N25期–第十四周作業

系統的INPUT和OUTPUT默認策略為DROP；

# iptables -P INPUT DROP

# iptables -P OUTPUT DROP

1、 限制本地主機的web服務器在周一不允許訪問；新請求的速率不能超過100個每秒；web服務器包含了admin字符串的頁面不允許訪問；web服務器僅允許響應報文離開本機；

#iptables -A INPUT -p
tcp –dport 80 -m time ! –weekdays Mon -j ACCEPT

#
iptables -A INPUT -p tcp –dport 80 -m limit –limit 100/s

#
iptables -A INPUT -p tcp –dport 80 -m string –algo bm –string ‘admin’ -j
REJECT

#
iptables -A OUTPUT -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT

2、 在工作時間，即周一到周五的8:30-18:00，開放本機的ftp服務給172.16.0.0網絡中的主機訪問；數據下載請求的次數每分鐘不得超過5個；

#
iptables –A INPUT –s 172.16.0.0/16 –p tcp –dport21 –m time –timestart 08:30 –timestop 18:00 –m time! –weekdays 6,7 -m limit –limit 5/minute
–m state –state NEW,ESTABLISHED –j ACCEPT

#
iptables –A INPUT –m state –state RELATED,ESTABLISHED –j ACCEPT

#
iptables –A OUTPUT –m d 172.16.0.0/16 –p tcp –m state –state ESTABLISHED –j ACCEPT

3、 開放本機的ssh服務給172.16.x.1-172.16.x.100中的主機，x為你的座位號，新請求建立的速率一分鐘不得超過2個；僅允許響應報文通過其服務端口離開本機；

# iptables -A INPUT
-p tcp –dport 22 -m iprange –src-range 172.16.0.1-172.16.0.100 -m limit
–limit 2/m -j ACCEPT

#
iptables -A OUTPUT -p tcp –sport 22 -m iprange –dst-range
172.16.0.1-172.16.0.100 -m state –state ESTABLISHED -j ACCEPT

4、 拒絕TCP標志位全部為1及全部為0的報文訪問本機；

#
iptables -A INPUT -p tcp –tcp-flags ALL ALL -j DROP

5、 允許本機ping別的主機；但不開放別的主機ping本機；

# iptables -A INPUT  -p icmp –icmp-type
0 -j ACCEPT

#
iptables -A OUTPUT  -p icmp –icmp-type 8
-j ACCEPT

6、 判斷下述規則的意義：

# iptables -N clean_in 
//創建自定義鏈clean_in

# iptables -A clean_in -d 255.255.255.255 -p icmp -j DROP
//丟棄廣播包

# iptables -A clean_in -d 172.16.255.255 -p icmp -j DROP
//丟棄到172.16.255.255的icmp包

# iptables -A clean_in -p tcp ! –syn -m state –state
NEW -j DROP //丟棄syn包標志不為1的包和連接追蹤狀態為新連接的包

# iptables -A clean_in -p tcp –tcp-flags ALL ALL -j DROP
//丟棄TCP標志為全部為1的報文

# iptables -A clean_in -p tcp –tcp-flags ALL NONE -j
DROP //丟棄TCP標志為全部為0的報文

# iptables -A clean_in -d 172.16.100.7 -j RETURN //在到目的主機172.16.100.7的報文返回到主鏈過濾

# iptables -A INPUT -d 172.16.100.7 -j clean_in //到目的主機172.16.100.7的報文過濾轉給自定義鏈clean_in

# iptables -A INPUT -i lo -j ACCEPT //指定流入報文接口為本地回環

# iptables -A OUTPUT -o lo -j ACCEPT //指定流出報文接口為本地回環

# iptables -A INPUT -i eth0 -m multiport -p tcp –dports 53,113,135,137,139,445 -j DROP 

//指定流入報文接口為eth0,協議為tcp，目標端口為53,113,135,137,139,445的報文丟棄

# iptables -A INPUT -i eth0 -m multiport -p udp –dports 53,113,135,137,139,445 -j DROP  

//指定流入報文接口為eth0,協議為udp，目標端口為53,113,135,137,139,445的報文丟棄

# iptables -A INPUT -i eth0 -p udp –dport 1026 -j DROP 

//指定流入報文接口為eth0,協議為udp，目標端口為1026的報文丟棄

# iptables -A INPUT -i eth0 -m multiport -p tcp –dports 1433,4899 -j DROP 

//指定流入報文接口為eth0,協議為tcp，目標端口為1433,4899的報文丟棄

# iptables -A INPUT -p icmp -m limit –limit 10/second -j ACCEPT 

//限定ping速率為每秒10次

7、 通過tcp_wrapper控制vsftpd僅允許172.16.0.0/255.255.0.0網絡中的主機訪問，但172.16.100.3除外；對所被被拒絕的訪問嘗試都記錄在/var/log/tcp_wrapper.log日志文件中；

# vim /etc/hosts.allow

vsftpd:172.16.0.0/255.255.0.0
EXCEPT 172.16.100.3

# vim /etc/hosts.deny

vsftpd:ALL :spawn /bin/echo `date` login attempt from %c to
%s, %d >> /var/log/tcp_wrapper.log