HQY 一个和谐有爱的空间

config defaults        option syn_flood '1'         option input 'ACCEPT'         option output 'ACCEPT'         option forward 'REJECT'1234512345

config zone        option name 'lan'         option input 'ACCEPT'         option output 'ACCEPT'         option forward 'ACCEPT'         option network 'lan wwan'         option masq '1'         option mtu_fix '1'config zone        option name 'wan'         list network 'wan'         list network 'wan6'         option input 'REJECT'         option output 'ACCEPT'         option forward 'REJECT'         option masq '1'         option mtu_fix '1'123456789101112131415161718123456789101112131415161718

config interface 'stabridge'         option network 'lan wwan'1212

第二个防区则被作用于 "wan" "wan6"

DROP：悄悄丢弃。一般我们多用DROP来隐藏我们的身份，以及隐藏我们的链表 REJECT：明示拒绝 ACCEPT：接受 custom_chain：转向一个自定义的链 DNAT SNAT MASQUERADE：源地址伪装 REDIRECT：重定向：主要用于实现端口重定向 MARK：打防火墙标记的 RETURN：返回。在自定义链执行完毕后使用返回，来返回原规则链。1234567812345678

config rule        option name 'Allow-DHCP-Renew'         option src 'wan'         option proto 'udp'         option dest_port '68'         option target 'ACCEPT'         option family 'ipv4'12345671234567

openwrt 使用 uci 软件实现对系统的配置。 
UCI的配置文件全部存储在/etc/config目录下。

需要记住。使用 uci 设置后，必须调用 
uci commit firewall 
配置才会生效

root@OpenWrt:/# ls /etc/config/dhcp dropbear firewall network system wireless1212

更多内容请参考 ： http://ingchuang.com/article/217 
本文着重讲解防火墙设置。 
防火墙的配置文件位于 /etc/config/firewall

例如。我们要让自己能ping到别人。但是让别人ping不通自己 
对于ping这个协议，进来的为8（ping），出去的为0(响应). 
由于openwrt的防火墙默认是全堵我们为了达到目的，需要禁止8进来 
所以。我们需要在 firewall 文件中新增加这样的一条规则：

config rule 'myrule'         option name 'ping'         option proto 'icmp'         option dest_port '8'         option src '*'         option target 'REJECT'123456123456

使用 uci 命令，则应当做如下操作

#增加节点uci set firewall.myrule=rule uci set firewall.myrule.name=pinguci set firewall.myrule.proto=icmp uci set firewall.myrule.dest_port=8uci set firewall.myrule.target=REJECT uci set firewall.myrule.src=* uci commit firewall /etc/init.d/firewall restart

虽然 openwrt 的防火墙规则可以使用 uci 命令进行配置。配置文件位于 /etc/config/firewall 
通过分析 /etct/init.d/firewall 脚本文件。我们可以知道实际上执行防火墙功能的程序是 fw3 
不过。openwrt 作为一个 linux" target="_blank" style="padding: 0px; margin: 0px; text-decoration: none; color: rgb(223, 52, 52); box-sizing: border-box; font-weight: bold;">Linux 系统，也是支持 iptables 的。所以。掌握了 iptables 。

输入 iptables -L 查看当前防火墙规则：

root@goldsunny:~# iptables -L Chain INPUT (policy ACCEPT) target     prot opt source               destination          delegate_input  all  --  anywhere             anywhere            Chain FORWARD (policy DROP) target     prot opt source               destination          delegate_forward  all  --  anywhere             anywhere            Chain OUTPUT (policy ACCEPT) target     prot opt source               destination          delegate_output  all  --  anywhere             anywhere            123456789101112123456789101112

可以看到默认的防火墙规则为：

Chain INPUT (policy ACCEPT) Chain FORWARD (policy DROP) Chain OUTPUT (policy ACCEPT)123123

也就是 输入 输出都是允许。当时转发是被悄悄丢弃。 
常见取值如下：

     DROP：悄悄丢弃         一般我们多用DROP来隐藏我们的身份，以及隐藏我们的链表      REJECT：明示拒绝      ACCEPT：接受         custom_chain：转向一个自定义的链      DNAT      SNAT      MASQUERADE：源地址伪装      REDIRECT：重定向：主要用于实现端口重定向      MARK：打防火墙标记的      RETURN：返回         在自定义链执行完毕后使用返回，来返回原规则链。123456789101112123456789101112

此外每个链又各自包含一个规则： 
delegate_input 
delegate_forward 
delegate_output

我们继续来看下这三个规则：

Chain delegate_forward (1 references) target     prot opt source               destination          forwarding_rule  all  --  anywhere             anywhere             /* user chain for forwarding */ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHEDzone_lan_forward  all  --  anywhere             anywhere            zone_lan_forward  all  --  anywhere             anywhere            zone_wan_forward  all  --  anywhere             anywhere            reject     all  --  anywhere             anywhere            Chain delegate_input (1 references) target     prot opt source               destination          ACCEPT     all  --  anywhere             anywhere            input_rule  all  --  anywhere             anywhere             /* user chain for input */ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHEDsyn_flood  tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYNzone_lan_input  all  --  anywhere             anywhere            zone_lan_input  all  --  anywhere             anywhere            zone_wan_input  all  --  anywhere             anywhere            Chain delegate_output (1 references) target     prot opt source               destination          ACCEPT     all  --  anywhere             anywhere            output_rule  all  --  anywhere             anywhere             /* user chain for output */ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHEDzone_lan_output  all  --  anywhere             anywhere            zone_lan_output  all  --  anywhere             anywhere            zone_wan_output  all  --  anywhere             anywhere            123456789101112131415161718192021222324252627123456789101112131415161718192021222324252627

每个规则下面有包含了几条规则

重零开始，构建自己的防火墙

1 清除防火墙规则

iptables -F11

这时候。我们发现手机连接rt5350.上不了网了。查看 iptables 规则：

2 查看防火墙规则

root@goldsunny:/# iptables -LChain INPUT (policy ACCEPT) target     prot opt source               destination          Chain FORWARD (policy DROP) target     prot opt source               destination          Chain OUTPUT (policy ACCEPT) target     prot opt source               destination          1234567891012345678910

可以看到转发规则被禁用了

3 修改防火墙默认规则 
我们修改转发规则为允许 
修改默认规则的格式 iptables -P

root@goldsunny:/# iptables -P FORWARD ACCEPTroot@goldsunny:/# root@goldsunny:/# iptables -LChain INPUT (policy ACCEPT) target     prot opt source               destination          Chain FORWARD (policy ACCEPT) target     prot opt source               destination          Chain OUTPUT (policy ACCEPT) target     prot opt source               destination          123456789101112123456789101112

发现我们的手机能上网了。 
因为我们手机连接的wifi是接到rt5350的lan网络中。而rt5350是通过 wwan 网络接到路由器，连接到外网的。所以，在不同网络之间的防火墙规则必须被允许，否则数据无法从 lan 到 wwan 连接到外网，故而无法上网。

4 增加防火墙规则： 
iptables -A 
例如。我想要禁止手机上网，改做何种操作：首先确定手机的IP。然后执行：

iptables -A FORWARD -s 192.168.20.171 -j REJECT11

5 清除第一条防火墙规则： 
iptables -D INPUT num

iptables -D INPUT 111

6 替换防火墙规则： 
iptables -R FORWARD num new_rule

 iptables -R FORWARD 1 -s 192.168.20.172 -j REJECT11

7 实例：

7.1 禁止 tcp 协议，目标端口号为22 的数据访问：

iptables -A INPUT -p tcp --dport 22 -j REJECT11

参考文章： 
http://blog.chinaunix.net/uid-22780578-id-3346350.html

利用 iptables 实现黑名单： 
首先，设置 FORWARD 默认策略为信任：ACCEPT

iptables -P FORWARD ACCEPT11

例如，我们想要让用户无法访问 百度。我们只需要设置 FORWARD 链上。目标为 百度 的所有数据丢弃即可：

iptables -I FORWARD -d m.baidu.com -j DROP11

既然知道了这个原理。我们便可以写一个简单的黑名单脚本文件，把所有禁止用户访问的域名 IP 写到 black.txt 文件中，黑名单脚本文件 black.sh 
black.sh 内容如下：

root@goldsunny:~# vi black.sh #!/bin/ashecho run black shell! iptables -P FORWARD ACCEPT cat black.txt | while read linedo                                 echo iptables -I FORWARD -d $line -j DROP         iptables -I FORWARD -d $line -j DROPdone1234567891011121312345678910111213

black.txt内容如下：

root@goldsunny:~# cat black.txt www.baidu.comm.baidu.com123123

运行该脚本文件。然后查看 iptables 发现已经生效。

root@goldsunny:~# iptables -L FORWARDChain FORWARD (policy ACCEPT) target     prot opt source               destination          root@goldsunny:~# root@goldsunny:~# root@goldsunny:~# ./black.sh run black shell! ./black.sh: line 5: ptables: not found iptables -I FORWARD -d www.baidu.com -j DROPiptables -I FORWARD -d m.baidu.com -j DROProot@goldsunny:~# root@goldsunny:~# root@goldsunny:~# iptables -L FORWARDChain FORWARD (policy ACCEPT) target     prot opt source               destination          DROP       all  --  anywhere             53.16.185.117.in-addr.arpa  DROP       all  --  anywhere             111.13.100.92       DROP       all  --  anywhere             111.13.100.91       123456789101112131415161718123456789101112131415161718

手机连接 rt5350 的wifi。发现可以上新浪等网站。但是无法上百度。说明防火墙黑名单设置成功。

推荐本站淘宝优惠价购买喜欢的宝贝:

本文链接：https://hqyman.cn/post/129.html 非本站原创文章欢迎转载，原创文章需保留本站地址！

打赏

微信支付宝扫一扫，打赏作者吧～

休息一下~~