这篇文章给大家聊聊关于linux服务器防火墙，以及怎么关闭linux服务器防火墙对应的知识点，希望对各位有所帮助，不要忘了收藏本站哦。
一、linux无法ssh连接linux无法ssh
linux下没有ssh服务怎么办？
linux下一般是有ssh服务的，如果没有可以使用yuminstallssh进行在线安装。
Linux服务器可以用SSH连接上，可是pingIP为什么不通？
Linux服务器可以SSH连接，但是ping不通是因为防火墙策略禁止了icmp包，可以通过以下方式解除禁ping即可。
1、查看iptables策略，使用-D删除相应的icmp报文策略。.ipv4.icmp_echo_ignore_all=0//改为0即为关闭禁ping，1为开启禁ping
SSH连接linux服务器反复提示输密码？
ssh不能登录linux需要检查客户端和服务器端：
客服端：
ssh连接方式为：ip+端口号（默认为22）
服务器端：
1、先把sshd服务开启；
/etc/init.d/shhd?restrat2、把linux的防火墙关掉；
1)重启linux后生效：
cconfig?iptables?off2)即时生效，重启后失效：
service?iptables?stop3、客户端重新ssh登陆linux。
SSH服务器失败怎么办？
分享三个SSH服务器失败的修复办法：解决方法：
一、开启SSH以root用户登录Linux，打开终端，运行：/etc/init.d/sshdrestrat二、关闭防火墙1、在终端运行setup2、选择firewall回车3、按tab键切换到disablede项，然后按空格键选择，然后再按tab键切换到ok，按空格件选择4、按tab键切换到quit，按空格件选择然后用客户端ssh登录Linux，成功登录。
三、关闭防火墙的另一种方式补充一个，红旗linux的某些版本，不允许root用户远程登陆的，需要修改设置#vi/etc/ssh/sshd_config中PermitRootLoginno#这就不允许root用户远程登录，要修改成PermitRootLoginyes并重启sshd服务才行的。#servicesshdrestart重新登录OK。
在redhatlinux7.0中手动设置的ip为什么无法用ssh登录？
内网连接成功说明ssh服务没有问题，可能的问题是nat、路由或边界访问控制。请做如下测试：
1、在redhatlinux上开启tcpdump进行数据包抓取，具体如下：tcpdump-n"tcpport22"；
2、在外网对redhatnat后的外网ip进行ssh连接尝试，此时如果在redhat的tcpdump下有数据包出现，则说明你的nat没有问题。请确认在redhat上是否有正确设置网关。
3、在外网对redhatnat后的外网ip进行ssh连接尝试，此时如果在redhat的tcpdump下没有数据包出现，则说明你的nat有问题，或者在路由器上是否存在访问控制策略，请检查。
二、Linux服务器怎样设置防火墙
一、怎样在Linux系统中安装Iptables防火墙?
几乎所有Linux发行版都预装了Iptables。您可以使用以下命令更新或检索软件包：
sudo apt-get install iptables
二、关闭哪些防火墙端口?
防火墙安装的第一步是确定哪些端口在服务器中保持打开状态。这将根据您使用的服务器类型而有所不同。例如，如果您运行的是Web服务器，则可能需要打开以下端口：
网络：80和443
SSH：通常在端口22上运行
电子邮件：110(POP3)，143(IMAP)，993(IMAP SSL)，995(POP3 SSL)。
1、还原默认防火墙规则
为确保设置无误，我们需从一套新的规则开始，运行以下命令来清除防火墙中的规则：
iptables-F
2、屏蔽服务器攻击路由
我们可以运行下列标准命令来隔绝常见的攻击。
屏蔽syn-flood数据包：
iptables-A INPUT-p tcp!–syn-m state–state NEW-j DROP
屏蔽XMAS数据包：
iptables-A INPUT-p tcp–tcp-flags ALL ALL-j DROP
阻止无效数据包：
iptables-A INPUT-p tcp–tcp-flags ALL NONE-j DROP
3、打开所需端口
根据以上命令可屏蔽常见的攻击方式，我们需要打开所需端口。下列例子，供您参考：
允许SSH访问：
iptables-A INPUT-p tcp-m tcp-dport 22-j ACCEPT
打开LOCALHOST访问权限：
iptables-A INPUT-i lo-j ACCEPT
允许网络流量：
iptables-A INPUT-p tcp-m tcp-dport 80-j ACCEPT
iptables-A INPUT-p tcp-m tcp-dport 443-j ACCEPT
允许SMTP流量：
iptables-A INPUT-p tcp-m tcp-dport 25-j ACCEPT
iptables-A INPUT-p tcp-m tcp-dport 465-j ACCEPT
三、测试防火墙配置
运行下列命令保存配置并重新启动防火墙：
iptables-L-n
iptables-s*e/ sudo tee/ etc/ sysconfig/ iptables
service iptables restart
以上就是简单的iptables防火墙安装与配置过程。
三、linux配置防火墙详细步骤
通过本教程操作，请确认您能使用linux本机。如果您使用的是ssh远程，而又不能操作本机，那么建议您慎重，慎重，再慎重！
我们来配置一个filter表的防火墙.
(1)查看本机关于IPTABLES的设置情况
复制代码
代码如下:
[root@tp~]# iptables-L-n
Chain INPUT(policy ACCEPT)
target prot opt source destination/ppChain FORWARD(policy ACCEPT)
target prot opt source destination/ppChain OUTPUT(policy ACCEPT)
target prot opt source destination/ppChain RH-Firewall-1-INPUT(0 references)
target prot opt source destination
ACCEPT all-- 0.0.0.0/0 0.0.0.0/0
ACCEPT icmp-- 0.0.0.0/0 0.0.0.0/0 icmp type 255
ACCEPT esp-- 0.0.0.0/0 0.0.0.0/0
ACCEPTah--0.0.0.0/00.0.0.0/0
ACCEPTudp--0.0.0.0/0224.0.0.251udpdpt:5353
ACCEPTudp--0.0.0.0/00.0.0.0/0udpdpt:631
ACCEPTall--0.0.0.0/00.0.0.0/0stateRELATED,ESTABLISHED
ACCEPTtcp--0.0.0.0/00.0.0.0/0stateNEWtcpdpt:22
ACCEPTtcp--0.0.0.0/00.0.0.0/0stateNEWtcpdpt:80
ACCEPTtcp--0.0.0.0/00.0.0.0/0stateNEWtcpdpt:25
REJECTall--0.0.0.0/00.0.0.0/0reject-withicmp-host-prohibited
可以看出我在安装linux时,选择了有防火墙,并且开放了22,80,25端口.
如果你在安装linux时没有选择启动防火墙,是这样的
复制代码
代码如下:
[root@tp~]# iptables-L-n
Chain INPUT(policy ACCEPT)
target prot opt source destination/ppChain FORWARD(policy ACCEPT)
target prot opt source destination/ppChain OUTPUT(policy ACCEPT)
target prot opt source destination
什么规则都没有.
(2)清除原有规则.
不管你在安装linux时是否启动了防火墙,如果你想配置属于自己的防火墙,那就清除现在filter的所有规则.
复制代码
代码如下:
[root@tp~]# iptables-F清除预设表filter中的所有规则链的规则
[root@tp~]# iptables-X清除预设表filter中使用者自定链中的规则
我们在来看一下
复制代码
代码如下:
[root@tp~]# iptables-L-n
Chain INPUT(policy ACCEPT)
target prot opt source destination/ppChain FORWARD(policy ACCEPT)
target prot opt source destination/ppChain OUTPUT(policy ACCEPT)
target prot opt source destination
什么都没有了吧,和我们在安装linux时没有启动防火墙是一样的.(提前说一句,这些配置就像用命令配置IP一样,重起就会失去作用),怎么保存.
复制代码
代码如下:
[root@tp~]#/etc/rc.d/init.d/iptables s*e
这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用.
复制代码
代码如下:
[root@tp~]# service iptables restart
现在IPTABLES配置表里什么配置都没有了,那我们开始我们的配置吧
(3)设定预设规则
复制代码
代码如下:
[root@tp~]# iptables-P INPUT DROP
[root@tp~]# iptables-P OUTPUT ACCEPT
[root@tp~]# iptables-P FORWARD DROP
上面的意思是,当超出了IPTABLES里filter表里的两个链规则(INPUT,FORWARD)时,不在这两个规则里的数据包怎么处理呢,那就是DROP(放弃).应该说这样配置是很安全的.我们要控制流入数据包
而对于OUTPUT链,也就是流出的包我们不用做太多限制,而是采取ACCEPT,也就是说,不在着个规则里的包怎么办呢,那就是通过.
可以看出INPUT,FORWARD两个链采用的是允许什么包通过,而OUTPUT链采用的是不允许什么包通过.
这样设置还是挺合理的,当然你也可以三个链都DROP,但这样做我认为是没有必要的,而且要写的规则就会增加.但如果你只想要有限的几个规则是,如只做WEB服务器.还是推荐三个链都是DROP.
注:如果你是远程SSH登陆的话,当你输入第一个命令回车的时候就应该掉了.因为你没有设置任何规则.
怎么办,去本机操作呗!
(4)添加规则.
首先添加INPUT链,INPUT链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链
为了能采用远程SSH登陆,我们要开启22端口.
复制代码
代码如下:
[root@tp~]# iptables-A INPUT-p tcp--dport 22-j ACCEPT
[root@tp~]# iptables-A OUTPUT-p tcp--sport 22-j ACCEPT
(注:这个规则,如果你把OUTPUT设置成DROP的就要写上这一部,好多人都是望了写这一部规则导致,始终无法SSH.在远程一下,是不是好了.
其他的端口也一样,如果开启了web服务器,OUTPUT设置成DROP的话,同样也要添加一条链:
复制代码
代码如下:
[root@tp~]# iptables-A OUTPUT-p tcp--sport 80-j ACCEPT
,其他同理.
如果做了WEB服务器,开启80端口.
复制代码
代码如下:
[root@tp~]# iptables-A INPUT-p tcp--dport 80-j ACCEPT
如果做了邮件服务器,开启25,110端口.
复制代码
代码如下:
[root@tp~]# iptables-A INPUT-p tcp--dport 110-j ACCEPT
[root@tp~]# iptables-A INPUT-p tcp--dport 25-j ACCEPT
如果做了FTP服务器,开启21端口
复制代码
代码如下:
[root@tp~]# iptables-A INPUT-p tcp--dport 21-j ACCEPT
[root@tp~]# iptables-A INPUT-p tcp--dport 21-j ACCEPT
如果做了DNS服务器,开启53端口
复制代码
代码如下:
[root@tp~]# iptables-A INPUT-p tcp--dport 53-j ACCEPT
如果你还做了其他的服务器,需要开启哪个端口,照写就行了.
上面主要写的都是INPUT链,凡是不在上面的规则里的,都DROP
允许icmp包通过,也就是允许ping,
复制代码
代码如下:
[root@tp~]# iptables-A OUTPUT-p icmp-j ACCEPT(OUTPUT设置成DROP的话)
[root@tp~]# iptables-A INPUT-p icmp-j ACCEPT(INPUT设置成DROP的话)
允许loopback!(不然会导致DNS无法正常关闭等问题)
复制代码
代码如下:
IPTABLES-A INPUT-i lo-p all-j ACCEPT(如果是INPUT DROP)
IPTABLES-A OUTPUT-o lo-p all-j ACCEPT(如果是OUTPUT DROP)
下面写OUTPUT链,OUTPUT链默认规则是ACCEPT,所以我们就写需要DROP(放弃)的链.
减少不安全的端口连接
复制代码
代码如下:
[root@tp~]# iptables-A OUTPUT-p tcp--sport 31337-j DROP
[root@tp~]# iptables-A OUTPUT-p tcp--dport 31337-j DROP
有些些特洛伊木*扫描端口31337到31340(即*语言中的 elite端口)上的服务。既然合法服务都不使用这些非标准端口来通信,阻塞这些端口能够有效地减少你的网络上可能被感染的机器和它们的远程主服务器进行独立通信的机会
还有其他端口也一样,像:31335、27444、27665、20034 NetBus、9704、137-139（smb）,2049(NFS)端口也应被禁止,我在这写的也不全,有兴趣的朋友应该去查一下相关资料.
当然出入更安全的考虑你也可以包OUTPUT链设置成DROP,那你添加的规则就多一些,就像上边添加
允许SSH登陆一样.照着写就行了.
下面写一下更加细致的规则,就是限制到某台机器
如:我们只允许192.168.0.3的机器进行SSH连接
复制代码
代码如下:
[root@tp~]# iptables-A INPUT-s 192.168.0.3-p tcp--dport 22-j ACCEPT
如果要允许,或限制一段IP可用 192.168.0.0/24表示192.168.0.1-255端的所有IP.
24表示子网掩码数.但要记得把/etc/sysconfig/iptables里的这一行删了.
-A INPUT-p tcp-m tcp--dport 22-j ACCEPT因为它表示所有都可以登陆.
或采用命令方式:
复制代码
代码如下:
[root@tp~]# iptables-D INPUT-p tcp--dport 22-j ACCEPT
然后保存,我再说一边,反是采用命令的方式,只在当时生效,如果想要重起后也起作用,那就要保存.写入到/etc/sysconfig/iptables文件里.
复制代码
代码如下:
[root@tp~]#/etc/rc.d/init.d/iptables s*e
这样写!192.168.0.3表示除了192.168.0.3的ip
其他的规则连接也一样这么设置.
在下面就是FORWARD链,FORWARD链的默认规则是DROP,所以我们就写需要ACCETP(通过)的链,对正在转发链的监控.
开启转发功能,(在做NAT时,FORWARD默认规则是DROP时,必须做)
复制代码
代码如下:
[root@tp~]# iptables-A FORWARD-i eth0-o eth1-m state--state RELATED,ESTABLISHED-j ACCEPT
[root@tp~]# iptables-A FORWARD-i eth1-o eh0-j ACCEPT
丢弃坏的TCP包
复制代码
代码如下:
[root@tp~]#iptables-A FORWARD-p TCP!--syn-m state--state NEW-j DROP
处理IP碎片数量,防止攻击,允许每秒100个
复制代码
代码如下:
[root@tp~]#iptables-A FORWARD-f-m limit--limit 100/s--limit-burst 100-j ACCEPT
设置ICMP包过滤,允许每秒1个包,限制触发条件是10个包.
复制代码
代码如下:
[root@tp~]#iptables-A FORWARD-p icmp-m limit--limit 1/s--limit-burst 10-j ACCEPT
我在前面只所以允许ICMP包通过,就是因为我在这里有限制.
二,配置一个NAT表放火墙
1,查看本机关于NAT的设置情况
复制代码
代码如下:
[root@tp rc.d]# iptables-t nat-L
Chain PREROUTING(policy ACCEPT)
target prot opt source destination
Chain POSTROUTING(policy ACCEPT)
target prot opt source destination
SNAT all-- 192.168.0.0/24 anywhere to:211.101.46.235
Chain OUTPUT(policy ACCEPT)
target prot opt source destination
我的NAT已经配置好了的(只是提供最简单的代理上网功能,还没有添加防火墙规则).关于怎么配置NAT,参考我的另一篇文章
当然你如果还没有配置NAT的话,你也不用清除规则,因为NAT在默认情况下是什么都没有的
如果你想清除,命令是
复制代码
代码如下:
[root@tp~]# iptables-F-t nat
[root@tp~]# iptables-X-t nat
[root@tp~]# iptables-Z-t nat
2,添加规则
添加基本的NAT转换,(关于如何配置NAT可以看我的另一篇文章),
添加规则,我们只添加DROP链.因为默认链全是ACCEPT.
防止外网用内网IP*
复制代码
代码如下:
[root@tp sysconfig]# iptables-t nat-A PREROUTING-i eth0-s 10.0.0.0/8-j DROP
[root@tp sysconfig]# iptables-t nat-A PREROUTING-i eth0-s 172.16.0.0/12-j DROP
[root@tp sysconfig]# iptables-t nat-A PREROUTING-i eth0-s 192.168.0.0/16-j DROP
如果我们想,比如阻止MSN,QQ,BT等的话,需要找到它们所用的端口或者IP,(个人认为没有太大必要)
例：
禁止与211.101.46.253的所有连接
复制代码
代码如下:
[root@tp~]# iptables-t nat-A PREROUTING-d 211.101.46.253-j DROP
禁用FTP(21)端口
复制代码
代码如下:
[root@tp~]# iptables-t nat-A PREROUTING-p tcp--dport 21-j DROP
这样写范围太大了,我们可以更精确的定义.
复制代码
代码如下:
[root@tp~]# iptables-t nat-A PREROUTING-p tcp--dport 21-d 211.101.46.253-j DROP
这样只禁用211.101.46.253的FTP连接,其他连接还可以.如web(80端口)连接.
按照我写的,你只要找到QQ,MSN等其他软件的IP,和端口,以及基于什么协议,只要照着写就行了.
最后：
drop非法连接
复制代码
代码如下:
[root@tp~]# iptables-A INPUT-m state--state INVALID-j DROP
[root@tp~]# iptables-A OUTPUT-m state--state INVALID-j DROP
[root@tp~]# iptables-A FORWARD-m state--state INVALID-j DROP
允许所有已经建立的和相关的连接
复制代码
代码如下:
[root@tp~]# iptables-A INPUT-m state--state ESTABLISHED,RELATED-j ACCEPT
[root@tp~]# iptables-A OUTPUT-m state--state ESTABLISHED,RELATED-j ACCEPT
[root@tp~]#/etc/rc.d/init.d/iptables s*e
这样就可以写到/etc/sysconfig/iptables文件里了.写入后记得把防火墙重起一下,才能起作用．
复制代码
代码如下:
[root@tp~]# service iptables restart
别忘了保存，不行就写一部保存一次．你可以一边保存，一边做实验，看看是否达到你的要求，
上面的所有规则我都试过，没有问题
四、怎么关闭linux服务器防火墙
Linux中的防火墙有多种，一般指的iptables。
1. Linux防火墙(Iptables)重启系统生效
1
2
开启： cconfig iptables on
关闭： cconfig iptables off
2.Linux防火墙(Iptables)即时生效，重启后失效
1
2
开启： service iptables start
关闭： service iptables stop
3.其它linux防火墙，请自行参考说明文档。一般对于Linux下的服务都可以用以上命令执行开启和关闭操作，而防火墙通常都以服务形式运行，因此也算是一个通用的方法。