리눅스 iptables 편집하기

IT위키

경고: 로그인하지 않았습니다. 편집을 하면 IP 주소가 공개되게 됩니다. 로그인하거나 계정을 생성하면 편집자가 사용자 이름으로 기록되고, 다른 장점도 있습니다.

편집을 취소할 수 있습니다. 이 편집을 되돌리려면 아래의 바뀐 내용을 확인한 후 게시해주세요.

최신판 당신의 편집
53번째 줄: 53번째 줄:
  또는
  또는
# cat /etc/sysconfig/iptables
# cat /etc/sysconfig/iptables
</pre>
* 차단 횟수 및 byte 수 포함하여 보기
<pre class="shell">
# iptables -L -nvx
</pre>
</pre>


* 저장
* 저장
<pre class="shell">
<pre class='shell'>
# service iptables save
# service iptables save
또는
# iptables-save
</pre>
</pre>


73번째 줄: 66번째 줄:
</pre>
</pre>


* '''정책을 추가한 다음 save만 하면 된다. 서비스를 restart할 필요는 없다.'''
* '''정책을 추가한 다음 재시작이나 다른 조치를 하지 않아도 바로 적용된다.'''


== 예제 ==
== 예제 ==
=== 특정 IP 및 IP 대역 차단 ===
(참고) IDS/IPS나 WAF로부터 악성 공격을 일삼는 IP를 차단하는 경우 C 클래스 대역을 통째로 차단해주는 것을 권장한다. (특히 해외 IP인 경우)
* 차단 정책 적용 후 iptables-save를 꼭 해야 함을 명심하자
'''단순 차단 예제'''
* 192.168.10.22로부터 들어오는 패킷들은 차단하는 정책을 추가<ref>http://q.fran.kr/문제/2748 리눅스마스터 1급 1501 필기 기출문제</ref>
* 192.168.10.22로부터 들어오는 패킷들은 차단하는 정책을 추가<ref>http://q.fran.kr/문제/2748 리눅스마스터 1급 1501 필기 기출문제</ref>
<pre class="shell">
<pre class='shell'>
# iptables -A INPUT -s 192.168.10.22 -j DROP
# iptables -A INPUT 192.168.10.22 -j DROP
또는
또는
# iptables -I INPUT -s 192.168.10.22 -j DROP
# iptables -I INPUT 192.168.10.22 -j DROP
</pre>
</pre>


* 192.168.10. 대역으로부터 들어오는 패킷들은 차단하는 정책을 추가
* 192.168.10. 대역으로부터 들어오는 패킷들은 차단하는 정책을 추가
<pre class="shell">
<pre class='shell'>
# iptables -A INPUT -s 192.168.10.0/24 -j DROP
# iptables -A INPUT 192.168.10.0/24 -j DROP
또는
또는
# iptables -I INPUT -s 192.168.10.0/24 -j DROP
# iptables -I INPUT 192.168.10.0/24 -j DROP
</pre>
 
* 차단 정책 추가 시 코멘트(주석)를 추가해서 기록을 남겨주는 것이 좋다.
<pre class="shell">
# iptables -A INPUT -s 192.168.10.0/24 -j DROP -m comment --comment "bruteforce ip 20240516"
</pre>
 
* 앞단에 방화벽이나 LB가 있는 경우 X-Forwarded-For IP를 기준으로 해야 하는 경우도 있다.
<pre class="shell">
# iptables -A INPUT -m string --string "x-forwarded-for: 111.222.333.444" --algo bm --icase -j DROP
</pre>
 
* X-Forwarded-For를 쓸 때 대역으로 차단하고 싶다면 여기선 서브넷이 아닌 일부 IP만 적어야 한다. 문자열 일치 기준으로 검사하기 때문
<pre class="shell">
# iptables -A INPUT -m string --string "x-forwarded-for: 111.222.333" --algo bm --icase -j DROP
</pre>
</pre>


=== 기본 차단, 인터페이스별 포워딩 ===
* '''예제 조건'''<ref>http://q.fran.kr/문제/6515 리눅스마스터 1급 1501 실기 기출문제</ref>
* '''예제 조건'''<ref>http://q.fran.kr/문제/6515 리눅스마스터 1급 1501 실기 기출문제</ref>
** 패킷은 거부 메시지 없이 무조건 거절한다. (DROP)
** 패킷은 거부 메시지 없이 무조건 거절한다. (DROP)
IT위키에서의 모든 기여는 크리에이티브 커먼즈 저작자표시-비영리-동일조건변경허락 라이선스로 배포된다는 점을 유의해 주세요(자세한 내용에 대해서는 IT위키:저작권 문서를 읽어주세요). 만약 여기에 동의하지 않는다면 문서를 저장하지 말아 주세요.
또한, 직접 작성했거나 퍼블릭 도메인과 같은 자유 문서에서 가져왔다는 것을 보증해야 합니다. 저작권이 있는 내용을 허가 없이 저장하지 마세요!
취소 편집 도움말 (새 창에서 열림)