iptables 一些有用的规则

 

-A INPUT -i lo -j ACCEPT #容许本机内部访问,即回环
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #容许本机访问外部
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT #容许ping
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT #容许22 shell链接
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT #容许80访问
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT #容许https访问
-A INPUT -p tcp -m tcp --dport 3690 -j ACCEPT #容许svn访问
-A INPUT -p tcp -m tcp --dport 3306 -j DROP #禁止mysql外部访问
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3690 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 8888 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 20000:30000 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A INPUT -p icmp -m limit --limit 1/sec --limit-burst 10 -j ACCEPT
-A INPUT -f -m limit --limit 100/sec --limit-burst 100 -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j syn-flood
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A syn-flood -p tcp -m limit --limit 3/sec --limit-burst 6 -j RETURN
-A syn-flood -j REJECT --reject-with icmp-port-unreachable

 

特殊规则,用于防攻击使用

#容许单个IP访问服务器的80端口的最大链接数为 20 
iptables -I INPUT -p tcp --dport 80 -m connlimit  --connlimit-above 20 -j REJECT 

#抵御DDOS ，容许外网最多24个初始链接,而后服务器每秒新增12个，访问太多超过的丢弃，第二条是容许服务器内部每秒1个初始链接进行转发
iptables -A INPUT  -p tcp --syn -m limit --limit 12/s --limit-burst 24 -j ACCEPT
iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT

iptables -A INPUT -j REJECT --reject-with icmp-port-unreachable #拒绝全部的IP访问全部的端口