Linux服务器架设-iptables服务器配置实例

防火墙服务器iptables配置

任务背景：

学院计算机系已建立了Mail服务器，IP地址为192.168.1.200,掩码为255.255.255.0；
FTP服务器，IP地址为192.168.1.199,掩码为255.255.255.0；
Web服务器，IP地址为192.168.1.198,掩码为255.255.255.0
办公与教学计算机200台，IP地址范围为192.168.1.1-192.168.1.254掩码为255.255.255.0
所有内网计算机需要经常访问互联网，并且计算机系所有的办公与教学计算机不能使用即时通工具。其中Mail和FTP服务器对内部教师开放，仅需要发布Web站点，并且管理员会通过外网进行远程管理，为了保证整个网络的安全性，现在需要添加iptables防火墙，配置相应的策略。

这是原来的防火墙配置

1)配置默认策略：

删除默认策略：

iptables -F               #清除规则链中已有的条目
iptables -X               #清除自建的规则
iptables -Z               #清空规则链中的数据包计算器和字节计数器
iptables -F -t nat
iptables -X -t nat
iptables -Z -t nat

设置默认策略

iptables -P INPUT  DROP                                #将fliter表中INPUT链的默认策略定义为丢弃
iptables -P FORWARD  DROP                              #将fliter表中FORWARD链的默认策略定义为丢弃
iptables -P OUTPUT  ACCEPT                             #将fliter表中OUTPUT链的默认策略定义为接收
iptables -t nat -P PREROUTING  ACCEPT                  #将nat表中PREROUTING链的默认策略定义为接收
iptables -t nat -P OUTPUT  ACCEPT                      #将nat表中OUTPUT链的默认策略定义为接收
iptables -t nat -P POSTROUTING  ACCEPT                 #将nat表中POSTROUTING链的默认策略定义为接收

2)回环地址

iptables -A INPUT -i lo -j ACCEPT               #接收来自lo接口的数据包

3)连接状态设置

iptables -A INPUT -m state --state  ESTABLISHED,RELATED -j ACCEPT

4)设置80端口转发

iptables -A FORWARD -p tcp  --dport 80 -j ACCEPT   #FORWARD链是负责处理需要转发的数据包的

5)DNS相关设置

iptables -A FORWARD -p udp  --dport 53 -j ACCEPT
iptables -A FORWARD -p tcp  --dport 53 -j ACCEPT

6)允许访问服务器的SSH

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

7)允许内网主机登录MSN和QQ

iptables -A FORWARD -p tcp  --dport 1863 -j DROP
iptables -A FORWARD -p tcp  --dport 443  -j DROP
iptables -A FORWARD -p tcp  --dport 8000 -j DROP
iptables -A FORWARD -p udp  --dport 8000 -j DROP
iptables -A FORWARD -p udp  --dport 4000 -j DROP

8)允许内网主机收发邮件

iptables -A FORWARD -p tcp  --dport 25  -j ACCEPT
iptables -A FORWARD -p tcp  --dport 110 -j ACCEPT
iptables -A FORWARD -p udp  --dport 110 -j ACCEPT
iptables -A FORWARD -p tcp  --dport 143 -j ACCEPT
iptables -A FORWARD -p udp  --dport 143 -j ACCEPT
iptables -A FORWARD -p tcp  --dport 993 -j ACCEPT
iptables -A FORWARD -p udp  --dport 993 -j ACCEPT
iptables -A FORWARD -p tcp  --dport 995 -j ACCEPT
iptables -A FORWARD -p udp  --dport 995 -j ACCEPT

9)NAT设置

iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.1.0/24

10)内网机器对外部发Web

iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.198:80

配置完后的iptables规则：

filter表：

nat表：

备注：使用的Linux系统是Redhat6.5~
本篇博客只是来记录学习相关内容的过程，案例仅供参考~