Linux服务器的安全实践

1、iptables ：Linux服务器下的优秀防火墙续

　　实际应用中，如果要阻止来自某一特定IP范围内的数据包，因为该IP地址范围被管理员怀疑有大量恶意攻击者在活动：

　　# iptables -t filter -A INPUT -s xxx.xxx.xxx.0/24 -j DROP

　　也可以很轻易地阻止所有流向攻击者IP地址的数据包，该命令稍有不同：

　　# iptables -t filter -A OUTPUT -d xxx.xxx.xxx.0/24 -j DROP

　　注意这里的A选项，使用它说明是给现有的链添加规则。网络上的恶意攻击者总是在变化的，因此需要不断改变IP。假设一个网上攻击者转移到新的IP地址，而原来的IP地址被分配给一些清白的用户，那么这时这些用户的数据包将无法通过网络。这种情况下，可以使用带-D选项的命令来删除现有的规则：

　　# iptables -t filter -D OUTPUT -d 192.168.10.0/24 -j DROP

　　一旦测试结果令人满意，就可以将上述测试结果保存为脚本。可以使用“iptables-save > iptables-script”命令来实现，现在，信息包过滤表中的所有规则都被保存在文件iptables-script中。无论何时再次引导系统，都可以使用 iptables-restore 命令将规则集从该脚本文件恢复到信息包过滤表，命令为“iptables-restore iptables-script”。

　　创建一个具有很好灵活性、可以抵御各种意外事件的规则需要大量的时间。对于那些没有时间这样做的人，最基本的原则是“先拒绝所有的数据包，然后再允许需要的”。下面来为每一个链设置缺省的规则：

　　# iptables -P INPUT DROP
　　# iptables -P FORWARD DROP
　　# iptables -P OUTPUT ACCEPT

　　这里选项-P用于设置链的策略，只有三个内建的链才有策略。这些策略可以让信息毫无限制地流出，但不允许信息流入。

　　最后需要提示的是：功能强大的iptables防火墙是完全免费的，这对于那些想要功能卓越而又想节省费用的用户来说，是一种比较理想的选择。

感谢原创作者.书名：大学生攻克Linux系统教程(又名天下没有难学的Linux)