配置

#
# 4.1.3 Create content in userspecified chains
#

#
# bad_tcp_packets chain
#

$IPTABLES -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK \
-m state --state NEW -j REJECT --reject-with tcp-reset 
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG \
--log-prefix "New not syn:"
$IPTABLES -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP

这条链包含的规则 检查进包的包头是否不正常或有没有其他问题 ，并进行相应地处理。但事实上，我们使用它只是为了过滤掉一些特殊的包：

• 没有设置 SYN 位但又是 NEW 状态的TCP包
• 设置了 SYN/ACK 但也被认为是 NEW 状态的TCP包

可以用来检查所有可能的不一致的东西，比如上面的包或者XMAS port-scans等。还可以为INVALID状态的包增加一条规则的

  如果你想完全了解无SYN位的NEW状态，可以看看未设置SYN的NEW状态包，它介绍了未设 置SYN的NEW状态包通过其他规则的情况。在某些情况下可以允许这种包通过，但99%的情况是我们不想让它们通过。因此，我们会先记录这种包，然后再扔掉它们

  我们拒绝SYN/ACK包以NEW状态进入的原因也是非常简单的。基本上，我们这样做是出于对其他主机的好意，因为我们为他们预防了序列号预测攻击

如果包是从 $INET _ IFACE 进入的，而且是 TCP 包，那它就要经过 tcp _ packets 链的检验。如果这个连接就是冲着被允许通过的端口来的，我们还要对它进行一些检查，以确定是否真的要接受它。这都是在 allowed 链里进行的

#
# allowed chain
#

$IPTABLES -A allowed -p TCP --syn -j ACCEPT
$IPTABLES -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A allowed -p TCP -j DROP

• 看看这个包是否是SYN包
  • 如果是，它很可能是新连接的第一个包，我们当然接受了
  • 如果不是，那就看看包是否来自某个ESTABLISHED或RELATED状态的连接
    • 是的话，就接受。ESTABLISHED状态的连接是那种在两个方向上都有流量存在的连接。依据状态机制的观点，这个连接一定处于是ESTABLISHED状态的，因为我们现在能看到这个包，说明以前肯定收到了相应的SYN包
    • 最后一条规则将DROP所有其他的包

  当包到达最后这条DROP规则，就几乎意味着所有连接都不会有双向的交流，也就是说，我们不会回应SYN包

  当试图用非SYN包开始新的连接时，包也会走到这条规则

  不用SYN包建立新连接没有什么实际的用处，当然，端口扫描要排除在外

  就我知道的而言，现在没有什么有用的TCP/ IP程序会使用SYN包以外的包来打开一个TCP连接

  因此，我们要把这样的包DROP掉，有99%的把握说它们是端口扫描用的

#
# TCP rules
#
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 21 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 22 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 80 -j allowed
$IPTABLES -A tcp_packets -p TCP -s 0/0 --dport 113 -j allowed

tcp _ packets 链指定了 哪些端口可从Internet访问 。但我们还要对进入的包做更多的检查，因此， 每个包都会被发送到上面提到的 allowed 链

• -A : 告诉iptables要在哪条链里增加规则，规则被放在指定链的末尾
• -p : 指定要匹配的是TCP包
• -s 0/0 : 说明要匹配的源地址是从网络掩码为0.0.0.0的地址0.0.0.0开始的，换句话说，就是所有的地址。这实际上是默认值
• –dport 21 : 目的端口，也就是说如果包是发往端口21的，就会被匹配。如果所有的标准都匹配了，包就要被送往 allowed 链。

TCP的 21 号端口也是允许访问的，也就是 FTP 的控制端口，它可以控制FTP连接

  前面提到过，还允许所有RELATED状态的连接通过。这样，也就可以使用PASSIVE和ACTIVE的连接了

  当然要事先装载ip_conntrack_ftp模块

  如果我们不想再提供FTP服务，就卸载ip_conntrack_ftp模块

  并把$IPTABLES -A tcp _ packets -p TCP -s 0/0 --dport 21 -j allowed 这一行从文件 rc.firewall.txt里删掉

22 号端口是 SSH 使用的

  注意，你操作的是防火墙，把任何访问权分配给除你自己之外的人都不是什么好主意

  防火墙总是应该尽量少地暴露自己

80 是 HTTP 端口，也就是说在防火墙上运行了网页服务

最后还提供了 IDENTD 服务，端口是 113 。这个服务对某些协议是必须的，如 IRC

如果没有匹配上面任何一条规则，包就会被送回 tcp _ packets链的父链 ，也就是把它发到 tcp_{packets链的那条规则所在的链}

#
# UDP ports
#

#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 53 -j ACCEPT
#$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 123 -j ACCEPT
$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 2074 -j ACCEPT
$IPTABLES -A udp_packets -p UDP -s 0/0 --destination-port 4000 -j ACCEPT

如果我们在INPUT链中遇到了UDP包，就把它发送到 udp _ packets 链。此外，我们只接受发往特定端口的包，这些端口是我们想对Internet开放的

    我们不需要依据发送端的源端口来决定是否打开某个端口，这个工作是由状态机制完成的
    
    如果我们想运行某个使用UDP端口的服务（如DNS），只要开放相应的端口，其他的端口不需要打开
    
    那些处于 ESTABLISHED状态、正在进入防火墙的包在到达包含--state ESTABLISHED,RELATED的规则（这是 INPUT链里那些“处理来自Internet的包的规则”中的第一条规则）之后就会被接受了

不接受外来的以 53 号端口为目的的 UDP 包，也就是说，不想接受外来的DNS查询

就我个人而言，我会打开 123 号端口，它对应的协议是network time protocol，简称 NTP 。我们可以利用这个协议与某台具有精确时间的时间服务器联系，以设置本机的时间

我打开了 2074 号端口，它是某些实时的多媒体应用程序使用的。比如 speak freely ，可以用这个程序通过音箱、麦克风或耳麦与其他人进行实时交谈

端口 4000 相应的协议是 ICQ 协议，由ICQ使用，世界上使用最广泛的聊天程序之一

如果你正在经历日志满天飞的苦恼，这里有两个额外的规则可以使用，当然，这要看是因为什么引起的 了。我们这里的第一条规则会阻塞目的端口是135到139的广播包。大部分Microsoft使用者会用到NetBIOS 或SMB，而它们就使用这些广播包。这条规则可以阻塞所有位于外网的那些Microsoft Network产 生的广播包，我们的日志也就可以简洁一些了

#
# In Microsoft Networks you will be swamped by broadcasts. These lines 
# will prevent them from showing up in the logs.
#

#$IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d $INET_BROADCAST \
#--destination-port 135:139 -j DROP

第二条规则也是解决日志问题，不过问题的产生者变了，这 回是外网的DHCP查询。如果你的外网是由非交换的以太网组成的，在那里客户机可以通过DHCP 得到IP地址，也就是说，如果外网里会有很多DHCP查询广播包，那就启用这条规则吧

# If we get DHCP requests from the Outside of our network, our logs will 
# be swamped as well. This rule will block them from getting logged.
#

#$IPTABLES -A udp_packets -p UDP -i $INET_IFACE -d 255.255.255.255 \
#--destination-port 67:68 -j DROP

#
# ICMP rules
#
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT

现在，该决定可以接受哪些ICMP类型了。在INPUT链中，如果ICMP包是从eth0进入的，我们就要把它重定向到 icmp _ packets 链，以检查是否是可以接受的类型。目前，我只接受三种ICMP包：

• ICMP Echo requests : 用来请求echo reply，这个操作主要被用来ping其他的机子，以确定那些机子是否可用
  • 如果没有这一条规则，其他机子将不能通过ping来确 定我们是否可用
  • 有些人倾向于删掉此规则，只是因为他们不想被Internet看到
• TTL equals 0 during transit/reassembly : 允许数据包 传输 / 组装 期间生存时间为0进入
  • 可以追踪从本地到某台主机的路径，或者在包的TTL为0时，能得到回应信息。比如，在追踪到某台主机的路径时，会以 TTL = 1的包开始。当它得到第一个路由时，TTL减为0，我们也会得到第一个路由返回的超时信息。然后 是TTL = 2的包，我们就会得到第二个路由器返回的超时信息。如此，直到得到我们的目的主机返回 的信息。这样，我们就可以从路径上的每一台主机得到一个回应，从而我们可以看到路径上的每一台主机， 也就可以知道路径是断在哪台机子了

  默认不接受其他任何ICMP类型的原因是，几乎所有其他类型的ICMP包都是RELATED状态的，也就是说它们都会被处理RELATED状态的规则放行