向 iptables 寻求帮助

Question

您发布的所有项目都是因为在某个时候您激活了 ufw（iptables 的前端）并制作了所有这些自定义表。

-F 选项会删除部分规则，但不会删除所有表中的所有规则，也不会删除您看到的空链。

您需要一些额外的选择：

从https://serverfault.com/questions/200635/linux-iptables-best-way-to-clear-all-rules-leaving-anything-open重置 iptables 的完整命令集是：

iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X

-P 选项重置表的默认策略。
-t nat -F 刷新nat表。
-t mangle -F 刷新 mangle，该选项几乎从未使用过。
-X 删除空链。

有关更多详细信息，请参阅 IPv6 链接和 man iptables。

“问题”是 -F 选项，没有指定链，不会刷新所有链，在您的情况下，您有几个由 UFW 创建的剩余链。

要删除这些链，您需要先刷新它们（除非它们是空的，否则 -X 不会删除它们）

因此，对于每个链，您首先必须删除对该链的所有引用，刷新该链，然后删除它

从“ufw-before-logging-forward”开始

sudo iptables -D FORWARD -j ufw-before-logging-forward
sudo iptables -F ufw-before-logging-forward
sudo iptables -X ufw-before-logging-forward

并继续执行 ufw 添加的所有自定义链。

当然，由于您使用的是 ufw，因此有一种更简单的方法：

sudo ufw disable

一些一般性评论

我建议你保留默认策略 ACCEPT，而不是 REJECT 或 DROP。如果你将默认策略设置为 REJECT/DROP，那么如果你运行iptables -F
如果您手动编写 iptables 规则，请不要使用 ufw 或其他工具来更改您的规则。
我强烈建议使用 REJECT 而不是 DROP。简而言之，DROP 对合法流量的干扰更大，尽管听起来不错，但 DROP 不会减慢或欺骗任何现代破解工具。由于您的系统对数据包做出反应，破解者会知道您在您的 IP 地址上正常运行，而 DROP 不会隐藏任何东西。

看http://www.chiark.greenend.org.uk/~peterb/network/drop-vs-reject了解详情。

使用 iptables-persistent

最佳答案如何保存iptables的规则？回顾基本用法，包括保存和恢复规则集。有关更多详细信息，请参阅手册页。

为了帮助编写规则，我需要更多详细信息，您要限制哪个端口和哪些流量以及如何限制。限制 ping 是不同的。限制 Web 服务器与限制 ssh 连接不同。允许大多数但限制少数可能是使用黑名单。限制所有并允许少数是使用白名单，等等。

例子：

网络流量-如果网络服务器非常繁忙，我可能会使用以下通用语法：

iptables -I INPUT -p tcp -m state --state NEW -m limit --limit 30/minute --limit-burst 5 -j ACCEPT

您当然可以将该选项添加--dport 80到上面的命令中。

这限制了每分钟 30 个连接，这对于 Apache 来说非常慢。如果 Web 服务器不是那么繁忙，您可以放宽到每分钟数千个连接。

SSH - 这些规则非常适合阻止暴力破解

# This rule tracks incoming connections to port 22
iptables -A INPUT -p tcp -m tcp --dport 22 -m tcp -m state --state NEW -m recent --set --name SSH --rsource

# This command rejects any attempt to connect to ssh more than
# 8 times in 10 minutes
# After 10 minutes you can attempt again so not permanent ban
iptables -A INPUT -p tcp -m tcp --dport 22 -m recent --update --seconds 600 --hitcount 8 --rttl --name SSH --rsource -j REJECT --reject-with icmp-host-prohibited

# Finally this will accept the connections 
iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

如果您需要更具体的帮助，请更新您的问题=)

Answer 1