linux防墙iptables详细介绍、配置方法与案例
1.1 iptables防火墙简介
netfilter/iptables（以下简称iptables）是unix/linux自带的一款优秀且开放源代码的安全*的**基于包过滤的防火墙工具**，它的功能十分强大，使用非常灵活，可以对流入和流出服务器的数据包进行很精细的控制。特别是它可以在一台非常低的硬件配置下跑的非常好
iptables是linux2.4及2.6内核中集成的服务。其功能与安全性比其**ipfwadm，ipchains**强大的多，iptables主要工作在osi七层的二、三、四层，如果重新编译内核，iptables也可以支持**7层控制**（squid代理+iptables）
1.2 iptables 名词和术语
容器：包含和被包含的关系
iptables是表的容器
iptables包含表 （4张表）表是链的容器，每个表都包含若干个链
链是规则的容器，真正过滤规则是属于链里面的
级别介绍
iptables 国家
表 省
链 市
规则 县
1.3 iptables工作流程
iptables是采用数据包过滤机制工作的，所以它会对请求的数据包的包头数据进行分析，并根据我们预先设定的规则来进行匹配是否可以进入到主机。
iptables工作流程小结
- 防火墙是一层层过滤的。实际是按照配置规则的顺序从上到下，从前到后进行过滤的。
- 如果匹配上规则，即明确表是阻止还是通过，此时数据包就不在向下匹配新规则了。
- 如果所有规则中没有明确是阻止还是通过这个数据包，也就是么有匹配上新规则，向下进行匹配，直到匹配默认规则得到明确的组织还是通过
- 防火墙的默认规则是对应链的所有规则执行完才会执行的。
1.4 iptables表（tables）和链（chains）
iptables根据功能和表的定义划分包含三个表，filter，nat，mangle，其每个表又包含不同的操作链（chains）
filter表 是真正的防火墙功能
input 进服务器 output出服务器 forward 流经服务器
nat 表 负责数据包改写 网关共享上网、ip和端口映射
output
prerouting
postrouting
mangle表 路由标记 用的不多
####所有链全有
raw 表 用处很少和mangle一样
我们可以通过man iptables 来获取
1.5 表介绍
对于filter表的控制是我们实现本机防火墙的重要手段，特别是对input链的控制
1.6 iptables表和链工作流程图
提示： iptables主要由2个作用，第一是防火墙，第二是路由。
nat功能：
企业案例：1）局域网上网共享（路由和网关）nat postrouting
2）外部ip和端口映射为内部ip和端口（dmz功能），nat prerouting
filter功能：
即防火墙filter input forward
企业案例：主要应用于服务器防火墙
2.1 配置iptables
iptables默认已经安装 [root@web02 ~]# iptables -v iptables v1.4.7 [root@web02 ~]# rpm -qa iptables iptables-1.4.7-16.el6.x86_64 [root@web02 ~]# /etc/init.d/iptables status iptables: firewall is not running.
查看iptables规则
[root@web02 ~]# iptables -nl chain input (policy accept)
表示针对input链 accept是默认规则，默认是运行通过的
target prot opt source destination input链下面具体的规则 accept all -- 0.0.0.0/0 0.0.0.0/0 state related,established accept icmp -- 0.0.0.0/0 0.0.0.0/0 accept all -- 0.0.0.0/0 0.0.0.0/0 accept tcp -- 0.0.0.0/0 0.0.0.0/0 state new tcp dpt:22 reject all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited chain forward (policy accept) target prot opt source destination reject all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited chain output (policy accept) target prot opt source destination
如果没有指定表，默认就是filfer表
iptables默认加载的内核模块 [root@web02 ~]# lsmod |egrep "nat|filter|ipt" ipt_reject 2351 2 iptable_filter 2793 1 ip_tables 17831 1 iptable_filter
加载如下模块到linux内核
modprobe ip_tables modprobe iptable_filter modprobe iptable_nat modprobe ip_conntrack 连接跟踪 modprobe ip_conntrack_ftp 连接跟踪 modprobe ip_nat_ftp modprobe ipt_state
再次过滤，查看生效情况
[root@web02 ~]# lsmod |egrep "nat|filter|ipt" nf_nat_ftp 3443 0 nf_conntrack_ftp 11953 1 nf_nat_ftp iptable_nat 5923 0 nf_nat 22676 2 nf_nat_ftp,iptable_nat ipt_reject 2351 2 nf_conntrack_ipv4 9154 5 iptable_nat,nf_nat nf_conntrack 79206 6 nf_nat_ftp,nf_conntrack_ftp,iptable_nat,nf_nat,nf_conntrack_ipv4,xt_state iptable_filter 2793 1 ip_tables 17831 2 iptable_nat,iptable_filter
清空所有的规则，只留下默认规则
[root@web02 ~]# iptables -f [root@web02 ~]# iptables -x [root@web02 ~]# iptables -z
iptables -f 清除所有规则
iptables -x 删除用户自定义规则
iptables -z 链的计数器清零
2.2 禁止规则
查看端口
[root@web02 ~]# netstat -lntup|grep ssh tcp 0 0 0.0.0.0:22 0.0.0.0:* listen 1329/sshd tcp 0 0 :::22 :::* listen 1329/sshd
命令如下：
iptables -t filter -a input -p tcp --dport 22 -j drop
-a 添加规则到指定链的结尾，最后一条
-i 添加规则到指定链的开头，第一条
-t 指定表，也可以不指定默认是filter
-p 指定协议(all.tcp,udp.icmp)默认all
--dport 指定端口
-j 处理的行为
accpet接收、drop丢弃、reject拒绝
最好使用accpet和drop，因为拒绝会返回给用户信息。
清除规则可以使用iptables -f
还可以使用iptables -d input 1
-d指定删除的链
--line-number 显示序列号
iptables -nl --line-number
提示：需要写上链和序列号
温馨提示：恢复刚才断掉的ssh连接
1）去机房重启系统或登录服务器删除刚才的禁止规则
2）让机房人员重启服务器或者让机房人员拿用户密码登录进去
3）通过服务器的远程管理卡管理（推荐）
4）先写一个定时任务，每5分钟就停止防火墙
5）测试环境测试好，写成脚本，批量执行
企业案例
3.1： 加-a和-i的区别
[root@web02 ~]# iptables -a input -p tcp --dport 80 -j drop [root@web02 ~]# iptables -i input -p tcp --dport 80 -j accept
按照iptables匹配规则，首先会先匹配第一行，依次向下。这样设置拒绝就没有用
如果想在中间插入可以指定插入行号
[root@web02 ~]# iptables -nl chain input (policy accept) target prot opt source destination accept tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 drop tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 chain forward (policy accept) target prot opt source destination chain output (policy accept) target prot opt source destination
还可以通过序列号插入iptables 命令
[root@web02 ~]# iptables -i input 2 -p tcp --dport 80 -j accept [root@web02 ~]# iptables -nl --line-number chain input (policy accept) num target prot opt source destination 1 accept tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 2 accept tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 3 drop tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 chain forward (policy accept) num target prot opt source destination chain output (policy accept) num target prot opt source destination
小结：总结下删除规则的方法
1. iptables -d input -p tcp --dport 8080 -j drop
2. iptables -f 删所有规则
3. /etc/init.d/iptables restart （用iptables命令行配置的命令都是临时生效）
4. iptables -d input 规则序号
3.2：禁止10.0.0.0网段接入
基于客户端网段控制
[root@web02 ~]# iptables -a input -s 10.0.0.0/24 -j drop
-s指定源地址
还可以使用不是这个网段的进行操作
[root@web02 ~]# iptables -a input ! -s 10.0.0.0/24 -j drop
案例：控制22端口 eth0网卡进来的数据
iptables -a input -p tcp --dport 22 -i eth0 ! -s 10.0.0.0/24 -j drop iptables -a input -p tcp --dport 22 -i eth0 ! -s 192.168.1.1 -j drop
封掉3306端口
iptables -a input -p tcp --dport 3306 -j drop
匹配指定的协议
iptables -a input -p tcp iptables -a input -p udp
匹配指定协议外的所有协议
iptables -a input ! -p tcp
``匹配单一端口**
iptables -a input -p tcp --sport 22 源端口 iptables -a input -p udp --dport 22 目的端口
匹配端口范围：
iptables -a input -p tcp --sport 22:80 iptables -a input -p tcp --dport 21,22,23 -j drop---->错误语法 iptables -i input -p tcp -m multiport --dport 22,23,24,25 -j drop iptables -i input -p tcp -m multiport ! --dport 22,23,24,25 -j drop iptables -i input -p tcp --dport 3306:8809 -j accept iptables -i input -p tcp --dport 18:80 -j drop <----最佳方法
匹配icmp类型
iptables -a input -p icmp-type 8
icmp中有很多类型，其中8代表ping
例：
iptables -a input -p icmp --icmp-type 8 -j drop iptables -a input -p icmp -m icmp --icmp-type any -j accept
因为icmp类型很多可以使用any，icmp的所有类型全禁
iptables -a input -s 192.168.1.0/24 -p icmp -m icmp --icmp-type any -j accept
企业场景禁ping
iptables -a input -p icmp --icmp-type 8 -s 10.0.0.0/24 -j accept
匹配网络状态
-m state --state
new：已经或启动新的连接
established：已建立的连接
related：正在启动的新连接
invalid：非法或无法识别的
ftp服务是特殊的，需要配状态连接
允许关联的状态包通过（web服务不要使用ftp服务）
iptables -a input -m state --state established,related -j accept iptables -a output -m state --state established,related -j accept
限制指定时间包的允许通过数量及并发数
-m limit --limit n/{second/minute/hour}
指定时间内的请求速率“n”为速率，后面为时间分别为：秒、分、时
--limit-burst [n]
在同一时间内允许通过的请求“n”为数字，不指定默认为5
iptables -i input -s 10.0.1.0/24 -p icmp --icmp-type 8 -m limit --limit 5/min --limit-burst 2 -j accept
手动执行iptables命令配置企业生产环境防火墙
生产环境配置主机防火墙的两种模式
1. 允许所有程序，对操作伤害的进行拒绝操纵 应用场景：企业配置上网网关路由
2. 拒绝所有操作，允许指定的操作 应用场景：服务器主机防火墙
配置企业主机防火墙
[root@web02 ~]# iptables -f [root@web02 ~]# iptables -x [root@web02 ~]# iptables -z
1.设置允许ssh登录端口
[root@web02 ~]# iptables -a input -p tcp --dport 22 -j accetp [root@web02 ~]# iptables -a input -p tcp -s 10.0.0.1/24 -j accept
2.设置允许本机lo通信规则
[root@web02 ~]# iptables -a input -i lo -j accept [root@web02 ~]# iptables -a output -o lo -j accept
3.设置默认规则
[root@web02 ~]# iptables -p input drop [root@web02 ~]# iptables -p output accept [root@web02 ~]# iptables -p forward drop
查看规则（现在的服务器是最安全的）
[root@web02 ~]# iptables -nl --line-number chain input (policy drop) num target prot opt source destination 1 accept tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 2 accept tcp -- 10.0.0.0/24 0.0.0.0/0 3 accept all -- 0.0.0.0/0 0.0.0.0/0 chain forward (policy drop) num target prot opt source destination chain output (policy accept) num target prot opt source destination 1 accept all -- 0.0.0.0/0 0.0.0.0/0
4.开启信任的ip网段
允许idc lan/wan 和办公网ip的访问，及对外合作机构访问
iptables -a input -s 124.23.62.96/27 -p all -j accept #办公室固定ip段 iptables -a input -s 192.168.2.0/24 -p all -j accept #idc机房的内网网段 iptables -a input -s 10.0.0.0/24 -p all -j accept #其他机房的内网网段 iptables -a input -s 203.82.24.0/24 -p all -j accept #idc机房的外网网段 iptables -a input -s 203.82.23.0/24 -p all -j accept #其他idc机房的外网网段
现在还只是我们可以访问，对外还无法访问
5.允许icmp类型协议通过
iptables -a input -p icmp -m icmp-type any -j accept
提示：如果不想开，就不执行此命令
iptables -a input -p icmp -s 10.0.0.0/24 -m icmp --icmp-type any -j accept
6.允许关联的状态包通过（web服务不要使用ftp服务）
iptables -a input -m state --state established,related -j accept iptables -a output -m state --state established,related -j accept
提示：以上配置就是合格服务器应该配置的
保存
默认使用iptables并没有永久保存，重启失效。
第一种方法：
/etc/init.d/iptables save
保存到/etc/sysconfig/iptables 下面
显示如下格式
[root@web02 ~]# cat /etc/sysconfig/iptables # generated by iptables-save v1.4.7 on mon aug 15 01:33:44 2016 *nat :prerouting accept [1413:153792] :postrouting accept [132:8834] :output accept [132:8834] commit # completed on mon aug 15 01:33:44 2016 # generated by iptables-save v1.4.7 on mon aug 15 01:33:44 2016 *filter :input drop [1798:662465] :forward drop [0:0] :output accept [288:21100] -a input -p tcp -m tcp --dport 22 -j accept -a input -s 10.0.0.0/24 -p tcp -j accept -a input -i lo -j accept -a output -o lo -j accept commit # completed on mon aug 15 01:33:44 2016
第二种方法：
[root@web02 ~]# iptables-save >/etc/sysconfig/iptables
推荐使用第一种方式
测试：我通过其他服务器扫描我们配置的防火墙
使用nmap工具进行分析，此工具需要安装
[root@web02 ~]# yum -y install nmap
使用如下：更多可以使用nmap --help
[root@web02 ~]# nmap 10.0.0.8 -p 1-65535 starting nmap 5.51 ( http://nmap.org ) at 2016-08-15 04:28 cst nmap scan report for 10.0.0.8 host is up (0.0000070s latency). not shown: 65532 closed ports port state service 22/tcp open ssh 80/tcp open http 3306/tcp open mysql nmap done: 1 ip address (1 host up) scanned in 14.21 seconds
生产维护
（1）确定的规则；
编辑/etc/sysconfig/iptables
加入想要的规则：例如
-a input -p tcp -m tcp --dport 873 -j accept /etc/init.d/iptables reload
或者改配置的同时命令在执行，也是永久生效。
（2）命令试错，没问题了，然后放配置文件，这时不需要重启了
恶意ip封杀
封ip，在第一行封。10.0.0.1 这个机器攻击我们服务器或者在bbs里发垃圾帖子
手工封ip：
iptables -i input -s 10.0.0.1 -j drop #粗，范围大，外部攻击者 iptables -i input -s 10.0.0.1 -j drop iptables -i input -p tcp -s 10.0.0.1 --dport 80 -j drop #细，范围小。内部
自动封ip：分析web或应用日志或者网络连接状态封掉垃圾ip
脚本：
#!/bin/bash #this is a server firewall created by oldboy 17:03 2006-7-26 # e_mail:31333741@qq.com # qqinfo:49000448 # function: a server firewall # version:1.1 ################################################ # oldboy trainning info. # qq 1986787350 70271111 # site: http://www.etiantian.org # blog: http://oldboy.blog.51cto.com # oldboy trainning qq group: 208160987 45039636 ################################################ #define variable path ipt=/sbin/iptables #remove any existing rules $ipt -f $ipt -x $ipt -z #setting default firewall policy $ipt --policy output accept $ipt --policy forward drop $ipt -p input drop #setting for loopback interface $ipt -a input -i lo -j accept $ipt -a output -o lo -j accept #setting access rules #one,ip access rules,allow all the ips of $ipt -a input -s 10.0.10.0/24 -p all -j accept $ipt -a input -s 10.0.0.0/24 -p all -j accept ##下面的是重复的，作为知识点保留，单个服务的配置 #second,port access rules #nagios $ipt -a input -s 10.0.10.0/24 -p tcp --dport 5666 -j accept $ipt -a input -s 10.0.0.0/24 -p tcp --dport 5666 -j accept #db $ipt -a input -s 10.0.0.0/24 -p tcp --dport 3306 -j accept $ipt -a input -s 10.0.0.0/24 -p tcp --dport 3307 -j accept $ipt -a input -s 10.0.10.0/24 -p tcp --dport 3306 -j accept $ipt -a input -s 10.0.10.0/24 -p tcp --dport 3307 -j accept #ssh difference from other servers here.>> $ipt -a input -s 10.0.0.0/24 -p tcp --dport 52113 -j accept $ipt -a input -s 10.0.10.0/24 -p tcp --dport 52113 -j accept $ipt -a input -p tcp --dport 22 -j accept #http $ipt -a input -p tcp --dport 80 -j accept #snmp $ipt -a input -s 10.0.0.0/24 -p udp --dport 161 -j accept $ipt -a input -s 10.0.10.0/24 -p udp --dport 161 -j accept #rsync $ipt -a input -s 10.0.0.0/24 -p tcp -m tcp --dport 873 -j accept $ipt -a input -s 10.0.10.0/24 -p tcp -m tcp --dport 873 -j accept #icmp #$ipt -a input -p icmp -m icmp --icmp-type any -j accept #others related $ipt -a input -m state --state established,related -j accept $ipt -a output -m state --state established,related -j accept
企业案例：写一个脚本解决dos攻击生产案例
提示：根据web日志或者或者网络连接数，监控当某个ip并发连接数或者短时内pv达到100，即调用防火墙命令封掉对应的ip，监控频率每隔3分钟。防火墙命令为：iptables -i input -s 10.0.1.10 -j drop
本脚本使用测试文件进行编写
[root@db02 scripts]# cat test_6.sh
#!/bin/sh
#
[ -f /etc/init.d/functions ] && . /etc/init.d/functions
ip_file="/server/scripts/ddos.txt"
ip_filter_command="iptables -i input -j drop -s"
ip_recover_command="iptables -d input -j drop -s"
function ip_check(){
grep "est" ${ip_file}|awk -f "[ |:]+" '{print $6}'|sort |uniq -c|sort -rn -k1 > /server/scripts/ip.txt
}
function ip_filter(){
exec < /server/scripts/ip.txt
while read line
do
ip_count=`echo $line|awk '{print $1}'`
ip=`echo $line|awk '{print $2}'`
ip_fil=`iptables -l -n|grep "\b${ip}\b"|wc -l`
if [ ${ip_count} -gt 25 -a ${ip_fil} -eq 0 ];then
${ip_filter_command} ${ip}
echo "${ip}" >> /server/scripts/ip_filtered.txt
action "filter ${ip}" /bin/true
fi
done
}
function ip_recover(){
exec < /server/scripts/ip.txt
while read line
do
ip_count=`echo $line|awk '{print $1}'`
ip=`echo $line|awk '{print $2}'`
ip_fil=`iptables -l -n|grep "\b${ip}\b"|wc -l`
if [ ${ip_count} -le 25 -a ${ip_fil} -eq 1 ];then
${ip_recover_command} ${ip}
echo "${ip}" >> /server/scripts/ip_filtered.txt
action "recover ${ip}" /bin/true
fi
done
}
function main(){
case "$1" in
filter)
ip_check
echo "$(date +%f-%h:%m:%s) filtered by $(whoami)" >> /server/scripts/ip_filtered.txt
ip_filter
;;
recover)
ip_check
echo "$(date +%f-%h:%m:%s) recovered by $(whoami)" >> /server/scripts/ip_filtered.txt
ip_recover
;;
*)
echo "usage:$0 {filter|recover}"
exit 1
esac
}
main $*
生产环境iptables脚本讲解
技巧：具备外网ip的服务器不对外的服务最好要做源地址限制。对外提供的服务，不能做源地址限制，例如：80 端口
问题：企业硬件防火墙和iptables防火墙是否要同时用。
解决：可以同时使用企业硬件防火墙一般放在网关位置，相当于大厦的保安，但是楼里的每个屋子还是需要有人锁门的iptables
问题： idc机房部署了硬件防火墙，我们的服务器可以不开防火墙吗？
解答：绝对不可以，大厦有了保安，你的办公室门就不锁了吗？
nat表设置
共享上网设置
linux网关b：
局域网共享的两条命令方法：
方法1：适合于有固定外网地址的：
iptables -t nat -a postrouting -s 192.168.1.0/24 -o eth0 -j snat --to-source 10.0.0.7
(1)-s192.168.1.0/24 办公室或idc内网网段。
(2)-oeth0 为网关的外网卡接口。
(3)-jsnat --to-source 10.0.0.7 是网关外网卡ip地址。
方法2：适合变化外网地址（adsl）：
iptables -t nat -a postrouting -s 192.168.1.0/24 -j masquerade #伪装。
配置如下
第一步：外网服务器配置
[root@lb01 ~]# iptables -t nat -a postrouting -s 172.16.1.0/24 -j snat --to-source 10.0.0.5 [root@lb01 ~]# iptables -t nat -l -n
开启内核转发
net.ipv4.ip_forward = 1 vim /etc/sysctl.conf sysctl -p #生效
需要上网服务器设置
添加路由
route add default gw 172.16.1.5#此处写提供外网的ip地址 vim /etc/resolv.conf
添加 nameserver 223.5.5.5
route -n 检查
案例2：实现把访问10.0.0.5:80的请求转到172.16.1.8:80
[root@web02 ~]# iptables -t nat -a prerouting -d 10.0.0.5 -p tcp --dport 80 -j dnat --to-destination 172.16.1.8:80 [root@web02 ~]# iptables -p forward drop
iptables常用企业案例：
1、linux主机防火墙（表：filter 控制链：input）
2、局域网机器共享上网（表：nat 控制链：postrouting）
iptables -t nat -a postrouting -s 192.168.1.0/24 -o eth0 -j snat --to-source 10.0.0.7
3、外部地址和端口，映射为内部地址和端口（表：nat 控制的链：prerouting）
iptables -t nat -a prerouting -d 10.0.0.7 -p tcp --dport 80 -j dnat --to-destination 192.168.1.8:9000
企业案例：实现外部ip 124.42.34.112 一对一映射到内部server 10.0.0.8
网关ip:eth0:124.42.60.109 eth1:10.0.0.254
首先在路由网关上绑定vip 124.42.34.112，可以是别名或辅助ip的方式。
-a postrouting -s 10.0.0.0/255.255.240.0 -d 124.42.34.112 -j snat --to-source 10.0.0.254 -a prerouting -d 124.42.34.112 -j dnat --to-destination 10.0.0.8 -a postrouting -s 10.0.0.8 -o eth0 -j snat --to-source 124.42.34.112
iptables 生产应用场景
1）局域网共享上网（适合做企业内部局域网上网网关，以及idc机房内网的上网网关[nat postrouting]）
2）服务器防火墙功能（适合idc机房具有外网ip的服务器）（主要是filter input的控制）
3）把外部ip及端口映射到局域网内部（可以一对一ip映射，也可以针对某一个端口映射）也可能是idc把网站的外网vip及网站端口映射到负载均衡器上（硬件防火墙）。（nat prerouting）
4）办公路由器+网关功能（zebra路由+iptables过滤及nat+squid正向透明代理）80+ntop/iftop/iptraf流量查看+tc/cbq流量控制限速
5）邮件的网关
iptables防火墙的应用
1）主机防火墙
2）网关的应用（ip映射，端口映射）
3）过滤信息，监控限制流量及员工上网行为（squid（正向代理缓存加过滤）+ntop（图形流量监控）+通常（流量限制）+iptraf/iftop（流量查看））
如果iptables的服务器升级内核可以实现类似squid的过滤功能
4）网关装杀毒软件监听9999端口，（网关杀毒）
iptables -a prerouting -i eth0 -d 211.167.253.109 -p tcp -m tcp --dport 25 -j dnat --to-destination 192.168.10.6:9025
5）结合zebra配置企业级路由器
映射多个外网ip上网
iptables -t nat -a postrouting -s 10.0.0.1/255.255.255.0 -o eth0 -j snat --to-source 124.42.60.11-124.42.60.16 iptables -t nat -a postrouting -s 172.16.1.0/255.255.255.0 -o eth0 -j snat --to-source 124.42.60.103-124.42.60.106 #iptables -t nat -a postrouting -s 192.168.1.0/22 -o eth0 -j snat --to-source 10.0.0.241-10.0.0.249
问题：
1、2000人被封
2、可用65535端口资源有限
企业案例： ip_conntrack: table full, dropping packet.的错误提示
以下是我的生产环境的某个服务器的配置：
net.ipv4.tcp_fin_timeout = 2 net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_tw_recycle = 1 net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_keepalive_time = 600 net.ipv4.ip_local_port_range = 4000 65000 net.ipv4.tcp_max_syn_backlog = 16384 net.ipv4.tcp_max_tw_buckets = 36000 net.ipv4.route.gc_timeout = 100 net.ipv4.tcp_syn_retries = 1 net.ipv4.tcp_synack_retries = 1 #5、dmesg里面显示ip_conntrack: table full, dropping packet.的错误提示.如何解决。 #以下参数是对iptables防火墙的优化，防火墙不开会提示，可以忽略不理。 c58: net.ipv4.ip_conntrack_max = 25000000 net.ipv4.netfilter.ip_conntrack_max=25000000 net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=180 net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait=120 net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait=60 net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait=120 ################################################################ c64： net.nf_conntrack_max = 25000000 net.netfilter.nf_conntrack_max = 25000000 net.netfilter.nf_conntrack_tcp_timeout_established = 180 net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120 net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60 net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120
调整内核参数/etc/sysctl.conf后，需执行/sbin/sysctl -p使得修改生效。
强调：如果并发比较大，或者日pv多的情况下，开启防火墙要注意，很可能导致网站访问缓慢
大并发（并发1万，pv日3000万）要么购买硬件防火墙，要么不开iptables防火墙
iptables 参数简介
-n 数字
-l 列表
-f 清除所有规则，不会处理默认规则
-x 删除用户自定义的链
-z链的计数器清零
-a 添加规则到指定链的结尾，最后一条
-i 添加规则到指定链的开头，第一条
-t指定表，也可以不指定默认是filter
-p 指定协议(all.tcp,udp.icmp)默认all
-p 设置默认规则
-s指定源地址
-d 目的地址
--dport 指定端口
-j处理的行为 accpet接收、drop丢弃、reject拒绝
-iinput 匹配进入的网卡接口
-ooutput 匹配出去的网卡接口
-m state --state 匹配网络状态