智康博客

Iptables 实例  (更新日期:2009-08-06)Iptables 实例  (更新日期:2009-08-06)

实验环境: 172.28.156.0/255.255.255.0
服务器 Debian(etch)4.0 IP:172.28.156.96
客户机1 Windows XP SP2 IP:172.28.156.90
客户机2 Windows XP SP2 IP:172.28.156.234

iptables以顺序方式执行,从上到下!

常用iptables维护命令：
#iptables -L -n  显示当前iptables规则
#iptables-save > /etc/iptables-script 保存规则
#iptables-restore /etc/iptables-script 恢复保存的规则

设置iptables开机自动加载规则,添加以下内容至/etc/rc.local文件中即可
/sbin/iptables-restore /etc/iptables-script
需要注意的是，必须写完全路径，要不然系统找不到命令与规则及脚本

1,缺省策略，让信息毫无限制地流出，但不允许信息流入
#iptables -P INPUT DROP
#iptables -P FORWARD DROP
#iptables -P OUTPUT ACCEPT

2,允许172.28.156.90无限制连接至172.28.156.96服务器(便于维护与测试服务器)
#iptables -A INPUT -s 172.28.156.90 -d 172.28.156.96 -j ACCEPT

3,允许127.0.0.1环路
#iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
#iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

4,允许局域网172.28.156.0内的所有机器能访问172.28.156.96服务器的80端口
#iptables -A INPUT -p tcp -s 172.28.156.0/24 -d 172.28.156.96 –dport 80 -j ACCEPT

5,拒绝172.28.156.92 Ping 172.28.156.96
#iptables -A INPUT -p icmp -s 172.28.156.92 -d 172.28.156.96 -j DROP

6,拒绝所有Ping
#iptables -A INPUT -p icmp -j DROP

7,拒绝172.28.156.96 Ping 172.28.156.8
#iptables -A OUTPUT -p icmp -s 172.28.156.96 -d 172.28.156.8 -j DROP

8,拒绝172.28.156.234连接172.28.156.96的80端口
#iptables -A INPUT -p tcp -s 172.28.156.234 -d 172.28.156.96 –dport 80 -j DROP

9,允许192.168.1.96服务器使用Ping
#iptables -A INPUT -p icmp -d 172.28.156.96 -j ACCEPT

10,允许DNS查询
#iptables -A INPUT -p udp –sport 53 -j ACCEPT
#iptables -A INPUT -p tcp –sport 80 -j ACCEPT (注:上网好像需要开这个端口???)

11,允许来自172.28.156.234的电脑Ping服务器172.28.156.96
#iptables -A INPUT -p icmp -s 172.28.156.234 -j ACCEPT

12,如果要自己能ping人家，而人家不能ping你，可以：
#iptables -A INPUT -p icmp –icmp-type 8 -s 0/0 -j DROP
#iptables -A INPUT -p icmp –icmp-type 0 -s 0/0 -j ACCEPT
#iptables -A OUTPUT -p icmp –icmp-type 0 -s 172.28.156.96 -j DROP
#iptables -A OUTPUT -p icmp –icmp-type 8 -s 172.28.156.96 -j DROP
注:icmp的type 0为回显应答(Ping应答),8为请求回显(Ping请求).Tcpip第6章ICMP:Internet控制报文协议

13,无法使用apt-get update解决方法
iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

14,使用FTP问题
#modprobe ip_nat_ftp 加载模块
#modprobe ip_conntrack
#modprobe ip_conntrack_ftp
#iptables -A INPUT -p tcp –sport 21 -j ACCEPT
#iptables -A INPUT -P tcp –dport 21 -j ACCEPT
#iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

15,查看某一条规则序号并删除
#iptables -L -n –line-numbers
iptables -D INPUT 8

16,拒绝172.28.156.90连接服务器的80端口(注意,必须放在允许规则前面)
#iptables -I INPUT 1 -p tcp -s 172.28.156.90 -d 172.28.156.96 –dport 80 -j DROP

应该也有部分人见过Ubuntu时间不正确的问题,今天我也碰到了,时间的时间与北京时间相差4到5个小时,使用date -s 15:30正确了,但机器一重启时间又变了,Google了下,使用下面方面可以解决:
#ln -s /usr/share/zoneinfo/Asia/Shanghai /etc/localetime
将/etc/下原来的localetime删除,重新做了链接到/etc/localetime下面,呵呵,正常了!

昨天有同事系统开机提示winlogin找不到comdlg32.dll文件,一看就知道系统的这个文件丢失,虽然知道是少了comdlg32.dll这个文件,只用将其它电脑上的这个文件copy到C:\windows\system32下就可以了,方法有很多,刚好手头上有张刚刚刻录好的cdlinux光盘,就用cdlinux试试吧: 阅读全文…

1,sudo apt-get install samba
2,系统－系统管理－打印－新的打印机，这里需要选择Windows Printer via SAMBA设备连接，输入SMB打印机地址，例如公司一台Windows打印机共享的是HP1010，共享名为HP1010，那么就在smb://后输入：
HP1010，这里要注意共享名对大小写敏感，需区分。如果Windows共享设置了密码，可以选择下面的验证对话，添加完成选择相应的驱动就可能以了，目前Ubuntu支持大多数打印机驱动，非常方便。

最近一直在搞Debian和Ubuntu，小试了下compiz特效，先发两张图上来看下。。。

安装方法：
1，安装显卡驱动:
我使用的是ATI Readom 1300，登录http://www.amd.com.cn网站下载最新驱动安装.

2，安装compiz:
#sudo apt-get install compiz compiz-gnome
#sudo apt-get install compizconfig-settings-manager
#sudo apt-get install compiz-fusion-* 阅读全文…

刚刚在Xfce4上安装iceweasel浏览器，但按照网上提到的方法，下载flash文件来安装没有成功，用以下方法可以成功安装。

修改/etc/apt/source.list源，添加以下源:
deb http://www.backports.org/debian etch-backports main contrib

#apt-get update
#apt-get install flashplugin-nonfree

今天发现一个很实用的镜像网站,可以说是SF的镜像站,SF里的什么软件都有http://mirror.optus.net,里面有很多Linux镜像的目录,以后需要什么可以去那里找了,呵呵!

http://mirror.optus.net/sourceforge

#pacman -Sy openssh  #安装opensssh

安装完成后在/etc/rc.conf的最底部DAEMONS后添加sshd让系统启动时自动启动openssh

DAEMONS=(syslog-ng network netfs crond sshd)
阅读全文…

自己的大意与疏忽,上午将archlinux安装完毕后,发现内网正常,但不能ping通外部网部,如ping www.google.cn或其它域名网址都不行,提示:ping:unknown host,因为刚开始是在vmware下测试的,发为是虚拟机的问题,然后找了台机器,专门安装了archlinux,也是一样,内网正常,外网不能.用google了下,没有找到解决方法,我想还是本机的问题,在shell下输入: 阅读全文…

因为刚刚了解Debian，所以对apt-get安装的方式不是很了解，在安装软件的时候，发现当前安装的软件不是最新版本，虽然知道Debian以安全著称，但软件不会是这么老的版本吧，拿nginx来说，当前nginx官方的开发版本为0.7.8，最新的stable稳定版为0.6.32，然而Debian如果以stable模式安装软件，它的当前nginx版本还是0.4.13-2，虽然我也只是测试，软件版本无所谓，如果真的要安装最新版0.6.32的话，那只有下载nginx的源码包来编译安装了，虽然这可以尝试到新版本，但我还是想试下能否用apt-get install nginx的方式安装最新的0.6.32的版本，在网上找了半天，终于找到了解决方法。 阅读全文…