iptables案例：搭建web服务器的防火墙

防火墙原理图（硬件版）

使用iptables实现防火墙（软件版）

配置实战

# 放行环回口所有数据[root@localhost ~]# iptables -A INPUT -i lo -j ACCEPT# 放行22、80端口[root@localhost ~]# iptables -A INPUT -p tcp -m multiport --dports 22,80 -j ACCEPT或：[root@localhost ~]# iptables -A INPUT -p tcp --dport 22 -j ACCEPT[root@localhost ~]# iptables -A INPUT -p tcp --dport 80 -j ACCEPT#允许已经建立tcp连接的包以及该连接相关的包通过。状态防火墙能识别TCP或者UDP会话。非状态防火墙只能根据端口识别，不能识别会话。[root@localhost ~]# iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT# 修改INPUT链的默认动作为丢弃，也就是只接受前面设置的22、80端口数据进来[root@localhost ~]# iptables -P INPUT DROP# 保存[root@localhost ~]# /etc/init.d/iptables save# 重启服务[root@localhost ~]# /etc/init.d/iptables restart

注：一般iptables，OUTPUT出口一般都放行，不需要在出口上做限制。这样允许服务器主动访问外网所有数据。