令仍可用于firewalld，但建議firewalld時(shí)僅使用firewalld命令。
一、安裝iptable
1.關(guān)閉默認(rèn)的firewall防火墻
systemctl stop firewalld.service 關(guān)閉防火墻 systemctl disable firewalld.service 關(guān)閉開機(jī)啟動(dòng)
2.開啟iptables
yum install iptables (根據(jù)centOS7的版本和內(nèi)核，有些版本已經(jīng)裝過，可以跳過此命令) yum install iptables-services
3.基本操作
查看防火墻狀態(tài)
查看防火墻狀態(tài) service iptables status 停止防火墻 service iptables stop 啟動(dòng)防火墻 service iptables start 重啟防火墻 service iptables restart 永久關(guān)閉防火墻 chkconfig iptables off 永久關(guān)閉后重啟 chkconfig iptables on 開機(jī)自啟 systemctl enable iptables.service
二、設(shè)置規(guī)則
表示清空所有默認(rèn)規(guī)則。
iptables -F
設(shè)置指定IP訪問指定端口8075
1、添加規(guī)則：禁止所有IP訪問8075
iptables -I INPUT -p tcp --dport 8075 -j DROP
查看規(guī)則
iptables --line -nvL INPUT
添加規(guī)則：允許127.0.0.1訪問8075
iptables -I INPUT -s 127.0.0.1 -p tcp --dport 8075 -j ACCEPT
規(guī)則已經(jīng)添加，測(cè)試
telnet 具體ip 8075
保存規(guī)則
service iptables save
三、特定url限源
示例添加swagger-相關(guān)限制
iptables -I INPUT -p tcp -m string --string "swagger-" --algo bm -j DROP iptables -I INPUT -s 10.0.120.13 -p tcp -m string --string "swagger-" --algo bm -j ACCEPT
查詢數(shù)據(jù)庫中的數(shù)據(jù)也可能包含"swagger-" 也會(huì)直接攔截，對(duì)數(shù)據(jù)庫等存儲(chǔ)也需要添加放行規(guī)則
開放源
iptables -I INPUT -s 某某ip -j ACCEPT
iptables 導(dǎo)入導(dǎo)出
導(dǎo)出 iptables-save > iptables_bak 導(dǎo)入 iptables-restore < iptables_bak
iptables 設(shè)置特定IP訪問指定端口
一、添加規(guī)則
設(shè)置禁止所有IP訪問指定端口8075
[root@zabbix_server ~]# iptables -I INPUT -p tcp --dport 8075 -j DROP
二、測(cè)試telnet
[root@zabbix_server ~]# telnet 127.0.0.1 8075 Trying 127.0.0.1... telnet: connect to address 127.0.0.1: Connection timed out
三、刪除規(guī)則
1、查詢規(guī)則編號(hào)
[root@zabbix_server ~]# iptables --line -nvL INPUT Chain INPUT (policy DROP 83 packets, 4016 bytes) num pkts bytes target prot opt in out source destination 1 8 408 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:8075 2 144M 15G ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 3 4037 214K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 4 3 156 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25601 5 4085 218K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80 6 22638 1169K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:3306 7 264K 14M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:9000 8 443K 23M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:10050 9 76134 4093K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:10051
可以看到禁止訪問8075的規(guī)則編號(hào)為1
2、刪除指定規(guī)則編號(hào)的規(guī)則
[root@zabbix_server ~]# iptables -D INPUT 1
再查詢
[root@zabbix_server ~]# iptables --line -nvL INPUT Chain INPUT (policy DROP 20 packets, 961 bytes) num pkts bytes target prot opt in out source destination 1 144M 15G ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 2 4038 214K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 3 3 156 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25601 4 4087 218K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80 5 22644 1169K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:3306 6 264K 14M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:9000 7 443K 23M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:10050 8 76156 4094K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:10051 9 44 2208 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dp
已經(jīng)刪除了，測(cè)試telnet
[root@zabbix_server ~]# telnet 127.0.0.1 8075 Trying 127.0.0.1... Connected to 127.0.0.1. Escape character is '^]'.
四、設(shè)置指定IP訪問指定端口8075
1、添加規(guī)則：禁止所有IP訪問8075
[root@zabbix_server ~]# iptables -I INPUT -p tcp --dport 8075 -j DROP [root@zabbix_server ~]# iptables --line -nvL INPUT Chain INPUT (policy DROP 3 packets, 156 bytes) num pkts bytes target prot opt in out source destination 1 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:8075 2 145M 15G ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 3 4038 214K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 4 3 156 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25601 5 4090 219K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80 6 22650 1169K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:3306 7 264K 14M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:9000 8 443K 23M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:10050 9 76183 4095K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:10051 10 44 2208 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:3000 11 7 284 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:5672 12 2 80 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dp
2、添加規(guī)則：允許127.0.0.1訪問8075
[root@zabbix_server ~]# iptables -I INPUT -s 127.0.0.1 -p tcp --dport 8075 -j ACCEPT
3、查詢規(guī)則：
[root@zabbix_server ~]# iptables --line -nvL INPUT Chain INPUT (policy DROP 20 packets, 1004 bytes) num pkts bytes target prot opt in out source destination 1 0 0 ACCEPT tcp -- * * 127.0.0.1 0.0.0.0/0 tcp dpt:8075 2 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:8075 3 145M 15G ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 4 4039 214K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 5 3 156 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25601 6 4096 219K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80 7 22660 1170K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:3306 8 264K 14M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:9000 9 443K 23M ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:10050
規(guī)則已經(jīng)添加，測(cè)試
[root@zabbix_server ~]# telnet 127.0.0.1 8075 Trying 127.0.0.1... Connected to 127.0.0.1. Escape character is '^]'.
本機(jī)可以訪問8075,其他機(jī)器上不能訪問8075
[root@localhost etc]# telnet 172.28.18.75 8075 Trying 172.28.18.75... telnet: connect to address 172.28.18.75: Connection timed out
4、允許172.28.18.71可以訪問8075,(172.28.18.71是需要訪問8075的服務(wù)器)
[root@zabbix_server ~]# iptables -I INPUT -s 172.28.18.71 -p tcp --dport 8075 -j ACCEPT
查看規(guī)則
[root@zabbix_server ~]# iptables --line -nvL INPUT Chain INPUT (policy DROP 9 packets, 456 bytes) num pkts bytes target prot opt in out source destination 1 0 0 ACCEPT tcp -- * * 172.28.18.71 0.0.0.0/0 tcp dpt:8075 2 3 132 ACCEPT tcp -- * * 127.0.0.1 0.0.0.0/0 tcp dpt:8075 3 7 420 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:8075 4 145M 15G ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 5 4040 214K ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 6 3 156 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25601 7 4100 219K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80 8 22674 1171K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:3306
在172.28.18.71上測(cè)試telnet 8075
[root@localhost etc]# telnet 172.28.18.75 8075 Trying 172.28.18.75... Connected to 172.28.18.75. Escape character is '^]'.
訪問成功，保存規(guī)則
[root@zabbix_server ~]# service iptables save iptables：將防火墻規(guī)則保存到 /etc/sysconfig/iptables：[確定]
重啟服務(wù)
[root@zabbix_server ~]# service iptables save iptables：將防火墻規(guī)則保存到 /etc/sysconfig/iptables：[確定] [root@zabbix_server ~]# service iptables restart iptables：將鏈設(shè)置為政策 ACCEPT：filter [確定] iptables：清除防火墻規(guī)則：[確定] iptables：正在卸載模塊：[確定] iptables：應(yīng)用防火墻規(guī)則：[確定]
總結(jié)
以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。
相關(guān)文章
Linux有限狀態(tài)機(jī)FSM的理解與實(shí)現(xiàn)
這篇文章主要幫助大家理解與實(shí)現(xiàn)Linux有限狀態(tài)機(jī)FSM，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2017-06-06
這篇文章主要介紹了linux安裝xmind的方法步驟，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2019-07-07
這篇文章主要介紹了linux服務(wù)器下PHPCMS v9 安全配置詳解,需要的朋友可以參考下2015-02-02
linux服務(wù)器ubuntu定時(shí)任務(wù)cron設(shè)置每秒執(zhí)行
這篇文章主要介紹了linux服務(wù)器ubuntu定時(shí)任務(wù)cron設(shè)置每秒執(zhí)行,使用 cron 時(shí),有一些注意事項(xiàng)可以幫助你確保任務(wù)按預(yù)期執(zhí)行,并減少潛在的問題,本文給大家介紹的非常詳細(xì),需要的朋友參考下吧2024-02-02
今天小編就為大家分享一篇關(guān)于Linux上的命令行回收站工具，小編覺得內(nèi)容挺不錯(cuò)的，現(xiàn)在分享給大家，具有很好的參考價(jià)值，需要的朋友一起跟隨小編來看看吧2018-09-09
在本篇文章里小編給大家分享了關(guān)于linux查看磁盤使用情況的步驟和方法，需要的朋友們學(xué)習(xí)下。2019-02-02
Linux網(wǎng)絡(luò)配置之網(wǎng)橋和虛擬網(wǎng)絡(luò)的配置指南
這篇文章主要為大家詳細(xì)介紹了Linux中配置網(wǎng)橋和虛擬網(wǎng)絡(luò)的相關(guān)方法,文中的示例代碼講解詳細(xì),感興趣的小伙伴可以跟隨小編一起學(xué)習(xí)一下2025-05-05
Apache配置參數(shù)deny和allow的使用實(shí)例
這篇文章主要介紹了Apache配置參數(shù)deny和allow的使用實(shí)例,需要的朋友可以參考下2015-06-06
Win8.1 + CentOS7 雙系統(tǒng) U盤安裝（超詳細(xì)教程）
這篇文章主要介紹了Win8.1 + CentOS7 雙系統(tǒng) U盤安裝（超詳細(xì)教程），非常具有實(shí)用價(jià)值，需要的朋友可以參考下。2017-01-01
詳解linux下的.net/mvc/cms程序結(jié)構(gòu)
本片文章給大家詳細(xì)分析了在linux下.net/mvc/cms程序詳細(xì)結(jié)構(gòu)說明，了解這個(gè)對(duì)在linux下程序開發(fā)非常有用，有興趣的參考學(xué)習(xí)下吧。2017-12-12