Please enable JavaScript.

Coggle requires JavaScript to display documents.

3-2-2預設阻擋所有連線的policy, 3-2-9設定核心的安全相關參數, 3-2-6允許特定埠號的對內連線, 3-2-4阻擋可疑狀態的封包,…

- - - - 可用通訊埠號，也可用其名稱(要小寫)
      - 可查詢主機的/etc/services檔
      - 開放連續埠號：7000:7009，共10個
      - 指定某個通訊埠只能供特定IP存取
        
        ftp,218.166.26.75
        
        ssh,61.63.33.173/28
      - 不允許某IP連線：smtp,!68.166.193.130
  - - - Q：看不懂這一段程式碼？
    - - Q：這個設定「只有允許此連線的第1個封包進入」，如何再允許所有已對內放行的連線的第2、3…個封包進入？A：使用state模組的「表格」，它會「記錄每個連線的狀態」。 #
- - - - 狀態為NEW，表示此為該「連線」的第一個封包，依規定此封包為SYN類型。
    - - iptables -A INPUT -p tcp --tcp-flags ALL NONE -j BADPKT
      - iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j BADPKT
      - iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j BADPKT
      - iptables -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j BADPKT
      - iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j BADPKT
      - iptables -A INPUT -p tcp --tcp-flags ACK,URG URG -j BADPKT
      - iptables -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j BADPKT
      - iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j BADPKT
      - iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j BADPKT
      - iptables -A INPUT -p tcp --tcp-flags ALL ALL -j BADPKT
      - iptables -A INPUT -p tcp --tcp-flags ALL FIN -j BADPKT
- - - - 至少有一個連線務必開放：對外查詢DNS。若未開放對外連線至DNS伺服器，則所有使用者和程式將無法使用網域名稱進行連線。iptables -A OUTPUT -p udp -m state --state NEW --dport 53 -j ACCEPT
      - 若本機需要向外發送信件，如使用者會登入走行pine、mutt等軟體寄信，或是主機會發送特殊訊息、檢查結果等資料給管理者，則必須開放所有目的埠號為25的對外連線，否則主機將無法送出信件。
- - - - 想禁止特定IP連線至主機：自訂的BADIP變數 #
      - IMPOSSIBLE_IPS變數：IMPOSSIBLE_IPS=" 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16" #
        
        若你的主機IP是三種私有IP網段之一，請務必將變數中的該網段刪除
      - 想記錄所有被防火牆阻擋的封包：自訂的DROPLOG變數 DROPLOG = 1 #
    - - IN_TCP_PORTALLOWED=" "
        
        若限制只有61.63.33.172能PING到你的主機，則設定IN_TCP_PORTALLOWED="8,61.63.33.172"
      - IN_UDP_PORTALLOWED=" "
      - IN_ICMP_PORTALLOWED=" "
      - EGRESS="0"
      - OUT_TCP_PORTALLOWED=" "
      - OUT_UDP_PORTALLOWED=" "
      - OUT_ICMP_PORTALLOWED=" "
      - Q：為何不需開放對外查詢DNS，這樣能查詢DNS嗎？
    - - IN_TCP_PORTALLOWED="ftp ssh smtp domain http https pop3 imap" (依自己有架設的伺服器增刪)
      - IN_UDP_PORTALLOWED="domain"(依自己有架設的伺服器增刪)
      - IN_ICMP_PORTALLOWED=" "
        
        想限制只有61.63.33.172能PING到你的主機，則設定IN_TCP_PORTALLOWED="8,61.63.33.172"
      - EGRESS
        
        若此主機連外不管制(即單向管制)，則EGRESS="0 "
        
        若此主機身兼上網打報告用，則EGRESS="1"使用者會無法上網
        
        若此主機連外管制(即雙向管制)，則EGRESS="1"
      - OUT_TCP_PORTALLOWED="smtp,,root" (想限制只有root才能對外進SMTP連線)
      - OUT_UDP_ALLOWED=" "
      - OUT_ICMP_PORTALLOWED=" "
- - - - iptables -A INPUT -i ! lo -s 127.0.0.0/8 -j DROP
      - iptables -A OUTPUT -o ! lo -d 127.0.0.0/8 -j DROP