阿里云linux服务器上使用iptables设置安全策略的方法

公司的产品一直运行在云服务器上，从而有幸接触过aws的ec2，盛大的云服务器，最近准备有使用阿里云的弹性计算（云服务器）。前两种云服务器在安全策略这块做的比较好，提供简单明了的配置界面，而且给了默认的安全策略，反观阿里云服务器，安全策略需要自己去配置，甚至centos机器上都没有预装iptables（起码我们申请两台上都没有），算好可以使用yum来安装，安装命令如下：成都服务器托管

十多年的保亭黎族网站建设经验，针对设计、前端、开发、售后、文案、推广等六对一服务，响应快，48小时及时工作处理。网络营销推广的优势是能够根据用户设备显示端的尺寸不同，自动调整保亭黎族建站的显示方式，使网站能够适用不同显示终端，在浏览器中调整网站的宽度，无论在任何一种浏览器上浏览网站，都能展现优雅布局与设计，从而大程度地提升浏览体验。创新互联从事“保亭黎族网站设计”,“保亭黎族网站推广”以来，每个客户项目都认真落实执行。

1	`yum` `install-y iptables`

iptables安装好后就可以来配置规则了。由于作为web服务器来使用，所以对外要开放 80 端口，另外肯定要通过ssh进行服务器管理，22 端口也要对外开放，当然最好是把ssh服务的默认端口改掉，在公网上会有很多人试图破解密码的，如果修改端口，记得要把该端口对外开发，否则连不上就悲剧了。下面提供配置规则的详细说明：成都服务器托管

第一步：清空所有规则

当Chain INPUT (policy DROP)时执行/sbin/iptables-F后，你将和服务器断开连接

所有在清空所有规则前把policy DROP该为INPUT，防止悲剧发生，小心小心再小心

/sbin/iptables-P INPUT ACCEPT

清空所有规则

/sbin/iptables-F

/sbin/iptables-X

计数器置0

/sbin/iptables-Z

第二步：设置规则

允许来自于lo接口的数据包，如果没有此规则，你将不能通过127.0.0.1访问本地服务，例如ping127.0.0.1

/sbin/iptables-A INPUT -i lo -j ACCEPT

开放TCP协议22端口，以便能ssh，如果你是在有固定ip的场所，可以使用 -s 来限定客户端的ip

/sbin/iptables-A INPUT -p tcp --dport 22 -j ACCEPT

开放TCP协议80端口供web服务

/sbin/iptables-A INPUT -p tcp --dport 80 -j ACCEPT

10.241.121.15是另外一台服务器的内网ip，由于之间有通信，接受所有来自10.241.121.15的TCP请求

/sbin/iptables-A INPUT -p tcp -s 10.241.121.15 -j ACCEPT

接受ping

/sbin/iptables-A INPUT -p icmp -m icmp --icmp-type8 -j ACCEPT

这条规则参看：http://www.netingcn.com/iptables-localhost-not-access-internet.html

/sbin/iptables-A INPUT -m state --state ESTABLISHED -j ACCEPT

屏蔽上述规则以为的所有请求，不可缺少，否则防火墙没有任何过滤的功能

/sbin/iptables-P INPUT DROP

可以使用 iptables -L -n 查看规则是否生效

至此防火墙就算配置好，但是这是临时的，当重启iptables或重启机器，上述配置就会被清空，要想永久生效，还需要如下操作：成都服务器托管

/etc/init.d/iptablessave

或

service iptables save

执行上述命令可以在文件 /etc/sysconfig/iptables中看到配置

以下提供一个干净的配置脚本：成都服务器托管

/sbin/iptables-P INPUT ACCEPT

/sbin/iptables-F

/sbin/iptables-X

/sbin/iptables-Z

/sbin/iptables-A INPUT -i lo -j ACCEPT

/sbin/iptables-A INPUT -p tcp --dport 22 -j ACCEPT

/sbin/iptables-A INPUT -p tcp --dport 80 -j ACCEPT

/sbin/iptables-A INPUT -p tcp -s 10.241.121.15 -j ACCEPT

/sbin/iptables-A INPUT -p icmp -m icmp --icmp-type8 -j ACCEPT

/sbin/iptables-A INPUT -m state --state ESTABLISHED -j ACCEPT

/sbin/iptables-P INPUT DROP

最后执行 service iptables save ，先确保ssh连接没有问题，防止规则错误，导致无法连上服务器，因为没有save，重启服务器规则都失效，否则就只有去机房才能修改规则了。也可以参考：ubuntu iptables 配置脚本来写一个脚本。

最后再次提醒，在清空规则之前一定要小心，确保Chain INPUT (policy ACCEPT)。

服务器之家补充阿里云的linux_drop_port.sh

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

#!/bin/bash

#########################################

#Function: linux drop port

#Usage: bash linux_drop_port.sh

#Author: Customer Service Department

#Company: Alibaba Cloud Computing

#Version: 2.0

#########################################

check_os_release()

{

whiletrue

do

os_release=$(grep"Red Hat Enterprise Linux Server release"/etc/issue2>/dev/null)

os_release_2=$(grep"Red Hat Enterprise Linux Server release"/etc/redhat-release2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"release 5">/dev/null2>&1

then

os_release=redhat5

echo"$os_release"

elifecho"$os_release"|grep"release 6">/dev/null2>&1

then

os_release=redhat6

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

os_release=$(grep"Aliyun Linux release"/etc/issue2>/dev/null)

os_release_2=$(grep"Aliyun Linux release"/etc/aliyun-release2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"release 5">/dev/null2>&1

then

os_release=aliyun5

echo"$os_release"

elifecho"$os_release"|grep"release 6">/dev/null2>&1

then

os_release=aliyun6

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

os_release=$(grep"CentOS release"/etc/issue2>/dev/null)

os_release_2=$(grep"CentOS release"/etc/*release2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"release 5">/dev/null2>&1

then

os_release=centos5

echo"$os_release"

elifecho"$os_release"|grep"release 6">/dev/null2>&1

then

os_release=centos6

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

os_release=$(grep-i "ubuntu"/etc/issue2>/dev/null)

os_release_2=$(grep-i "ubuntu"/etc/lsb-release2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"Ubuntu 10">/dev/null2>&1

then

os_release=ubuntu10

echo"$os_release"

elifecho"$os_release"|grep"Ubuntu 12.04">/dev/null2>&1

then

os_release=ubuntu1204

echo"$os_release"

elifecho"$os_release"|grep"Ubuntu 12.10">/dev/null2>&1

then

os_release=ubuntu1210

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

os_release=$(grep-i "debian"/etc/issue2>/dev/null)

os_release_2=$(grep-i "debian"/proc/version2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"Linux 6">/dev/null2>&1

then

os_release=debian6

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

os_release=$(grep"openSUSE"/etc/issue2>/dev/null)

os_release_2=$(grep"openSUSE"/etc/*release 2>/dev/null)

if[ "$os_release"] && [ "$os_release_2"]

then

ifecho"$os_release"|grep"13.1">/dev/null2>&1

then

os_release=opensuse131

echo"$os_release"

else

os_release=""

echo"$os_release"

fi

break

fi

break

done

}

exit_script()

{

echo-e "\033[1;40;31mInstall $1 error,will exit.\n\033[0m"

rm-f $LOCKfile

exit1

}

config_iptables()

{

iptables -I OUTPUT 1 -p tcp -m multiport --dport21,22,23,25,53,80,135,139,443,445 -j DROP

iptables -I OUTPUT 2 -p tcp -m multiport --dport 1433,1314,1521,2222,3306,3433,3389,4899,8080,18186-j DROP

iptables -I OUTPUT 3 -p udp -j DROP

iptables -nvL

}

ubuntu_config_ufw()

{

ufwdeny out proto tcp to any port 21,22,23,25,53,80,135,139,443,445

ufwdeny out proto tcp to any port 1433,1314,1521,2222,3306,3433,3389,4899,8080,18186

ufwdeny out proto udp to any

ufwstatus

}

####################Start###################

#check lock file ,one time only let thescript run one time

LOCKfile=/tmp/.$(basename$0)

if[ -f "$LOCKfile"]

then

echo-e "\033[1;40;31mThe script is already exist,please next timeto run this script.\n\033[0m"

exit

else

echo-e "\033[40;32mStep 1.No lock file,begin to create lock fileand continue.\n\033[40;37m"

touch$LOCKfile

fi

#check user

if[ $(id-u) != "0"]

then

echo-e "\033[1;40;31mError: You must be root to run this script,please use root to execute this script.\n\033[0m"

rm-f $LOCKfile

exit1

fi

echo-e "\033[40;32mStep 2.Begen tocheck the OS issue.\n\033[40;37m"

os_release=$(check_os_release)

if[ "X$os_release"=="X"]

then

echo-e "\033[1;40;31mThe OS does not identify,So this script isnot executede.\n\033[0m"

rm-f $LOCKfile

exit0

网站题目：阿里云linux服务器上使用iptables设置安全策略的方法
文章转载：http://lszwz.com/article/pgpp.html

其他资讯

售后响应及时

7×24小时客服热线

数据备份

更安全、更高效、更稳定

价格公道精准

项目经理精准报价不弄虚作假

合作无风险

重合同讲信誉，无效全额退款

乐山小谭建站工作室是一家专注从事于高品质视觉体验及互联网设计开发，乐山网站建设，乐山网站设计，乐山网页设计，乐山网站制作，品牌网站建设，营销网站建设，集团网站建设，企业网站建设，外贸网站建设，响应式网站建设，小程序开发，微信开发，企业形象设计，企业宣传视频等服务，小谭建站位于乐山市龙岗区大运软件小镇，小谭建站拥有经验丰富的高级网站建设工程师和一流的网页高端设计人员，具备各种规模与类型网站建设的雄厚实力，在网站建设领域树立了自己独特的设计风格。

友情链接交换友情链接

珉田数据中心解决方案 app软件开发公司成都商城网站建设公司网站域名成都西云机房中国西部信息中心雕琢时光茶叶梅州网站建设成都活动策划

乐山网站建设

阿里云linux服务器上使用iptables设置安全策略的方法

其他资讯

联系我们

135-1821-9792

028-86922220

快捷导航

二维码

友情链接交换友情链接

乐山网站建设

阿里云linux服务器上使用iptables设置安全策略的方法

其他资讯

联系我们

135-1821-9792

028-86922220

快捷导航

二维码

友情链接 交换友情链接

友情链接交换友情链接