服务器设置访问IP端口白名单笔记

2022-07-22

环境介绍

操作系统：Windows 2012R2和CentOS 7.7
软件版本：本地安全策略和IP tables

操作方法

Windows 2012R2

控制面板→系统和安全→管理工具→本地安全策略
IP安全策略，在本地计算机
右键创建IP安全策略向导→命名→不要勾选激活→不要勾选编辑属性
右键新建的策略属性→添加→注：这里的IP筛选器指的是IP地址信息
下一步则是设置IP筛选器所需执行的动作，即筛选器操作拒绝或允许（可更改编辑）
最后完成→应用

Linux iptables

样例：只有本主机所属网段才能连到这台主机的 imap port 143
#$IPTABLES -A INPUT -p tcp -s 60.191.9.144/29 –dport 143 -j ACCEPT
#$IPTABLES -A INPUT -p tcp -s 127.0.0.1 –dport 143 -j ACCEPT
#$IPTABLES -A INPUT -p tcp –dport 143 -j DROP

iptables -L -nv #查看linux iptable配置
iptables -A INPUT -p tcp -s 127.0.0.1 --dport 8080 -j DROP
#不允许本地访问8080端口
iptables -D INPUT 1 #删除INPUT链的第一条规则
iptables -D OUTPUT 1 #删除OUTPUT链的第一条规则
#增加白名单控制访问8101端口
iptables -A INPUT -p tcp -s 10.201.1.11 --dport 8101 -j ACCEPT
iptables -A INPUT -p tcp -s 10.201.1.145 --dport 8101 -j ACCEPT
iptables -A INPUT -p tcp -s 172.31.252.49 --dport 8101 -j ACCEPT
iptables -A INPUT -p tcp -s 10.231.1.31/24 --dport 8101 -j ACCEPT
iptables -A INPUT -p tcp -s 127.0.0.1 --dport 8101 -j ACCEPT
iptables -A INPUT -p tcp --dport 8101 -j DROP

脚本方式（仅支持CentOS 7以上）

在/etc/rc.d创建iptable.sh并通过此文件配置允许或禁止访问IP地址，然后执行./iptables.sh
会依据生成的iptables-script对防火墙进行修改

iptable.sh

#!/bin/bash
echo "------------------------------Former iptables----------------------------------"
iptables -L -n --line-numbers 
iptables -F

#for huanhui
iptables -A INPUT -s 127.0.0.1 -p tcp --dport 22 -j ACCEPT

#fangtong
iptables -A INPUT -s 10.201.1.11/32  -j ACCEPT
iptables -A INPUT -s 172.31.252.49/32  -j ACCEPT
iptables -A INPUT -s 10.232.1.0/24  -j ACCEPT
iptables -A INPUT -s 10.231.1.0/24  -j ACCEPT
iptables -A INPUT -s 10.231.201.0/24  -j ACCEPT
iptables -A INPUT -s 10.231.250.4/32  -j ACCEPT
iptables -A INPUT -s 10.201.1.146/32  -j ACCEPT

#jujue
iptables -A INPUT -j DROP


iptables-save > iptables-script
iptables-restore iptables-script 

echo "-------------------------------New iptables-----------------------------------"
iptables -L -n --line-numbers
#End

iptables-script

# Generated by iptables-save v1.4.21 on Thu Jun  9 13:55:43 2022
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -s 127.0.0.1/32 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 10.201.1.11/32 -j ACCEPT
-A INPUT -s 172.31.252.49/32 -j ACCEPT
-A INPUT -s 10.232.1.0/24 -j ACCEPT
-A INPUT -s 10.231.1.0/24 -j ACCEPT
-A INPUT -s 10.231.201.0/24 -j ACCEPT
-A INPUT -s 10.231.250.4/32 -j ACCEPT
-A INPUT -s 10.201.1.146/32 -j ACCEPT
-A INPUT -j DROP
COMMIT
# Completed on Thu Jun  9 13:55:43 2022