最近春风把音乐站转移到了Linux系统上，转移过去后网站后台音乐远程FTP扫描入库程序不能用了，连接不上、获取不到目录检查了PHP配置没有发现问题，后来把防火墙关了就正常了，下面介绍下Linux防火墙的配置方法。
操作系统：Linux (CentOS)
网站程序：PHP音乐远程FTP扫描入库程序
ssh客户端设置有两种方法：
1.命令添加防火墙端口
|
1 2 3 4 5 6 7 8 |
/*添加80端口*/ #/sbin/iptables -I INPUT -p tcp –dport 80 -j ACCEPT /*添加21端口*/ #/sbin/iptables -I INPUT -p tcp –dport 21 -j ACCEPT /*写入到配置文件*/ #/etc/rc.d/init.d/iptables save /*重启防火墙*/ #/etc/init.d/iptables restart |
2.更改/etc/sysconfig/iptables添加防火墙端口
|
1 |
#vi /etc/sysconfig/iptables |
增加如下两行:
|
1 2 |
-A RH-Firewall-1-INPUT -m state –state NEW -m tcp -p tcp –dport 80 -j ACCEPT -A RH-Firewall-1-INPUT -m state –state NEW -m tcp -p tcp –dport 21 -j ACCEPT |
重启防火墙:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
#/etc/init.d/iptables restart 关闭开启防火墙： 关闭防火墙服务： #/etc/init.d/iptables stop 开启防火墙服务： #/etc/init.d/iptables start 重启防火墙服务 /etc/rc.d/init.d/iptables restart 永久关闭 重启后不会复原： #chkconfig iptables off 开启： chkconfig iptables on 查看防火信息： /etc/init.d/iptables status |
服务器遭受到大量的大量SYN_RECV，80端号占死，网站打不开，没有硬防，可以解决吗？
1.
|
1 2 3 4 5 6 7 8 9 10 11 |
sysctl -w net.ipv4.tcp_syncookies=1 #启用使用syncookies sysctl -w net.ipv4.tcp_synack_retries=1 #降低syn重试次数 sysctl -w net.ipv4.tcp_syn_retries=1 #降低syn重试次数 sysctl -w net.ipv4.tcp_max_syn_backlog=6000 #最大半连接数 sysctl -w net.ipv4.conf.all.send_redirects=0 sysctl -w net.ipv4.conf.all.accept_redirects=0 #不接受重定向的icmp數據包 sysctl -w net.ipv4.tcp_fin_timeout=30 sysctl -w net.ipv4.tcp_keepalive_time=60 sysctl -w net.ipv4.tcp_window_scaling=1 sysctl -w net.ipv4.icmp_echo_ignore_all=1 #禁止ICMP sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1 #ICMP禁止广播 |
2.限制单位时间内连接数
如
|
1 2 3 4 5 6 7 |
iptables -N syn-flood iptables -A FORWARD -p tcp –syn -j syn-flood iptables -A INPUT -p tcp –syn -j syn-flood iptables -A syn-flood -p tcp –syn -m limit –limit 3/s –limit-burst 1 -j ACCEP iptables -A syn-flood -j DROP iptables -A INPUT -i eth0 -p tcp ! –syn -m state –state NEW -j DROP iptables -A INPUT -p tcp –syn -m state –state NEW -j DROP |
3 如果还是不行，
|
1 2 |
iptables -A INPUT -p tcp –dport 80 -m recent –name BAD_HTTP_ACCESS –update –seconds 60 –hitcount 30 -j REJECT iptables -A INPUT -p tcp –dport 80 -m recent –name BAD_HTTP_ACCESS –set -j ACCEP |
如攻击过来的流量大于你的服务器的流量，那就没有什么办法了，如果流量不大，以上方法，可以暂时保证你的80可以访问
如果你的内核已经支持iptables connlimit可以使用, iptables 设定部份，也可以使用
|
1 |
iptables -I FORWARD -p tcp –syn -m connlimit –connlimit-above 5 -j DROP |
或
|
1 |
iptables -A INPUT -p tcp –syn –dport 80 -m connlimit –connlimit-above 5 -j REJECT |
对付SYN FLOOD的话，真正起作用的是：
|
1 2 |
sysctl -w net.ipv4.tcp_syncookies=1 #启用使用syncookies sysctl -w net.ipv4.tcp_synack_retries=1 #降低syn重试次数 |
其他IPTABLES的限制速度功能不能用来对付SYN FLOOD的（不能阻止拒绝服务，但是确实可以防止服务器CRASH）。
