RHEL下 ssh，telnet，ftp限制源IP访问
一、客户需求:
限制ssh、telnet、ftp服务的访问源IP。仅允许特定网段访问。
二、解决方案及示例:
A.iptables防火墙方案：
1.解决方案概述:
使用RHEL操作系统自带的iptables防火墙服务来对特定的网络源IP地址进行限制。
2.示例：
编写防火墙脚本iptables.sh
vi iptables.sh
#!/bin/bash
sevice iptables start
清除iptables默认及自定义的所有规则:
iptables -F
iptables -X
iptables –Z
将防火墙的入站默认策略设置为接受:
iptables -t filter -P INPUT ACCEPT
只允许网段192.168.1.0/24内的主机对ssh telnet ftp 服务的访问。
iptables -I INPUT -s ! 192.168.1.0/24 -p tcp --dport ssh -j DROP
iptables -I INPUT -s ! 192.168.1.0/24 -p udp --dport ssh -j DROP
iptables -I INPUT -s! 192.168.1.0/24 -p tcp --dport telnet -j DROP
iptables -I INPUT -s !192.168.1.0/24 -p udp --dport telnet -j DROP
iptables -I INPUT –s ! 192.168.1.0/24 -p tcp --dport ftp -j DROP
iptables -I INPUT -s ! 192.168.1.0/24 -p udp --dport ftp -j DROP
保存策略:
service iptables save
查看策略是否生效:
iptables-save
设置权限并运行脚本:
chmod u+x iptables.sh
./iptables.sh
查看效果：
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 DROP udp -- !192.168.1.0/24 0.0.0.0/0 udp dpt:21
2 DROP tcp -- !192.168.1.0/24 0.0.0.0/0 tcp dpt:21
3 DROP udp -- !192.168.1.0/24 0.0.0.0/0 udp dpt:23
4 DROP tcp -- !192.168.1.0/24 0.0.0.0/0 tcp dpt:23
5 DROP udp -- !192.168.1.0/24 0.0.0.0/0 udp dpt:22
6 DROP tcp -- !192.168.1.0/24 0.0.0.0/0 tcp dpt:22
B．Tcp_Wrapper 方案:
1.解决方案概述：
通过tcp_wrapper 软件在进程上进行访问控制。
2.示例:
tcp_wrapper通过读取/etc/hosts.allow和/etc/hosts.deny这两个文件来控制对相关服务进程的访问，并且优先读取/etc/hosts.allow文件。
修改/etc/hosts.allow 文件。
只允许192.168.0.0/24网段内所有主机访问 ssh, telnet和ftp
vi /etc/hosts.allow
sshd:192.168.0.
in.telnetd:192.168.0.
vsftpd:192.168.0.
除以上以外拒绝所有。vi /etc/hosts.deny
ALL:ALL
补充:
iptables 与tcp_wrapper可以配合使用。
