网安技术与应用(4)——配置iptables防御常见攻击

一 实验目的

掌握如何设计防火墙的高级过滤策略以抵御各种类型的攻击。

二 实验内容

1. 防止端口扫描；
2. 防止 ping 攻击；
3. 防止 ip 碎片攻击；
4. 丢弃坏的 TCP包；
5. 防止 SYN攻击。

三 实验原理

参见 网安技术与应用(3)——Linux防火墙iptables的使用

四 实验条件

1、仪器设备条件：PC 及其网络环境；

2、物质条件：Linux(kernel 2.6包含 Iptables)；

3、相关文献资料：教学网站所提供的电子文档

五 实验过程

1、默认规则

# 启动防火墙
modprobe ip_tables
sudo ufw enable
sudo ufw reload
#清除规则 
sudo iptables -F
#设置默认规则为丢弃一切报文 
sudo iptables -P INPUT DROP 
sudo iptables -P OUTPUT DROP 
sudo iptables -P FORWARD DROP

2、防止端口扫描和Ping攻击

OUTPUT是关于虚拟机ping主机的设置，INPUT是关于主机ping虚拟机的设置。

1/s 10就是一秒钟不能发超过10个，1/m 10就是1分钟不能发超过10个，ping操作的通信1秒钟不可能达到发送10个，最多来回2-3次，但1分钟10次消息传输是完全有可能的

所以，只要OUTPUT或INPUT有一方设置了1/m 10，就会在发送10条消息后停止；如果2个都是1/s 10，就会永远ping下去

因为是双方的通信，所以output和input都要打开【accept】

sudo iptables -A INPUT -i eth0 -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
# 用于测试
sudo iptables -A OUTPUT -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT
# sudo iptables -A OUTPUT -p icmp -m limit --limit 1/m --limit-burst 10 -j ACCEPT
# 防止 ping 攻击，允许每秒和每分钟一个包，触发条件是10个包
# sudo iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT
sudo iptables -A INPUT -p icmp -m limit --limit 1/m --limit-burst 10 -j ACCEPT

• windows去ping虚拟机：

ping -l 65500 -t 192.168.85.128

ping -l 10 -t 192.168.85.128