文章內(nèi)容

Linux iptables架設(shè)安全的vsftpd服務(wù)器

發(fā)布時(shí)間: 2012/8/7 17:54:31

　　在實(shí)際工作中，可用以下腳本架設(shè)一臺(tái)很安全的內(nèi)部FTP服務(wù)器；當(dāng)然也可以配合Wireshark理解vsftpd的被動(dòng)與主動(dòng)的區(qū)別，以本機(jī)192.168.0.18為例，腳本如下：
　　#!/bin/bash
　　iptables -F
　　iptables -X
　　iptables -Z
　　iptables -t nat -F
　　iptables -t nat -X
　　iptables -t nat -Z
　　#開(kāi)啟ip轉(zhuǎn)發(fā)功能
　　echo “1″ > /proc/sys/net/ipv4/ip_forward
　　#加載ftp需要的一些模塊功能
　　modprobe ip_conntrack_ftp
　　modprobe ip_conntrack-tftp
　　modprobe ip_nat_ftp
　　modprobe ip_nat_tftp
　　#為了更安全，將OUTPUT默認(rèn)策略定義為DROP
　　iptables -P INPUT DROP
　　iptables -P OUTPUT DROP
　　iptables -P FORWARD ACCEPT
　　#開(kāi)放本機(jī)的lo環(huán)回口，建議開(kāi)放，不開(kāi)放的會(huì)出現(xiàn)些莫名其妙的問(wèn)題
　　iptables -A INPUT -i lo -j ACCEPT
　　iptables -A OUTPUT -o lo -j ACCEPT
　　#下面的腳本是架設(shè)安全的vsftpd關(guān)健,后二句腳本是放行服務(wù)器向客戶端作回應(yīng)的和已建立連接的數(shù)據(jù)包,因被動(dòng)FTP比較復(fù)雜，六次握手，所以這里采用狀態(tài)來(lái)做
　　iptables -A INPUT -s 192.168.0.0/24 -p tcp –dport 21 -j ACCEPT
　　iptables -A OUTPUT -d 192.168.0.0/24 -p tcp –sport 21 -j ACCEPT
　　iptables -A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT
　　iptables -A OUTPUT -m state –state RELATED,ESTABLISHED -j ACCEPT