配置限制访问ip的iptables实例

公司有一个平台要提升安全力度，几位老大开会研究了半天得出的结论是“放弃了阿里云的slb而改用了自建的nginx来代替slb”，这个时候就需要运维人员在这台nginx上做iptables，现在公司的出口ip有60.191.94.118-120和60.12.11.48四个地址，而且需要开放的端口是80和443，于是乎在nginx的交互窗口里，我们就需要输入如下的语句：

1

2

3

4

5

6

7

8

9

10

11

<code>iptables -A INPUT -s 60.191.94.118</code><code>/32</code> <code>-p tcp -m tcp --dport 80 -j ACCEPT</code>

<code>iptables -A INPUT -s 60.191.94.119</code><code>/32</code> <code>-p tcp -m tcp --dport 80 -j ACCEPT</code>

<code>iptables -A INPUT -s 60.191.94.120</code><code>/32</code> <code>-p tcp -m tcp --dport 80 -j ACCEPT</code>

<code>iptables -A INPUT -s 60.12.11.48</code><code>/32</code> <code>-p tcp -m tcp --dport 80 -j ACCEPT</code>

<code>iptables -A INPUT -p tcp -m tcp --dport 80 -j DROP</code>

<code>iptables -A INPUT -s 60.191.94.118</code><code>/32</code> <code>-p tcp -m tcp --dport 443 -j ACCEPT</code>

<code>iptables -A INPUT -s 60.191.94.119</code><code>/32</code> <code>-p tcp -m tcp --dport 443 -j ACCEPT</code>

<code>iptables -A INPUT -s 60.191.94.120</code><code>/32</code> <code>-p tcp -m tcp --dport 443 -j ACCEPT</code>

<code>iptables -A INPUT -s 60.12.11.48</code><code>/32</code> <code>-p tcp -m tcp --dport 443 -j ACCEPT</code>

<code>iptables -A INPUT -p tcp -m tcp --dport 443 -j DROP</code>

输入完毕之后，使用#service iptables save和#service iptables restart来保存iptables规则。然后在阿里云的域名绑定的地方把这台nginx的外网地址绑定到对应的域名里，在浏览器测试一下使用域名是否可以正确访问到服务。如果成功即代表正向流通。

然后测试一下反向，假设我现在使用的公司出口是60.191.94.120，#iptables -L看到的结果是这样的：

<a href="https://s4.51cto.com/wyfs02/M02/8F/7B/wKiom1jfdnyDZSM8AADBp6zIeuM302.png" target="_blank"></a>

看到120这个ip在第三行，那么我们就禁止这个ip，使用#iptables -D INPUT 3，在另一个浏览器输入刚才的域名，这时候应该无法访问，这样就达到了反向验证的目的。而#service iptables restart的话，就会恢复正确访问。

如果是在阿里云里面配置，是借助阿里云的“实例安全组”服务，然后配置具体的规则，如果是要限制只有60.191.94.119这个IP可以访问这台机器，其他机器一概不准通过的话，那么就这么配置：

<a href="https://s4.51cto.com/wyfs02/M00/8F/89/wKiom1jkYCqAeRFbAABqm2D0M3E039.png" target="_blank"></a>

这样，只有上面两个IP地址可以访问到这台机器，提升了云服务器的安全性。

参考资料：http://www.zsythink.net/archives/1199

 本文转自 苏幕遮618 51CTO博客，原文链接:http://blog.51cto.com/chenx1242/1912464