动态iptables 防火墙

　2007-03-04 12:42:32　来源：WEB开发网　闂傚倸鍊搁崐椋庢濮橆兗缂氱憸宥堢亱闂佸湱铏庨崰鏍不椤栫偞鐓ラ柣鏇炲€圭€氾拷

闂傚倸鍊搁崐椋庣矆娓氣偓楠炲鏁撻悩鎻掔€梺姹囧灩閻忔艾鐣烽弻銉︾厵闁规鍠栭。濂告煕鎼达紕校闁靛洤瀚伴獮鎺楀箣濠靛啫浜鹃柣銏⑶圭壕濠氭煙閻愵剚鐏辨俊鎻掔墛缁绘盯宕卞Δ鍐冣剝绻涘畝濠佺敖缂佽鲸鎹囧畷鎺戭潩閹典焦鐎搁梻浣烘嚀閸ゆ牠骞忛敓锟�

婵犵數濮烽弫鍛婃叏椤撱垹绠柛鎰靛枛瀹告繃銇勯幘瀵哥畼闁硅娲熷缁樼瑹閳ь剙岣胯鐓ら柕鍫濇偪濞差亜惟闁宠桨鑳堕崝锕€顪冮妶鍡楃瑐闁煎啿鐖奸崺濠囧即閵忥紕鍘梺鎼炲劗閺呮稒绂掕缁辨帗娼忛埡浣锋闂佽桨鐒﹂幑鍥极閹剧粯鏅搁柨鐕傛嫹闂傚倸鍊搁崐椋庢濮橆兗缂氱憸宥堢亱闂佸湱铏庨崰鏍不椤栫偞鐓ラ柣鏇炲€圭€氾拷　　闂傚倸鍊搁崐鐑芥嚄閼哥數浠氱紓鍌欒兌缁垶銆冮崨鏉戠厺鐎广儱顦崡鎶芥煏韫囨洖校闁诲寒鍓熷铏圭磼濡搫顫嶅銈嗗姉閸樠囧煡婢跺á鐔兼煥鐎ｎ兘鍋撴繝姘拺鐟滅増甯掓禍浼存煕閹惧鈽夐柍缁樻煥椤繈鎳滅喊妯诲闂備礁鎲＄粙鎴︺偑閺夋垟鏋旈柡鍐ｅ亾缂佺粯绋撴禒锕傚磼濮橆剦鐎抽梻浣哥－缁垶骞戦崶顒傚祦閻庯綆浜栭弨浠嬫煙闁箑澧い鏂垮€规穱濠囨倷椤忓嫧鍋撻弽褜娼栧┑鐘宠壘閸屻劎鎲歌箛娑樼疅闁圭虎鍠楅弲鎼佹煥閻曞倹瀚�

核心提示： #tcplimit 873 5 minute onPort 873 new connection limit (5/minute, burst=5) on.tcplimit 使用新的 iptables "state" 模块（确保已经在内核中启用了这个模块或已经装入了这个

#
　　　　
　　　　tcplimit 873 5 minute on
Port 873 new connection limit (5/minute, burst=5) on.

tcplimit 使用新的 iptables "state" 模块（确保已经在内核中启用了这个模块或已经装入了这个模块），以在某个特定时间周期内只允许一定数量的新进入连接。在本示例中，防火墙只允许每分钟有 5 个新连接到 rsync 服务器（端口 873） -- 如有必要，可以指定您希望每秒／分钟／小时或每天有多少连接。

tcplimit 为限制非基本服务提供了一个好方法 -- 因此对非基本服务的大量通信量不会中断网络或服务器。在我遇到的情况中，我使用 tcplimit 来设置使用 rsync 的最大上限，以防止太多 rsync 连接占据我的 DSL 线路。限制了连接的服务都记录在 /root/.dynfw-tcplimit 中，如果我要关闭新连接限制，只要输入：

#
　　　　
　　　　tcplimit 873 5 minute off
Port 873 new connection limit off.

tcplimit 运行时会在 "filter" 表中创建一个全新的链。这个新的链将拒绝所有超出指定限度的信息包。然后，一个规则将插入 INPUT 链，该 INPUT 链将要发送到目标端口（本例中是 873）的所有进入 NEW 连接信息包重定向到这个特定链，这样便有效地限制了新的进入连接，但又不会影响所建立连接中的信息包。

关闭 tcplimit 时，INPUT 规则和该特定链将被删除。这是件奇妙的事，它真正体现了让经过精心测试的、可靠的脚本来为您管理防火墙规则的重要性。由于使用了 ipblock，tcplimit 脚本将与任何类型的防火墙，甚至没有防火墙的系统兼容，只要您在内核中启用了正确的 iptables 功能。