iptables 정책이 DROP 일때는 DROP 순서를 지키면서 삽입해야하더군요
한마디로 요약하면
정책이 DROP ACCEPT 짬뽕 순서 왔다갔다하면 정책 에러납니다
DROP 밑에
iptables -A INPUT -m geoip --src-cc CN -j DROP
이렇게삽입하는게아닌
iptables -I INPUT 22 -m geoip --src-cc CN -j DROP
iptables -A INPUT -m geoip --src-cc CN -j DROP 식으로 넣으면
ACCEPT밑으로와서 에러
이런식으로 ACCEPT정책선언전에 DROP정책 다음에 넣으니 아주 잘되네여^^
[똘똘이]님이 남기신 글:
>-----------------------------------------
>답변자가 기본적으로 참고할 내용입니다.
>- 배포판(옵션) : cnetos6.2 64bit
>- 커널버전(옵션) :
>- 데몬버전(예:apache 1.3.27) : apache 2.6.32-220.4.2.el6.x86_64
>- 데몬설치유형(RPM/컴파일/기타) : 컴파일
>-----------------------------------------
>
>KISA방화벽정책+중국대역ip금지가 지상최대의 저의 목표입니다
>
>이두가지 적용시키고싶은데 방화벽정책상 잘안되서요 ㅜㅜ
>기본적으로 제가 잘모르고 이해를 잘못해서그렇지만요..ㅡㅜ
>
>현재 전 중국ip대역 차단을 geoip단독으로 잘쓰고있습니다
>당연히 gEoip 잘 적용했습니다 잘설치됬고요
>
>밑의사이트가 GEOIP 정말 설치 한방에 잘됩니다 강추!!!!
>맡의 사이트를 참조했는데 설명이 잘되있습니다
>==>
>
>http://xinet.kr/tc/173
>
>
>그런데 문제는 ddos등도 대비할려고
> kisa iptables 정책을 iptables정책을 기본적인 base로 쓰고싶고 쓴다면요
>
>그이후에 제가 중국대역 ip차단하려고 geoip를 이용해서
>중국ip대역 차단정책을 삽입하면요
>
>그순간 kisa의 kisa방화벽 기본정책이
>INPUT이 DROP으로설정되있는상태이기에 정책간의 잘못이있는건지
>
>제가 원하는 중국ip차단정책이 iptable정책상 잘못됬다고
> 밑에와같은 에러메시지가 나온다는거에여
>
>
>
>iptables: Saving firewall rules to /etc/sysconfig/iptables:[FAILED]
>
>그래서 지금현재
> kisa의 kisa방화벽 기본정책 이랑 중국ip 대역 차단을 동시에 제가 쓰고싶지만
>동시에 못쓰는걸 어떻게하면 쓸수있을까요?
>
>
>
>현재 IPTABLE은
>기본적인건 인터넷에서 돌고있는 kisa방화벽정책을 그대로 적용했고요
>
>kisa방화벽 기본정책이
>INPUT이 DROP으로설정되있는상태인데요
>
>여기에다가
>중국아이피를 GEOIP모듈설치하고 막으려고
>
>iptables -A INPUT -m geoip --src-cc CN -j DROP
>
>설정했더니
>정책설정의 문제인거같은데요
>밑에와같이 에러생깁니다
>
>iptables: Saving firewall rules to /etc/sysconfig/iptables:[FAILED]
>
>
>현재 IPTABLE의 정책을 저 밑에와같이 했습니다
>기본 INPUT이 DROP으로설정되있는상태인데요
>
>그런데 여기다 중국아이피를 GEOIP모듈설치하고 막으려고
>
>iptables -A INPUT -m geoip --src-cc CN -j DROP
>
>삽입하고 저장하려다 에러가 생기네요
>
>
>이럴땐 어떤식으로 해야 에러없이 IPTABLE이 중국아이피막고 정상적으로 작동될까요?
>
>
>
>밑에는 현재 KISA IPTABLES 적용설정 SSH입니다
>저상태로 그대로 저에게 적용시켰고요
>
>
>[root@localhost bin]# cat My_Firewall
>#!/bin/sh
>
>IPTABLES="/sbin/iptables"
>IP_ADDR=`grep "IPADDR=" /etc/sysconfig/network-scripts/ifcfg-eth0 | awk -F'=' '{ print $2 }'`
>
>. /etc/init.d/functions
>
>case "$1" in
>start|restart)
> echo "$1ing My_Firewall :"
> ;;
> stop)
> echo "$1ping My_Firewall :"
> $IPTABLES -F
> $IPTABLES -X
> $IPTABLES -P INPUT ACCEPT
> $IPTABLES -P FORWARD ACCEPT
> $IPTABLES -P OUTPUT ACCEPT
> exit
> ;;
> *)
> echo $"Usage: $0 {start|restart|stop}"
> exit
> ;;
>esac
>
>### 룰셋 초기화
>$IPTABLES -F
>
>### 기본정책 설정
>$IPTABLES -P INPUT DROP
>$IPTABLES -P FORWARD DROP
>$IPTABLES -P OUTPUT ACCEPT
>
>### Loopback 트래픽 허용
>$IPTABLES -A INPUT -i lo -j ACCEPT
>
>### 자기자신을 소스로 하는 트래픽 차단
>$IPTABLES -A INPUT -i eth0 -s $IP_ADDR -j DROP
>$IPTABLES -A INPUT -i eth0 -s 127.0.0.0/8 -j DROP
>
>### 상태추적 설정
>$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
>$IPTABLES -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
>$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
>$IPTABLES -A INPUT -p all -m state --state INVALID -j DROP
>
>### 비정상적 tcp-flags 차단
>$IPTABLES -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ALL PSH,FIN -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ALL URG,PSH,FIN -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ALL SYN,ACK,FIN -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ALL SYN,FIN,PSH -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ALL SYN,FIN,RST -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ALL SYN,FIN,RST,PSH -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ALL SYN,FIN,ACK,RST -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ALL SYN,ACK,FIN,RST,PSH -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j DROP
>$IPTABLES -A INPUT -p tcp --tcp-flags ACK,URG URG -j DROP
>
>
>### 서비스포트 추가/제거를 위해서는, 반드시 아래의 설정만 수정하시기 바랍니다!!!
>### $IPTABLES 구문앞의 주석 제거후, My_Firewall 를 재가동하시면 해당포트는 활성화 됩니다.
>
>
>## 관리자 PC가 고정이라면 마스터 IP 로 등록하자.
>$IPTABLES -A INPUT -s 211.47.132.123 -m state --state NEW -j ACCEPT
>
>
>### ftp servive 20은 데이타 포트이므로 반드시 오픈 21은 FTP 포트를 바꾸어 사용가능
>#$IPTABLES -A INPUT -p tcp --sport 1024: --dport 20 -m state --state NEW -j ACCEPT
> #$IPTABLES -A INPUT -p tcp --sport 1024: --dport 21 -m state --state NEW -j ACCEPT
> $IPTABLES -A INPUT -p tcp --dport 20 -j ACCEPT
>$IPTABLES -A INPUT -p tcp --dport 21 -j ACCEPT
>
>
>
># 또는 FTP의 IP 대역을 지정도 가능하다.
>
>$IPTABLES -A INPUT -p tcp --sport 1024: --dport 21 -s 211.xx.xxx.0/255.255.255.0 -j ACCEPT
>
>
>
>
>### ssh servive 22외에 다른 포트로 변경해서 사용하는게좋다.
>$IPTABLES -A INPUT -p tcp --sport 1024: --dport 22 -m state --state NEW -j ACCEPT
>
>
>
>### smtp servive 멜 서버 돌리지 않으면 막자
>$IPTABLES -A INPUT -p tcp --sport 1024: --dport 25 -m state --state NEW -j ACCEPT
>
>
>
>### dns servive DNS 돌리지 않으면 막자
>#$IPTABLES -A INPUT -p tcp --sport 1024: --dport 53 -m state --state NEW -j ACCEPT
> #$IPTABLES -A INPUT -p udp --sport 1024: --dport 53 -m state --state NEW -j ACCEPT
>
>
>
>### http servive 기본적으로 웹은 돌릴텐데... 열어놓자.
>$IPTABLES -A INPUT -p tcp --sport 1024: --dport 80 -m state --state NEW -j ACCEPT
>
>
>
>### pop3 servive 메일 서버 안쓰면 막죠...
>#$IPTABLES -A INPUT -p tcp --sport 1024: --dport 110 -m state --state NEW -j ACCEPT
>
>
>
>### identd servive
>$IPTABLES -A INPUT -p tcp --syn --dport 113 -j REJECT --reject-with tcp-reset
>
>
>
>### imap servive
>#$IPTABLES -A INPUT -p tcp --sport 1024: --dport 143 -m state --state NEW -j ACCEPT
>
>
>
>### snmp servive
>#$IPTABLES -A INPUT -p udp --sport 1024: --dport 161 -m state --state NEW -j ACCEPT
>
>
>
>### https servive 보안서버 사용한다면 오픈해야 된다.
>$IPTABLES -A INPUT -p tcp --sport 1024: --dport 443 -m state --state NEW -j ACCEPT
>
>
>
>### rsync servive RSYNC 사용한다면 오픈
>$IPTABLES -A INPUT -p tcp --sport 1024: --dport 873 -m state --state NEW -j ACCEPT
>
>
>
>### mysql servive Mysql 은 돌릴테니 오픈
>$IPTABLES -A INPUT -p tcp --sport 1024: --dport 3306 -m state --state NEW -j ACCEPT
>
>
>
>### ping servive 핑을 열어 접근 테스트가 가능하도록...
>$IPTABLES -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
>
>
>./My_Firewall start 하면 시작된다..
>죽일때는 ./My_Firewall stop 하면 된다.
>
>주의해야 될것은 기본 정책을 DROP 으로 했기 때문에
>죽일때 iptables -F 로 죽이면 절대 안된다.....
>
>
>서버 부팅시 자동 적용하게 할려면..
>#serivce iptables save
======================================== |
sun's longitude:42 52 34
/board/delete.php:소스보기
