• 企业400电话
  • 微网小程序
  • AI电话机器人
  • 电商代运营
  • 全 部 栏 目

    企业400电话 网络优化推广 AI电话机器人 呼叫中心 网站建设 商标✡知产 微网小程序 电商运营 彩铃•短信 增值拓展业务
    iptables防火墙实现阻挡常见攻击的实用设置分享

    从 Yaocheng 那里看到了这篇文章,好东西,需要珍藏下。这里列举了 Linux 下面几个经常遇见的攻击手段和应对手段。以下 iptables 规则应该普遍适应于各种 Linux 版本,只是要注意保存,以免系统重启后失效

    初始创建的 TCP 连接必须含 SYN


    复制代码
    代码如下:

    iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

    丢弃 Fragments 碎片数据包 (碎片数据包攻击的后果: 可能导致正常数据包丢失)

    复制代码
    代码如下:

    iptables -A INPUT -f -j DROP

    防止 SYN 洪水攻击 (限制的速度根据自身情况调整)


    复制代码
    代码如下:

    iptables -A INPUT -p tcp -m state --state NEW -m limit --limit 100/second --limit-burst 300 -j ACCEPT
    iptables -A INPUT -p tcp -m state --state NEW -j DROP

    丢弃异常的 XMAS 数据包 (异常的 XMAS 数据包攻击的后果: 可能导致某些系统崩溃)


    复制代码
    代码如下:

    iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
    iptables -A INPUT -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
    iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP

    丢弃 NULL 空数据包


    复制代码
    代码如下:

    iptables -A INPIT -p tcp --tcp-flags ALL NONE -j DROP

    允许有限的 TCP RST 请求 (限制的速度根据自身情况调整)


    复制代码
    代码如下:

    iptables -A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 10/second --limit-burst 30 -j ACCEPT

    丢弃无效数据包


    复制代码
    代码如下:

    iptables -A INPUT -m state --state INVALID -j DROP
    iptables -A FORWARD -m state --state INVALID -j DROP
    iptables -A OUTPUT -m state --state INVALID -j DROP

    阻挡欺诈 IP 地址的访问 (以下为 RFC1918 类型和 IANA 预留地址,多为 LAN 或者多播地址,这些是不可能作为公网地址源的)


    复制代码
    代码如下:

    iptables -A INPUT -s 10.0.0.0/8 -j DROP
    iptables -A INPUT -s 169.254.0.0/16 -j DROP
    iptables -A INPUT -s 172.16.0.0/12 -j DROP
    iptables -A INPUT -s 127.0.0.0/8 -j DROP
    iptables -A INPUT -s 224.0.0.0/4 -j DROP
    iptables -A INPUT -d 224.0.0.0/4 -j DROP
    iptables -A INPUT -s 240.0.0.0/5 -j DROP
    iptables -A INPUT -d 240.0.0.0/5 -j DROP
    iptables -A INPUT -s 0.0.0.0/8 -j DROP
    iptables -A INPUT -d 0.0.0.0/8 -j DROP
    iptables -A INPUT -d 239.255.255.0/24 -j DROP
    iptables -A INPUT -d 255.255.255.255 -j DROP

    阻挡自定义的恶意 IP 地址的访问


    复制代码
    代码如下:

    iptables -A INPUT -s xxx.xxx.xxx.xxx -j DROP

    禁止 ICMP PING

    复制代码
    代码如下:

    iptables -A INPUT -p icmp -m icmp --icmp-type echo-request -j DROP

    上一篇:为Linux新增静态路由以便用户手工配置
    下一篇:CentOS下编译安装python包管理安装工具pip教程
  • 相关文章
  • 

    © 2016-2020 巨人网络通讯 版权所有

    《增值电信业务经营许可证》 苏ICP备15040257号-8

    iptables防火墙实现阻挡常见攻击的实用设置分享 iptables,防火墙,实现,阻挡,