防火墻與linux代理服務(wù)器-在線瀏覽
2025-07-03 08:38本頁(yè)面
【正文】 j ACCEPT為了防止DOS攻擊，可以最多允許15個(gè)初始連接，超過(guò)的將被丟棄$IPT A INPUT s $LAN_IP_RANGE p top m state state ESTABLISHED,RELATED j ACCEPT$IPT A INPUT i $ INET_IF p top syn m connlimit connlimit above 15 j DROP$IPT A INPUT s $LAN_IPRANGE P top syn m connlimit connlimit above 15 j DROP設(shè)置ICMP閾值，記錄攻擊行為$IPT A INPUT p icmp m limit limit 3/s j LOG loglevel INPO log prefixICMP packet IN:$IPT A INPUT p icmp m limit limit 6/m j ACCEPT$IPT A INPUT p icmp i DROP開放的端口$IPT A INPUT p TCP i $INE IF dport 21 j ACCEPT FTP$IPT A INPUT p TCP i $INE IF dport 22 j ACCEPT SSH$IPT A INPUT p TCP i $INE IF dport 25 j ACCEPT SMTP$IPT A INPUT p TCP i $INE IF dport 53 j ACCEPT DNS$IPT A INPUT p TCP i $INE IF dport 53 j ACCEPT DNS$IPT A INPUT p TCP i $INE IF dport 80 j ACCEPT WWW$IPT A INPUT p TCP i $INE IF dport 110 j ACCEPT POP3禁止BT連接$IPT I PORNARD M state state ESTABLISHKD,RELATZD J ACCEPT$IPT A PORNARD m ipp2p edk kazaa bIT j DROP$IPT A PORNARD p tcp m ipp2p ares j DROP$IPT A PORNARD p udp m ipp2p kazaa j DROP只允許每組ip同時(shí)15個(gè)80端口轉(zhuǎn)發(fā)$IPT A PORWARD p top syn dport 80 m connlimit connlimit above 15connlimit mask 24 j DROPNAC、IP地址綁定$IPT A PORNARD s m mac mac source 00:E2:A1:56:C2 p tcp dport 80 i ACCEPT$IPT A PORNARD s m mac mac source 00:22:DA:32:C1 p tcp dport 80 i ACCEPT $IPT A PORNARD s m mac mac source 00:0C2:A1:2E:BC p tcp dport 80 i ACCEPT$IPT A PORNARD s m mac mac source 00:0D:E3:F2:C2 p tcp dport 80 i ACCEPT$IPT t mangle A POSTROUTINC m layer7 17proto qq s $IPT t mangle A POSTROUTINC m layer7 17proto qq d $IPT t mangle A POSTROUTINC m layer7 17proto msnmessenger s $IPT t mangle A POSTROUTINC m layer7 17proto msnmessenger d $IPT t mangle A PREROUTINC s j MARX set mark 30$IPT t mangle A POSTROUTINC d j MARX set mark 30四、 NAT與代理服務(wù)器的設(shè)置NAT(Network Address Translation)即網(wǎng)絡(luò)地址轉(zhuǎn)換，將局域網(wǎng)內(nèi)的私有IP地址轉(zhuǎn)換成Internet上公有的IP地址，反之亦然。若干臺(tái)擁有私有IP地址的機(jī)器組成內(nèi)部網(wǎng)，代理服務(wù)器的作用就是溝通內(nèi)部網(wǎng)和Internet。擁有內(nèi)部地址的主機(jī)訪問 Internet上的資源時(shí)，先把這個(gè)請(qǐng)求發(fā)給擁有公有IP地址的代理服務(wù)器，由代理服務(wù)器把這個(gè)請(qǐng)求轉(zhuǎn)發(fā)給目的服務(wù)器。由于Internet上的主機(jī)不能直接訪問擁有私有IP地址的主機(jī)，因此，這樣就保障內(nèi)部網(wǎng)絡(luò)的安全性。1．源NAT和目的NAT(1)SNAT(Source NAT)：修改一個(gè)數(shù)據(jù)包的源地址，改變連接的來(lái)源地，SNAT會(huì)在包發(fā)出之前的最后時(shí)刻進(jìn)行修改。2．filter、nat和mangle在Linux系統(tǒng)中，NA
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1