利用iptables来配置linux禁止所有端口登陆和开放指定端口的方法
1、关闭所有的INPUTFORWARDOUTPUT只对某些端口开放。
下面是命令实现：
iptables-PINPUTDROP
iptables-PFORWARDDROP
iptables-POUTPUTDROP
再用命令iptables-L-n查看是否设置好，好看到全部DROP了
这样的设置好了，我们只是临时的，重启服务器还是会恢复原来没有设置的状态
还要使用serviceiptablessave进行保存
看到信息firewallrules防火墙的规则其实就是保存在/etc/sysconfig/iptables
可以打开文件查看vi/etc/sysconfig/iptables
2、下面我只打开22端口，看我是如何操作的，就是下面2个语句
iptables-AINPUT-ptcp--dport22-jACCEPT
iptables-AOUTPUT-ptcp--sport22-jACCEPT
再查看下iptables-L-n是否添加上去,看到添加了
ChainINPUT(policyDROP)
target protoptsource destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpdpt:22
ChainFORWARD(policyDROP)
target protoptsource destination
ChainOUTPUT(policyDROP)
target protoptsource destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpspt:22
现在Linux服务器只打开了22端口，用putty.exe测试一下是否可以链接上去。
可以链接上去了，说明没有问题。
最后别忘记了保存对防火墙的设置
通过命令：serviceiptablessave进行保存
iptables-AINPUT-ptcp--dport22-jACCEPT
iptables-AOUTPUT-ptcp--sport22-jACCEPT
针对这2条命令进行一些讲解吧
-A参数就看成是添加一条INPUT的规则
-p指定是什么协议我们常用的tcp协议，当然也有udp例如53端口的DNS
到时我们要配置DNS用到53端口大家就会发现使用udp协议的
而--dport就是目标端口当数据从外部进入服务器为目标端口
反之数据从服务器出去则为数据源端口使用--sport
-j就是指定是ACCEPT接收或者DROP不接收
3、禁止某个IP访问
1台Linux服务器,2台windowsxp操作系统进行访问
Linux服务器ip192.168.1.99
xp1ip:192.168.1.2
xp2ip:192.168.1.8
下面看看我2台xp都可以访问的
192.168.1.2 这是xp1可以访问的，
192.168.1.8xp2也是可以正常访问的。
那么现在我要禁止192.168.1.2xp1访问，xp2正常访问，
下面看看演示
通过命令iptables-AINPUT-ptcp-s192.168.1.2-jDROP
这里意思就是-A就是添加新的规则，怎样的规则呢？由于我们访问网站使用tcp的，我们就用-ptcp,如果是udp就写udp，这里就用tcp了，-s就是来源的意思，ip来源于192.168.1.2，-j怎么做我们拒绝它这里应该是DROP
好，看看效果。好添加成功。下面进行验证一下是否生效
一直出现等待状态最后该页无法显示，这是192.168.1.2xp1的访问被拒绝了。
再看看另外一台xp是否可以访问，是可以正常访问的192.168.1.8是可以正常访问的
4、如何删除规则
首先我们要知道这条规则的编号，每条规则都有一个编号
通过iptables-L-n--line-number可以显示规则和相对应的编号
num target protoptsource destination
1 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcpdpt:3306
2 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcpdpt:21
3 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcpdpt:80
多了num这一列，这样我们就可以看到刚才的规则对应的是编号2
那么我们就可以进行删除了
iptables-DINPUT2
删除INPUT链编号为2的规则。
再iptables-L-n查看一下已经被清除了。
5、过滤无效的数据包
假设有人进入了服务器，或者有病毒木马程序，它可以通过22，80端口像服务器外传送数据。
它的这种方式就和我们正常访问22，80端口区别。它发向外发的数据不是我们通过访问网页请求而回应的数据包。
下面我们要禁止这些没有通过请求回应的数据包，统统把它们堵住掉。
iptables提供了一个参数是检查状态的，下面我们来配置下22和80端口，防止无效的数据包。
iptables-AOUTPUT-ptcp--sport22-mstate--stateESTABLISHED-jACCEPT
可以看到和我们以前使用的：
iptables-AOUTPUT-ptcp--sport22-jACCEPT
多了一个状态判断。
同样80端口也一样，现在删掉原来的2条规则，
iptables-L-n--line-number
这个是查看规则而且带上编号。我们看到编号就可以删除对应的规则了。
iptables-DOUTPUT1 这里的1表示第一条规则。
当你删除了前面的规则，编号也会随之改变。看到了吧。
好，我们删除了前面2个规则，22端口还可以正常使用，说明没问题了
下面进行保存，别忘记了，不然的话重启就会还原到原来的样子。
serviceiptablessave 进行保存。
Savingfirewallrulesto/etc/sysconfig/iptables: [ OK ]
其实就是把刚才设置的规则写入到/etc/sysconfig/iptables文件中。
6、DNS端口53设置
下面我们来看看如何设置iptables来打开DNS端口，DNS端口对应的是53
大家看到我现在的情况了吧，只开放22和80端口，我现在看看能不能解析域名。
hostwww.google.com 输入这个命令后，一直等待，说明DNS不通
出现下面提示：
;;connectiontimedout;noserverscouldbereached
ping一下域名也是不通
[root@localhost~pingwww.google.com
ping:unknownhostwww.google.com
我这里的原因就是iptables限制了53端口。
有些服务器，特别是Web服务器减慢，DNS其实也有关系的，无法发送包到DNS服务器导致的。
下面演示下如何使用iptables来设置DNS53这个端口，如果你不知道域名服务端口号，你
可以用命令:grepdomain/etc/services
[root@localhost~grepdomain/etc/services
domain 53/tcp #name-domainserver
domain 53/udp
domaintime 9909/tcp #domaintime
domaintime 9909/udp #domaintime
看到了吧，我们一般使用udp协议。
好了，开始设置。。。
iptables-AOUTPUT-pudp--dport53-jACCEPT
这是我们ping一个域名，数据就是从本机出去，所以我们先设置OUTPUT，
我们按照ping这个流程来设置。
然后DNS服务器收到我们发出去的包，就回应一个回来
iptables-AINPUT-pudp--sport53-jACCEPT
同时还要设置
iptables-AINPUT-pudp--dport53-jACCEPT
iptables-AOUTPUT-pudp--sport53-jACCEPT
好了，下面开始测试下，可以用iptables-L-n查看设置情况，确定没有问题就可以测试了
[root@localhost~iptables-L-n
ChainINPUT(policyDROP)
target protoptsource destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpdpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpdpt:80
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udpspt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udpdpt:53
ChainFORWARD(policyDROP)
target protoptsource destination
ChainOUTPUT(policyDROP)
target protoptsource destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpspt:22stateESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpspt:80stateESTABLISHED
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udpdpt:53
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udpspt:53
可以测试一下是否DNS可以通过iptables了。
[root@localhost~hostwww.google.com
www.google.comisanaliasforwww.l.google.com.
www.l.google.comisanaliasforwww-china.l.google.com.
www-china.l.google.comhasaddress64.233.189.104
www-china.l.google.comhasaddress64.233.189.147
www-china.l.google.comhasaddress64.233.189.99
正常可以解析google域名。
ping方面可能还要设置些东西。
用nslookup看看吧
[root@localhost~nslookup
>www.google.com
Server: 192.168.1.1
Address: 192.168.1.1#53
Non-authoritativeanswer:
www.google.com canonicalname=www.l.google.com.
www.l.google.com canonicalname=www-china.l.google.com.
Name: www-china.l.google.com
Address:64.233.189.147
Name: www-china.l.google.com
Address:64.233.189.99
Name: www-china.l.google.com
Address:64.233.189.104
说明本机DNS正常，iptables允许53这个端口的访问。
7、iptables对ftp的设置
现在我开始对ftp端口的设置，按照我们以前的视频，添加需要开放的端口
ftp连接端口有2个21和20端口，我现在添加对应的规则。
[root@localhostrootiptables-AINPUT-ptcp--dport21-jACCEPT
[root@localhostrootiptables-AINPUT-ptcp--dport20-jACCEPT
[root@localhostrootiptables-AOUTPUT-ptcp--sport21-jACCEPT
[root@localhostrootiptables-AOUTPUT-ptcp--sport20-jACCEPT
好，这样就添加完了，我们用浏览器访问一下ftp,出现超时。
所以我刚才说ftp是比较特殊的端口，它还有一些端口是数据传输端口，例如目录列表，上传，下载文件都要用到这些端口。
而这些端口是任意端口。。。这个任意真的比较特殊。
如果不指定什么一个端口范围，iptables很难对任意端口开放的，如果iptables允许任意端口访问，那和不设置防火墙没什么区别，所以不现实的。
那么我们的解决办法就是指定这个数据传输端口的一个范围。
下面我们修改一下ftp配置文件。
我这里使用vsftpd来修改演示，其他ftp我不知道哪里修改，大家可以找找资料。
[root@localhostrootvi/etc/vsftpd.conf
在配置文件的最下面加入
pasv_min_port=30001
pasv_max_port=31000
然后保存退出。
这两句话的意思告诉vsftpd,要传输数据的端口范围就在30001到31000这个范围内传送。
这样我们使用iptables就好办多了，我们就打开30001到31000这些端口。
[root@localhostrootiptables-AINPUT-ptcp--dport30001:31000-jACCEPT
[root@localhostrootiptables-AOUTPUT-ptcp--sport30001:31000-jACCEPT
[root@localhostrootserviceiptablessave
最后进行保存，然后我们再用浏览器范围下ftp。可以正常访问
用个账号登陆上去，也没有问题，上传一些文件上去看看。
看到了吧，上传和下载都正常。。再查看下iptables的设置
[root@localhostrootiptables-L-n
ChainINPUT(policyDROP)
target protoptsource destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpdpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpdpt:21
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpdpt:20
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpdpts:30001:31000
ChainFORWARD(policyDROP)
target protoptsource destination
ChainOUTPUT(policyDROP)
target protoptsource destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpspt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpspt:21
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpspt:20
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcpspts:30001:31000
这是我为了演示ftp特殊端口做的简单规则，大家可以添加一些对数据包的验证
例如-mstate--stateESTABLISHED,RELATED 等等要求更加高的验证
以上这篇利用iptables来配置linux禁止所有端口登陆和开放指定端口的方法就是小编分享给大家的全部内容了，希望能给大家一个参考，也希望大家多多支持毛票票。