本文假設你已經對iptables有基本的了解，否則請先閱讀iptables入門。
在我們的Web服務器上，系統的默認策略是INPUT為DROP，OUTPUT；FORWARD鏈為ACCEPT，DROP則設置得比較寬松，因為我們知道出去的數據包比較安全。
準備工作
為了驗證腳本的通用性，我特地查看了服務器的內核及iptables版本：
# uname -a
Linux ud50041 2.6.9-34.ELsmp #1 SMP Fri Feb 24 16:54:53 EST 2006 i686 i686 i386 GNU/Linux
# iptables -V
iptables v1.2.11
# lsb_release -a
LSB Version: :core-3.0-ia32:core-3.0-noarch:graphics-3.0-ia32:graphics-3.0-noarch
Distributor ID: RedHatEnterpriseAS
Description: Red Hat Enterprise Linux AS release 4 (Nahant Update 3)
Release: 4
Codename: NahantUpdate3 |
大家可以發現，這臺服務器的系統、內核和iptables版本是比較老的。本文中介紹的腳本涉及到recent安全模塊，這對系統內核有要求（recent模塊在主機防護腳本中也經常用到）。因此，如果大家要采用iptables作為主機防火墻時，建議用CentOS 5.6 x86_64或更高級版本，不然系統會有如下提示錯誤信息：
iptables: Unknown error 18446744073709551615
iptables:Invalid argument |
在tail -f /var/log/messages時會有如下出錯提示：
ip_tables: connlimit match: invalid size 32 != 16
ip_tables: connlimit match: invalid size 32 != 24 |
另外，在生產環境下進行iptables腳本的調試之前，強烈建議編寫crontab任務，每5分鐘關閉一次iptables腳本，防止操作失誤而將自己的SSH客戶端鎖在外面：
| */5 * * * * root /etc/init.d/iptables stop |
準備工作就是這些，下面是iptables腳本內容。
腳本內容
#!/bin/bash
iptables -F
iptables -F -t nat
iptables -X
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
#load connection-tracking modules
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
iptables -A INPUT -f -m limit --limit 100/sec --limit-burst 100 -j ACCEPT
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 10 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -m limit --limit 20/sec --limit-burst 200 -j ACCEPT
iptables -A INPUT -s 122.70.x.x -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dport 80,22 -j ACCEPT |
保存腳本文件后用
執行腳本。運行腳本之后最好檢查一下：
腳本說明
由于此Web服務器是置于負載均衡器后面，所以我們要允許數據源地址為負載均衡器的數據包通過：
| iptables -A INPUT -s 122.70.x.x -j ACCEPT |
如果配置了Nagios等監控系統的話在這里也要加上，如果監控和LB都沒做的話，這行可以不用。
另外，我的許多基于LNMP的小網站上面也部署了此腳本，由于Web服務和MySQL數據庫同時安裝在一臺機器上，所以沒有開放3306端口。
在本腳本中，我們配置了一些安全措施，以防止外部的ping和SYN洪水攻擊，并且考慮到外部的瘋狂端口掃描軟件可能會影響服務器的入口帶寬，所以在這里也做了限制：
| iptables -A INPUT -p tcp --syn -m limit --limit 100/s --limit-burst 100 -j ACCEPT |
上面的命令每秒鐘最多允許100個新連接。請注意這里的新連接指的是state為New的數據包，在后面我們也配置了允許狀態為ESTABLISHED和RELATED的數據通過；另外，100這個閥值則要根據服務器的實際情況來調整，如果是并發量不大的服務器這個數值就要調小，如果是訪問量非常大且并發數不小的服務器，這個值則還需要調大。
| iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s –limit-burst 10 -j ACCEPT |
這是為了防止ping洪水攻擊，限制每秒的ping包不超過10個。
| iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -m limit --limit 20/sec --limit-burst 200 -j ACCEPT |
上面的命令防止各種端口掃描，將SYN及ACK SYN限制為每秒鐘不超過200個，免得把數務器帶寬耗盡了。
后續加固工作
iptables防火墻運行后，運行nmap工具進行掃描：
# nmap -P0 -sS 211.143.6.x
Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2009-03-29 16:21 CST
Interesting ports on 211.143.6.X:
Not shown: 1668 closed ports
PORT STATE SERVICE
22/tcp open ssh
25/tcp open smtp
80/tcp open http
110/tcp open pop3
111/tcp open rpcbind
143/tcp open imap
443/tcp open https
465/tcp open smtps
587/tcp open submission
993/tcp open imaps
995/tcp open pop3s
1014/tcp open unknown |
在這里，我們發現一個1014端被某個進程打開了，用lsof -i:1014查看發現是rpc.statd打開的，這服務每次用的端口都不一樣啊！本來想置之不理的，但是如果rpc.statd不能正確處理SIGPID信號，遠程攻擊者可利用這個漏洞關閉進程，進行拒絕服務攻擊，所以還是得想辦法解決掉。我們發現rpc.statd是由服務nfslock開啟的，進一步查詢得知它是一個可選的進程，它允許NFS客戶端在服務器上對文件加鎖。這個進程對應于nfslock服務，于是我們關掉了此服務：
service nfslock stop
chkconfig nfslock off |
最后想說的是，如果沒有硬件防火墻保護的話，請盡量在每一臺有公網IP的機器上部署iptables防火墻吧！