我用哪个防火墙脚本比较好呢(有2个,大家帮我选选)

hgkrt

有2个防火墙脚本...一个是一直用的,一个是最近找到的...

大家看看,我用那一个比较好呢??

以前一直用的脚本::

1. #!/bin/sh
   
2. #
   
3. # firewall starting firewall
   
4. #
   
5. # chkconfig: 2345 98 01
   
6. # description: setting firewall
   
7. ##########################################################################
   
8. # 设定参数
   
9. ##########################################################################
   
10. INNER_NET=192.168.0.0/24 # LAN 局域网 自由设定
    
11. FWALL_IP=192.168.0.1 # 防火墙的IP 你的机器的真实IP
    
12. INNER_PORT=eth1 # 局域网端IP
    
13. OUTER_PORT=ppp0 # Wan端IP
    
14. IPTABLES="/sbin/iptables" # iptables 命令
    
15. MODPROBE="/sbin/modprobe" # modprobe 命令
    
16. ##########################################################################
    
17. # 模块的加载和设定为内核工作
    
18. ##########################################################################
    
19. $MODPROBE ip_tables
    
20. $MODPROBE iptable_filter
    
21. $MODPROBE ip_conntrack
    
22. $MODPROBE iptable_nat
    
23. $MODPROBE ip_nat_ftp
    
24. $MODPROBE ip_conntrack_ftp
    
25. $MODPROBE ipt_state
    
26. $MODPROBE ipt_MASQUERADE
    
27. $MODPROBE ipt_LOG
    
28. $MODPROBE ipt_REJECT
    
29. $MODPROBE ipt_limit
    
30. # 允许IP masquerade(变换)
    
31. echo 1 > /proc/sys/net/ipv4/ip_forward
    
32. # 忽视ping的broadcast
    
33. echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
    
34. # 检查源IP
    
35. for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f; done
    
36. # 记录不可能的(虚假)IP
    
37. for f in /proc/sys/net/ipv4/conf/*/log_martians; do echo "1" > $f; done
    
38. # 忽视ICMP redirect message
    
39. for f in /proc/sys/net/ipv4/conf/*/accept_redirects; do echo 1 > $f; done
    
40. ##########################################################################
    
41. # 初始化规则
    
42. ##########################################################################
    
43. $IPTABLES -P INPUT DROP # 清空INPUT原始定义
    
44. $IPTABLES -P OUTPUT DROP # 清空OUPUT原始定义
    
45. $IPTABLES -P FORWARD DROP # 清空FORWARD原始定义
    
46. $IPTABLES -F # flash chain
    
47. $IPTABLES -F -t nat
    
48. $IPTABLES -X # 删除用户定义的Chain
    
49. ##########################################################################
    
50. # 用户定义的chain
    
51. ##########################################################################
    
52. #
    
53. # 记录并丢弃非法的包
    
54. #
    
55. $IPTABLES -N DROPPACKET # DROPPACKT chain的生成
    
56. $IPTABLES -A DROPPACKET -j LOG --log-prefix "INVALID_PACKET: " \
    
57. --log-level=3 -m limit --limit 1/s --limit-burst 10
    
58. $IPTABLES -A DROPPACKET -j DROP
    
59. #
    
60. # 检查SYNFlood攻击的chain
    
61. #
    
62. $IPTABLES -N SYNFLOOD # SYNFLOOD chain的生成
    
63. # 没有超过限定值的话返回
    
64. $IPTABLES -A SYNFLOOD -m limit --limit 10/s --limit-burst 20 -j RETURN
    
65. # 超过限定值,就视为SYNFLOOD攻击,记录并丢弃
    
66. $IPTABLES -A SYNFLOOD -m limit --limit 1/s --limit-burst 10 -j LOG \
    
67. --log-level=1 --log-prefix "SYNFLOOD: "
    
68. $IPTABLES -A SYNFLOOD -j DROP
    
69. #
    
70. # 记录非法的Flag TCP,并丢弃
    
71. #
    
72. $IPTABLES -N DROPFLAGS # DROPFLAGS chain的生成
    
73. $IPTABLES -A DROPFLAGS -j LOG --log-prefix "INVALID_FLAGS: " \
    
74. --log-level=3 -m limit --limit 1/s --limit-burst 10
    
75. $IPTABLES -A DROPFLAGS -j DROP
    
76. #
    
77. # 检查TCP Flag的非法组合
    
78. #
    
79. $IPTABLES -N CHKFLAGS
    
80. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags ACK,FIN FIN -j DROPFLAGS
    
81. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags ACK,PSH PSH -j DROPFLAGS
    
82. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags ACK,URG URG -j DROPFLAGS
    
83. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags FIN,RST FIN,RST -j DROPFLAGS
    
84. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROPFLAGS
    
85. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags SYN,RST SYN,RST -j DROPFLAGS
    
86. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags ALL ALL -j DROPFLAGS
    
87. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags ALL NONE -j DROPFLAGS
    
88. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags ALL FIN,PSH,URG -j DROPFLAGS
    
89. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags ALL SYN,FIN,PSH,URG -j DROPFLAGS
    
90. $IPTABLES -A CHKFLAGS -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROPFLAGS
    
91. #
    
92. # 拒绝 Microsoft 网络相关的FORWARD
    
93. #
    
94. $IPTABLES -N CHKMSNET
    
95. $IPTABLES -A CHKMSNET -p tcp --dport 42 -j DROP # wins dup
    
96. $IPTABLES -A CHKMSNET -p tcp --dport 135 -j DROP # MS-RPC
    
97. $IPTABLES -A CHKMSNET -p udp --dport 135 -j DROP # MS-RPC
    
98. $IPTABLES -A CHKMSNET -p udp --dport 137:138 -j DROP # MS browse
    
99. $IPTABLES -A CHKMSNET -p udp --dport 137:138 -j DROP # MS browse
    
100. $IPTABLES -A CHKMSNET -p tcp --dport 139 -j DROP # SMB
     
101. $IPTABLES -A CHKMSNET -p tcp --dport 445 -j DROP # DHSMB
     
102. 
     
103. ##########################################################################
     
104. # INPUT Chain
     
105. ##########################################################################
     
106. # Localhost的话,全部许可
     
107. $IPTABLES -A INPUT -i lo -j ACCEPT
     
108. # 检查包的正确性
     
109. $IPTABLES -A INPUT -m state --state INVALID -j DROPPACKET
     
110. # 检查包是否是SYN攻击
     
111. $IPTABLES -A INPUT -p tcp --syn -j SYNFLOOD
     
112. # TCP FLAG的检查
     
113. $IPTABLES -A INPUT -p tcp -j CHKFLAGS
     
114. # 许可LAN内的连接
     
115. $IPTABLES -A INPUT -i $INNER_PORT -s $INNER_NET -j ACCEPT
     
116. # 许可已经建立的连接
     
117. $IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
     
118. # 检查是否是IP伪装
     
119. $IPTABLES -A INPUT -i $OUTER_PORT -s $INNER_NET -j DROP
     
120. #
     
121. # 许可的服务(对外部公开的服务,在下面记述)
     
122. #
     
123. $IPTABLES -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT # SSH
     
124. $IPTABLES -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT # HTTP
     
125. $IPTABLES -A INPUT -p tcp --dport 443 -m state --state NEW -j ACCEPT # HTTPS
     
126. $IPTABLES -A INPUT -p tcp --dport 53 -m state --state NEW -j ACCEPT # DOMAIN(DNS)
     
127. $IPTABLES -A INPUT -p udp --dport 53 -m state --state NEW -j ACCEPT # DOMAIN(DNS)
     
128. $IPTABLES -A  INPUT -m state --state NEW -m tcp -p tcp --dport 20000:30000 -j ACCEPT # PASV_PORTS
     
129. $IPTABLES -A INPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT     # FTP
     
130. 
     
131. # 拒绝AUTH请求
     
132. $IPTABLES -A INPUT -p tcp --dport 113 -j REJECT --reject-with tcp-reset
     
133. # icmp(IN)
     
134. $IPTABLES -A INPUT -p icmp --icmp-type echo-request -s $INNER_NET -j ACCEPT
     
135. $IPTABLES -A INPUT -p icmp --icmp-type echo-reply -s $INNER_NET -j ACCEPT
     
136. $IPTABLES -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
     
137. $IPTABLES -A INPUT -p icmp --icmp-type source-quench -j ACCEPT
     
138. $IPTABLES -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT
     
139. $IPTABLES -A INPUT -p icmp --icmp-type parameter-problem -j ACCEPT
     
140. # 除了上面以外所有的包,都记录下来,并通过Default Policy丢弃
     
141. $IPTABLES -A INPUT -j LOG --log-prefix "UNDEFIND_INPUT: " \
     
142. --log-level=3 -m limit --limit 1/s --limit-burst 10
     
143. 
     
144. ##########################################################################
     
145. # OUTPUT Chain
     
146. ##########################################################################
     
147. # 许可由localhost出来的包
     
148. $IPTABLES -A OUTPUT -o lo -j ACCEPT
     
149. # TCP FLAG的检查
     
150. $IPTABLES -A OUTPUT -p tcp -j CHKFLAGS
     
151. # 许可从服务器到Lan的连接
     
152. $IPTABLES -A OUTPUT -o $INNER_PORT -s $FWALL_IP -j ACCEPT
     
153. # 检查Microsoft网络
     
154. $IPTABLES -A OUTPUT -j CHKMSNET
     
155. # 许可已经连接的包
     
156. $IPTABLES -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
     
157. # 许可由服务器到互联网的新加连接
     
158. $IPTABLES -A OUTPUT -m state --state NEW -j ACCEPT
     
159. # icmp(OUT)
     
160. $IPTABLES -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
     
161. $IPTABLES -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
     
162. $IPTABLES -A OUTPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
     
163. $IPTABLES -A OUTPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
     
164. $IPTABLES -A OUTPUT -p icmp --icmp-type source-quench -j ACCEPT
     
165. $IPTABLES -A OUTPUT -p icmp --icmp-type parameter-problem -j ACCEPT
     
166. # 除了上面以外所有的包,都记录下来,并通过Default Policy丢弃
     
167. $IPTABLES -A OUTPUT -j LOG --log-prefix "UNDEFIND_ICMP: " --log-level=3 \
     
168. -m limit --limit 1/s --limit-burst 10
     
169. 
     
170. ##########################################################################
     
171. # IP变换
     
172. ##########################################################################
     
173. # 检查Microsoft网络
     
174. $IPTABLES -A FORWARD -j CHKMSNET
     
175. # 许可Lan内机器的IP变换
     
176. $IPTABLES -t nat -A POSTROUTING -o $OUTER_PORT -s $INNER_NET -j MASQUERADE
     
177. # 从外部到Lan的连接,许可已经连接的FROWARD
     
178. $IPTABLES -A FORWARD -i $OUTER_PORT -o $INNER_PORT -d $INNER_NET -m state \
     
179. --state ESTABLISHED,RELATED -j ACCEPT
     
180. # 许可LAN到外部的连接
     
181. $IPTABLES -A FORWARD -i $INNER_PORT -o $OUTER_PORT -s $INNER_NET -m state \
     
182. --state NEW,ESTABLISHED,RELATED -j ACCEPT
     
183. exit 0
     

复制代码

最近找的脚本(台湾鸟哥的脚本)

1. 
   
2. #!/bin/bash
   
3. #
   
4. # ========================================================
   
5. # 脚本说明:
   
6. # 欢迎使用iptables.rule这个script来建立您的防火墙
   
7. # 这个script还需要您自己根据您的环境设定后,方可工作
   
8. # 基本规则定义为::[拒绝所有,开放特定]
   
9. #
   
10. # 强烈建议
    
11. # 不了解Linux防火墙机制iptables的朋友使用这个script
    
12. # 可能会不太了解每个命令的意义,如果这样
    
13. # 欢迎您参考以下几个网页:
    
14. # http://www.study-area.org/linux/servers/linux_nat.htm
    
15. # http://linux.vbird.org/linux_server/0240network-secure-1.php
    
16. # http://linux.vbird.org/linux_server/0250simple_firewall.php
    
17. #
    
18. # 使用说明
    
19. # 请先将这个脚本权限更改为可执行:
    
20. #        chmod 755 iptables.rule
    
21. # 将此脚本放置在 /usr/local/virus/iptables 下
    
22. #        mkdir -p /usr/local/virus/iptables
    
23. #        mv /您的完整的路径/iptables.rule /usr/local/virus/iptables
    
24. # 执行测试:
    
25. #        /usr/local/virus/iptables/iptables.rule
    
26. #        iptables -L -n   (这个动作检查防火墙规则)
    
27. # 将下面一行加入 /etc/rc.d/rc.local 中
    
28. #        /usr/local/virus/iptables/iptables.rule
    
29. # 取消防火墙
    
30. #        iptables -F
    
31. #        iptables -X
    
32. #        iptables -t nat -F
    
33. #        iptables -t nat -X
    
34. #
    
35. # ========================================================
    
36. # 版权提示:
    
37. # 此脚本为 GPL 授权,任何人都可以使用
    
38. # 使用此 scripts 发生任何问题时
    
39. # 本人不负任何责任
    
40. # VBird <vbird@tsai.adsldns.org>
    
41. # ========================================================
    
42. # 历史纪录:
    
43. # 2002/08/20        VBird        首次
    
44. # 2003/04/26        VBird        加入砍站软体的相关执行文件
    
45. # 2003/08/25        VBird        修改 INPUT 的 Policy 为 DROP
    
46. # ========================================================
    
47. 
    
48. # 0.0 Please key in your parameters
    
49. # 这个EXTIF后面接的为[对外的网卡"WAN"]
    
50. # 一般来说,如果是ADSL/FTTH等,就是"ppp0"
    
51. # 如果是固定IP,那么就是"eth0"
    
52. # The interface that connect Internet
    
53.   EXTIF="ppp0"
    
54. 
    
55. # 下面的INIF为对内网卡(Lan)
    
56. # 如果您的Linux没有对内网卡,请留空
    
57. # INIF=""
    
58. #
    
59. # the inside interface. if you don't have this one
    
60. # and you must let this be black ex> INIF=""
    
61.   INIF="eth1"
    
62.   INNET="192.168.1.0/24"        # This is for NAT's network
    
63. 
    
64. # 1.0 测试您的Linux内核版本及防火墙模组
    
65.   kver=`uname -r | cut -c 1-3`
    
66.   if [ "$kver" != "2.4" ] && [ "$kver" != "2.5" ]; then
    
67.         echo "Your Linux Kernel Version may not be suported by this script!"
    
68.         echo "This scripts will not be runing"
    
69.         exit
    
70.   fi
    
71.   ipchains=`lsmod | grep ipchains`
    
72.   if [ "$ipchains" != "" ]; then
    
73.         echo "unload ipchains in your system"
    
74.         rmmod ipchains 2> /dev/null
    
75.   fi
    
76. 
    
77. # 2.0 载入模组
    
78.   PATH=/sbin:/bin:/usr/sbin:/usr/bin
    
79.   export PATH EXTIF INIF INNET
    
80.   modprobe ip_tables                > /dev/null 2>&1
    
81.   modprobe iptable_nat                > /dev/null 2>&1
    
82.   modprobe ip_nat_ftp                > /dev/null 2>&1
    
83.   modprobe ip_nat_irc                > /dev/null 2>&1
    
84.   modprobe ip_conntrack                > /dev/null 2>&1
    
85.   modprobe ip_conntrack_ftp        > /dev/null 2>&1
    
86.   modprobe ip_conntrack_irc        > /dev/null 2>&1
    
87. 
    
88. # 3.0 清除所有的防火墙规则
    
89.   /sbin/iptables -F
    
90.   /sbin/iptables -X
    
91.   /sbin/iptables -Z
    
92.   /sbin/iptables -F -t nat
    
93.   /sbin/iptables -X -t nat
    
94.   /sbin/iptables -Z -t nat
    
95.   /sbin/iptables -P INPUT   DROP
    
96.   /sbin/iptables -P OUTPUT  ACCEPT
    
97.   /sbin/iptables -P FORWARD ACCEPT
    
98.   /sbin/iptables -t nat -P PREROUTING  ACCEPT
    
99.   /sbin/iptables -t nat -P POSTROUTING ACCEPT
    
100.   /sbin/iptables -t nat -P OUTPUT      ACCEPT
     
101. 
     
102. # 4.0 &#59267;先允许任何网络,包括lo这个界面
     
103. #          以及刚才指定的内部界面(LAN)
     
104. #          当然,重点是启动您的Linux为NAT服务器功能
     
105.   /sbin/iptables -A INPUT -i lo          -j ACCEPT
     
106.   if [ "$INIF" != "" ]; then
     
107.         /sbin/iptables -A INPUT -i $INIF -j ACCEPT
     
108.         echo "1" > /proc/sys/net/ipv4/ip_forward
     
109.         /sbin/iptables -t nat -A POSTROUTING -s $INNET -o $EXTIF -j MASQUERADE
     
110.   fi
     
111. 
     
112. # 5.0 开始载入任何可以拒绝的网络设定的文件
     
113. #     下面2个文件可以自行建立
     
114.   if [ -f /usr/local/virus/iptables/iptables.deny ]; then
     
115.         sh /usr/local/virus/iptables/iptables.deny
     
116.   fi
     
117.   if [ -f /usr/local/virus/iptables/iptables.allow ]; then
     
118.         sh /usr/local/virus/iptables/iptables.allow
     
119.   fi
     
120. 
     
121. # 6.0 下面这个文件如果存在,则执行!!
     
122. #       请注意::这个文件与防止砍站的软件有关
     
123.   if [ -f /usr/local/virus/httpd-err/iptables.http ]; then
     
124.         sh /usr/local/virus/httpd-err/iptables.http
     
125.   fi
     
126.   
     
127. # 7.0 允许ICMP封包,允许已建立的连接通过
     
128.   /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
     
129.   AICMP="0 3 3/4 4 11 12 14 16 18"
     
130.   for tyicmp in $AICMP
     
131.   do
     
132.         /sbin/iptables -A INPUT -i $EXTIF -p icmp --icmp-type $tyicmp -j ACCEPT
     
133.   done
     
134. 
     
135. # 8.0 Allow services,请关闭您的服务器没有开放的服务..在行前加"#"..
     
136.   /sbin/iptables -A INPUT -p TCP -i $EXTIF --dport  22 -j ACCEPT        # SSH
     
137.   /sbin/iptables -A INPUT -p TCP -i $EXTIF --dport  25 -j ACCEPT        # SMTP
     
138.   /sbin/iptables -A INPUT -p UDP -i $EXTIF --dport  53 -j ACCEPT        # DNS
     
139.   /sbin/iptables -A INPUT -p TCP -i $EXTIF --dport  53 -j ACCEPT        # DNS
     
140.   /sbin/iptables -A INPUT -p TCP -i $EXTIF --dport  80 -j ACCEPT        # WWW
     
141.   /sbin/iptables -A INPUT -p TCP -i $EXTIF --dport 110 -j ACCEPT        # POP3
     
142.   /sbin/iptables -A INPUT -p TCP -i $EXTIF --dport 113 -j ACCEPT        # auth
     
143.   /sbin/iptables -A INPUT -p tcp -i eth1 -s 192.168.1.0/24 --dport 137:139  -j ACCEPT  #SAMBA
     
144.   /sbin/iptables -A INPUT -p udp -i eth1 -s 192.168.1.0/24 --dport 137:139  -j ACCEPT #Samba
     

复制代码

faint

从安全的角度来看。一般是先定义策略为Drop，以后要开什么服务就开什么。

另外，iptables -P INPUT DROP
        iptables -P OUTPUT DROP
        iptables -P FORWARD DROP
这些规则并不是清空。。。。。。。

webwww

第二个没贴完吧？