标签: iptables

在安装了 Fail2ban 的 Ubuntu 18.04.2 LTS 系统上运行时iptables -S，我注意到缺少以下几行：

-N f2b-sshd
-A f2b-sshd -j RETURN

我应该运行什么命令来重新生成f2b-sshd链以及与其关联的所有规则？我尝试运行fail2ban-client restart，但这似乎没有任何效果。

问候专家，

我在这里配置了一个不错的小型 linux 防火墙机器。它eth1适用于内部网络 (10.0.0.*) 和eth2外部网络 (65.130.27.69/27)。 eth0当前未使用。（顺便说一下，我使用的是假 IP 地址。我不知道谁拥有这些地址。）

我已经完成了所有 iptables 的工作并使用 DNAT 进行了正确设置，一切正常，我已经更新了/etc/sysconfig/iptables. 都好。

这就是它变得有趣的地方。我们这里有一堆 IP，另一个服务器想要接收端口 80 的流量，但是在不同的 IP 上。我将规则添加到 iptables，然后将辅助 IP 添加到eth2如下所示：

# ip addr  add 65.130.27.70/27  dev eth2  broadcast 65.130.27.79

这有效：

# ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
2: eth0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop qlen 1000
    link/ether 08:00:09:dc:f4:c1 brd ff:ff:ff:ff:ff:ff
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu …

我想处理通过我们的网关服务器（运行 Debian 4.0）的所有数据包。

我的想法是使用tcpdump，但是我有两个问题。
我目前想到的命令是tcpdump -i iface -n -t -q.

1. 是否保证 tcpdump 会处理所有数据包？如果 CPU 满负荷工作会发生什么？
2. 输出行的格式是IP ddd.ddd.ddd.ddd.port > ddd.ddd.ddd.ddd.port: tcp 1260. 1260究竟是什么？我怀疑它是以数据包的字节为单位的有效载荷，这正是我需要的，但我不确定。它可能是 TCP 窗口大小。

或者也许有更好的方法来做到这一点？我想到了iptables中的LOG规则，但是tcpdump似乎更容易，我不知道iptables是否可以记录数据包长度。

更新：

它现在在 IpTables 中实现。对每个网段使用单独的链，我有一个深度为 3 的树。

机器软中断负载比较高，尤其是晚上（我们大部分用户都在线的时候），但是到现在还可以接受。

感谢您的输入。

使用 Apache2 或 iptables，如果访问者的 IP 没有反向 DNS 或根本无法解析，是否有办法拒绝访问者？

我有一个针对具有有效反向 DNS 的特定人群的网站。一些没有反向 DNS 的垃圾邮件发送者和黑客来尝试向我的网站发送垃圾邮件/黑客。

他们被我的垃圾邮件拦截器拒绝/拒绝，但我仍然想阻止他们访问我的网站。

我正在运行 CentOS 5. 当我输入时

iptables -L

我明白了

用法：iptables {start|stop|restart|condrestart|status|panic|save}

它出什么问题了？

这些是我的 IPTABLES 规则：

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p udp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m …

我在处理以下 iptables 条目时遇到问题。我想停止服务器与外部世界的通信，除了 ssh，但是当我输入第四个命令 (iptables -P OUTPUT DROP) 时，我失去了我的 SSH 连接，即使我让它保持打开状态。任何帮助将不胜感激？

iptables -A INPUT -p tcp -m conntrack --ctstate RELATED,ESTABLISHED --dport ssh -j ACCEPT  
iptables -A OUTPUT -p tcp -m conntrack --ctstate RELATED,ESTABLISHED --dport ssh -j ACCEPT
iptables -A FORWARD -p tcp -m conntrack --ctstate RELATED,ESTABLISHED --dport ssh -j ACCEPT
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

谢谢

我用过这个命令

iptables -A INPUT -p tcp --dport 22 -j DROP

因为我正试图阻止端口 22 传出，因为我收到了来自亚马逊的警告，现在我无法通过 ssh 进入....我该怎么办

我正在遵循在我的服务器上设置透明 TOR 代理的指南。

指南中有几个iptables规则，其中两个是：

iptables -t nat -A OUTPUT -p udp --dport 53 -j REDIRECT --to-ports 53

iptables -t nat -A OUTPUT -p tcp --syn -j REDIRECT --to-ports 9040

所有其他规则看起来都很好，但是这两个规则没有出现在 iptables -L 中，即使在设置它们之后也是如此。

没有错误信息或任何东西。

谁能告诉我为什么？

我有一个运行 Web 应用程序的 Tomcat 服务器，该应用程序必须在同一台机器上通过 Hibernate 访问 mysql 服务器。

因此，我在 iptables 脚本中添加了端口 3306 的规则，但由于某种原因，tomcat 无法连接到 mysql 服务器。我需要重置所有 iptables 规则 - 然后 tomcat 可以再次连接到 mysql 服务器。

不过，所有其他 iptables 规则都可以完美运行。

怎么了？

这是我的脚本：

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp --dport 24 -j ACCEPT

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -p tcp -s localhost --dport 8009 -m state --state ESTABLISHED -j …