ngingx访问限制和iptables简单使用

为了方便安装了一个phpmyadmin,结果公司扫描了之后说要做一些安全限制,主要还是用到nginx的访问限制和iptables,这里稍微做一下记录

nginx的限制较为简单,在server中添加对phpmyadmin的限制即可

location ~* /phpmyadmin/ {

allow 192.168.3.0/24;

deny all;

}
主要还是记录一下iptables的简单使用:
1、查看
iptables -vL –line-number
-v 输出详细信息,包含通过该规则的数据包数量,总字节数及相应的网络接口
-L 查看当前表的所有规则,默认查看的是filter表,如果要查看NAT表,可以加上-t NAT参数
–line-number 显示规则的序列号,这个参数在删除或修改规则时会用到
简单查看也可以使用iptables -L
[root@Helight]# iptables -nvL –line-number
Chain INPUT (policy ACCEPT 301 packets, 1767K bytes)
num   pkts bytes target     prot opt in     out     source               destination
1      140 11760 ACCEPT     icmp —  *      *       0.0.0.0/0            0.0.0.0/0
2        0     0 ACCEPT     tcp  —  eth1   *       192.168.3.0/24        0.0.0.0/0          multiport dports 22
3        0     0 ACCEPT     tcp  —  eth1   *       192.168.1.0/24       0.0.0.0/0           multiport dports 22
4      532 28698 ACCEPT     tcp  —  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80
5       83 42547 ACCEPT     tcp  —  eth1   *       192.168.1.160         0.0.0.0/0           tcp spt:3306
[root@Helight]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     icmp —  anywhere             anywhere
ACCEPT     tcp  —  192.168.3.0/24        anywhere            multiport dports 22
ACCEPT     tcp  —  192.168.1.0/24       anywhere            multiport dports 22
ACCEPT     tcp  —  anywhere             anywhere            tcp dpt:http
ACCEPT     tcp  —  192.168.1.160         anywhere            tcp spt:mysql
2、添加
添加规则有两个参数:-A和-I。其中-A是添加到规则的末尾;-I可以插入到指定位置,没有指定位置的话默认插入到规则的首部。

在INPUT链上添加一条规则到尾部:

[root@Helight]# iptables -A INPUT -s 192.168.3.5 -j DROP

再在OUTPUT链上插入一条规则到第三行,将行数直接写到规则链的后面:

[root@Helight]# iptables -I OUTPUT 3 -s 192.168.3.3 -j DROP

3、删除
删除用-D参数

删除之前添加的规则(iptables -A INPUT -s 192.168.3.5 -j DROP):

[root@Helight]# iptables -D INPUT -s 192.168.3.5 -j DROP

有时候要删除的规则太长,删除时要写一大串,既浪费时间又容易写错,这时我们可以先使用–line-number找出该条规则的行号,再通过行号删除规则。

删除INPUT链上的第4行规则

[root@Helight]# iptables -D INPUT 4

4、修改
修改使用-R参数

将INPUT链上的第4条规则改为ACCEPT:

[root@test ~]# iptables -R INPUT 4 -j ACCEPT

常用的一些规则:

1、多端口登录

iptables -A INPUT -i eth1 -p tcp -s 192.168.1.0/24 -m multiport –dport 22,23 -j ACCEPT

iptables -A OUTPUT -o eth1 -p tcp -d 192.168.1.0/24 -m multiport –sport 22,23 -j ACCEPT

 

2、允许eth1网口上对webserver 端口的TCP访问(如80、443端口)。

iptables -A INPUT -i eth1 -p tcp –dport 80 -j ACCEPT

iptables -A OUTPUT -o eth1 -p tcp –sport 80 -j ACCEPT

3、允许phpmyadmin对其DB的访问(如DB的ip是10.10.10.10,DB端口是3306)。

iptables -A INPUT -i eth1 -p tcp -s 192.168.1.160 –sport 3306 -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp -d 192.168.1.160 –dport 3306 -j ACCEPT

4、允许ping

iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

5、禁止来自eth1网口上的其他访问。

iptables -A INPUT -i eth1 -j DROP

iptables -A OUTPUT -o eth1 -j DROP

Leave a Reply

Your email address will not be published. Required fields are marked *