#특정 IP를 차단하려면
iptables -A INPUT -s x.x.x.x -j DROP을 실행하면 되고 (inbound)
iptables -A OUTPUT -d x.x.x.x -j DROP (outbound)
#특정 IP의 차단을 해제하려면
iptables -D INPUT -s x.x.x.x -j DROP을 실행하시면 됩니다
or
iptables파일에 아래추가
-A INPUT -s x.x.x.x -j DROP
#특정 IP의 제한된 포트접속하려면
iptables -A INPUT -p tcp -s 아이피 --sport 1024: --dport 포트 -m state --state NEW -j ACCEPT
or
-A INPUT -s 아이피 -p tcp --dport 포트 -j ACCEPT
or
iptables -A INPUT -p tcp -s 아이피 -d 서버아이피 --dport 22 -j ACCEPT
#특정 IP의 제한된 포트접속차단하려면
iptables -A INPUT -p tcp -s 아이피 --sport 1024: --dport 포트 -j DROP
만약 이전에 iptables룰이 있었다면 추가시
-A 대신 Insert의 의미인 -I를 실행
내용보기
#iptables -L
삭제
iptables -D INPUT [필터링 번호] : 상위설정부터 1로 시작된다
모두삭제
iptables -F
저장
service iptables save
get flooding공격 확인
tcpdump -nn -A port 80 | grep GET
tcpdump -nn -A -s 1500 port 80
route add -host xxx.xxx.xxx.xxx reject
해제 할때는
route del -host xxx.xxx.xxx.xxx reject
iptables로 TTL값 변조
통상적으로 라우터장비는 TTL값이 255 윈도우는 128 리눅스는 63이다. 리눅스서버를 TTL값을 128로 변조
iptables -t mangle -A OUTPUT -j TTL --ttl-set 128
iptables 포트 포워딩
# 커널변수에 IP포워딩 가능하도록 설정
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -p tcp -i eth0 --dport 80 -j DNAT --to 포워딩할IP:80
# 로컬 포트포워딩(80들어오는 요청을 8080으로 포워딩)
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -p tcp -d 서버ip --dport 80 -j REDIRECT --to-port 8080
출처 - http://www.ysy2080.com/uribury/?mid=linuxno1&listStyle=list&document_srl=675&sort_index=readed_count&order_type=desc
Linux/리눅스 Tip 2008/11/13 17:05간단한 iptables의 설정만으로 포트포워딩을 구현해본다.
- PC1
IP : 111.111.111.111 (공인IP)
- PC2
IP : 192.168.1.2 (사설IP)
외부에서 PC1의 웹서버로(80번 포트)로 접속하면 PC2의 웹서버(80번 포트)에 접속되게 해보자
/etc/sysctl.conf의 net.ipv4.ip_forward항목이 0으로 되어 있으면 1로 변경한다.
변경사항 적용
# sysctl -p /etc/sysctl.conf
변경사항 확인
# cat /proc/sys/net/ipv4/ip_forward
1
PC1과 PC2의 80번 포트를 열어준다.
PC1 iptables 설정 변경
iptables -t nat -A PREROUTING -p tcp -i eth0 -d 111.111.111.111 --dport 80 -j DNAT --to 192.168.1.2:80
iptables -A FORWARD -p tcp -i eth0 -d 192.168.1.2 --dport 80 -j ACCEPT
출처 - http://juncon.tistory.com/30
# web
-A PREROUTING -d 1.1.1.1/32 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080
-A PREROUTING -d 1.1.1.1/32 -p tcp -m tcp --dport 443 -j REDIRECT --to-ports 8443
# mail
-A PREROUTING -d 1.1.1.1/32 -p tcp -m tcp --dport 25 -j REDIRECT --to-ports 10025
-A PREROUTING -d 1.1.1.1/32 -p tcp -m tcp --dport 110 -j REDIRECT --to-ports 10110
