环境: rhel5.3使用Iptables最为防火墙兼NAT，并且还安装了一个squid为内部网页提供代理上网服务.
1 iptables启动NAT，仅允许内部方位外面的80和53端口
内部主机可以直接通过它上网(不适用网页代理)
2 iptables还对本身做了限制，仅仅使得它访问80和53端口
此时内部主机还可以使用网页代理访问外部的80端口
####################
#!/bin/bash
/etc/init.d/iptables stop
sudo /sbin/iptables -I INPUT -p tcp --dport 22 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p tcp --sport 22 -j ACCEPT
sudo /sbin/iptables -I INPUT -p tcp --dport 80 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p tcp --sport 80 -j ACCEPT
sudo /sbin/iptables -I INPUT -p tcp --dport 5901 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p tcp --sport 5901 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p tcp --dport 53 -j ACCEPT
sudo /sbin/iptables -I INPUT -p tcp --sport 53 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p udp --dport 53 -j ACCEPT
sudo /sbin/iptables -I INPUT -p udp --sport 53 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p tcp --dport 80 -j ACCEPT
sudo /sbin/iptables -I INPUT -p tcp --sport 80 -j ACCEPT
#sudo /sbin/iptables -I OUTPUT -p tcp --dport 443 -j ACCEPT
#sudo /sbin/iptables -I INPUT -p tcp --sport 443 -j ACCEPT
##############
iptables -t nat -I POSTROUTING -s 192.168.168.0/24 -o eth0 -j MASQUERADE
#iptables -I FORWARD -p tcp -m multiport --dport 80,443 -m layer7 --l7proto qq -j DROP
#iptables -I FORWARD -p udp --dport 8000 -j DROP
iptables -A FORWARD -o eth1 -d 192.168.168.0/24 -j ACCEPT
iptables -A FORWARD -i eth1 -p tcp --dport 80 -s 192.168.168.0/24 -j ACCEPT
iptables -A FORWARD -i eth1 -p tcp --dport 53 -s 192.168.168.0/24 -j ACCEPT
iptables -A FORWARD -i eth1 -p udp --dport 53 -s 192.168.168.0/24 -j ACCEPT
#iptables -A FORWARD -i eth1 -p tcp --dport 443 -s 192.168.168.0/24 -j ACCEPT
iptables -A FORWARD -i eth1 -p icmp -s 192.168.168.0/24 -j ACCEPT
sudo /sbin/iptables -I INPUT -i lo -j ACCEPT
sudo /sbin/iptables -I OUTPUT -o lo -j ACCEPT
sudo /sbin/iptables -I INPUT -p icmp -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p icmp -j ACCEPT
sudo /sbin/iptables -P INPUT DROP
sudo /sbin/iptables -P OUTPUT DROP
sudo /sbin/iptables -P FORWARD DROP
阅读(1065) | 评论(0) | 转发(0) |
