如何使用iptables命令为Linux系统配置防火墙(2)

　　（4）添加规则。

　　首先添加INPUT链，INPUT链的默认规则是DROP，所以我们就写需要ACCETP（通过）的链

　　为了能采用远程SSH登陆，我们要开启22端口。

　　代码如下：

　　［root@tp ~］# iptables -A INPUT -p tcp --dport 22 -j ACCEPT

　　［root@tp ~］# iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

　　（注：这个规则，如果你把OUTPUT 设置成DROP的就要写上这一部，好多人都是望了写这一部规则导致，始终无法SSH.在远程一下，是不是好了。

　　其他的端口也一样，如果开启了web服务器，OUTPUT设置成DROP的话，同样也要添加一条链：

　　代码如下：

　　［root@tp ~］# iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT

　　，其他同理。

　　如果做了WEB服务器，开启80端口。

　　代码如下：

　　［root@tp ~］# iptables -A INPUT -p tcp --dport 80 -j ACCEPT

　　如果做了邮件服务器，开启25，110端口。

　　代码如下：

　　［root@tp ~］# iptables -A INPUT -p tcp --dport 110 -j ACCEPT

　　［root@tp ~］# iptables -A INPUT -p tcp --dport 25 -j ACCEPT

　　如果做了FTP服务器，开启21端口

　　代码如下：

　　［root@tp ~］# iptables -A INPUT -p tcp --dport 21 -j ACCEPT

　　［root@tp ~］# iptables -A INPUT -p tcp --dport 21 -j ACCEPT

　　如果做了DNS服务器，开启53端口

　　代码如下：

　　［root@tp ~］# iptables -A INPUT -p tcp --dport 53 -j ACCEPT

　　如果你还做了其他的服务器，需要开启哪个端口，照写就行了。

　　上面主要写的都是INPUT链，凡是不在上面的规则里的，都DROP

　　允许icmp包通过，也就是允许ping，

　　代码如下：

　　［root@tp ~］# iptables -A OUTPUT -p icmp -j ACCEPT （OUTPUT设置成DROP的话）

　　［root@tp ~］# iptables -A INPUT -p icmp -j ACCEPT （INPUT设置成DROP的话）

　　允许loopback！（不然会导致DNS无法正常关闭等问题）

　　代码如下：

　　IPTABLES -A INPUT -i lo -p all -j ACCEPT （如果是INPUT DROP）

　　IPTABLES -A OUTPUT -o lo -p all -j ACCEPT（如果是OUTPUT DROP）

　　下面写OUTPUT链，OUTPUT链默认规则是ACCEPT，所以我们就写需要DROP（放弃）的链。

　　减少不安全的端口连接

　　代码如下：

　　［root@tp ~］# iptables -A OUTPUT -p tcp --sport 31337 -j DROP

　　［root@tp ~］# iptables -A OUTPUT -p tcp --dport 31337 -j DROP

　　有些些特洛伊木马会扫描端口31337到31340（即黑客语言中的 elite 端口）上的服务。既然合法服务都不使用这些非标准端口来通信，阻塞这些端口能够有效地减少你的网络上可能被感染的机器和它们的远程主服务器进行独立通信的机会

　　还有其他端口也一样，像：31335、27444、27665、20034 NetBus、9704、137-139（smb），2049（NFS）端口也应被禁止，我在这写的也不全，有兴趣的朋友应该去查一下相关资料。

　　当然出入更安全的考虑你也可以包OUTPUT链设置成DROP，那你添加的规则就多一些，就像上边添加

　　允许SSH登陆一样。照着写就行了。