微信公众号：centoscn
CentOS下vsftpd服务器的安全设置
在搭建vsftp的过程中对服务的安全是致关重要的,查看日志是否有黑客入侵,是否避免下次黑客的破解,现在我写出ftp觉的安全管理,希望大家有帮助.
1.开启vsftp的日志功能,默认是关闭的
xferlog_enable=YES
xferlog_file=/var/log/xferlog
2.关于匿名用户的权限匿名用户上传
anonymous_enable=YES
--匿名用户的启用
anon_upload_enable=YES
--匿名用户的上传
anon_mkdir_write_enable=YES
--匿名用户是否创建文件夹
anon_other_write_enable=YES
--匿名用户是重命名和删除
anon_umask=070
--匿名用户上传文件的权限707(777-070=707)
3.关于本地用户的权限
local_enable=YES
--是否启用本地用户
write_enable=YES
--本地用户是否有写入删除重命名权限
local_umask=022
--本地用户上传文件的权限755(777-022=755)
4.指定上传文件的所有者
chown_uploads=YES
--启用上传改变所有者
chown_username=tong
--上传的文件所属主是tong
5.不允许本地用户切换到其它目录(将用户锁定在ftp根目录)
chroot_local_user=YES
--开户本地用户验证功能
chroot_list_file=/etc/vsftpd/chroot_list
--将用户写入文件
6.允许本地用户任意切换目录
chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list
--允许文件中的用户切换目录
&7.禁止本地用户不能登陆ftp服务
[root@centos2 ~]# ll /etc/vsftpd/
-rw-r--r--. 1 root root
9 22:30 chroot_list
-rw-------. 1 root root
9 22:50 ftpusers
--将用户写入文件就不能登陆了,还会提示输入密码
-rw-------. 1 root root
9 22:53 user_list
--将用户写入文件用户就不能登陆了,不提示输入密码直接拒绝
-rw-------. 1 root root 4649 Jan 12 18:00 vsftpd.conf
-rwxr--r--. 1 root root
338 Feb 19
2013 vsftpd_conf_migrate.sh
[root@centos2 ~]#
8.允许哪些本地用户登陆ftp服务
[root@centos2 ~]# vim /etc/vsftpd/vsftpd.conf
userlist_deny=NO
--添加这一行
[root@centos2 ~]# ll /etc/vsftpd/
-rw-r--r--. 1 root root
9 22:30 chroot_list
-rw-------. 1 root root
9 22:50 ftpusers
-rw-------. 1 root root
9 22:53 user_list
--只允许文件里面的用户可以登陆ftp服务
-rw-------. 1 root root 4666 Jan 12 18:13 vsftpd.conf
-rwxr--r--. 1 root root
338 Feb 19
2013 vsftpd_conf_migrate.sh
[root@centos2 ~]#
9.禁止哪些IP不能登陆ftp服务
[root@centos2 ~]# vim /etc/hosts.deny
--禁止IP不能ftp
119.97.184.208
10.用防火墙开放包过滤
[root@centos ~]# iptables -I INPUT -p tcp --dport 21 -j ACCEPT
11.用Selinux安全上下文控制ftp的目录权限
[root@centos ~]# getsebool
-a |grep ftp
allow_ftpd_anon_write --& off
allow_ftpd_full_access --& off
allow_ftpd_use_cifs --& off
allow_ftpd_use_nfs --& off
allow_tftp_anon_write --& off
ftp_home_dir --& off
ftpd_connect_db --& off
ftpd_disable_trans --& off
ftpd_is_daemon --& on
httpd_enable_ftp_server --& off
tftpd_disable_trans --& off
[root@centos ~]# setsebool ftp_home_dir on
--具体参数自己因情况设置
------分隔线----------------------------CentOS防火墙的设置与优化 - 简书
CentOS防火墙的设置与优化
一、设置主机防火墙。
开放: 服务器的：web服务、vsftpd 文件服务、ssh远程连接服务、ping 请求。1、开放sshd服务开放流入本地主机，22端口的数据报文。[root@stu13 ~]# iptables -A INPUT --destination 192.168.60.99 -p tcp --dport 22 -j ACCEPT开放从本地主机22端口流出的数据报文[root@stu13 ~]# iptables -A OUTPUT --source 192.168.60.99 -p tcp --sport 22 -j ACCEPT修改默认策略为：DROP。 目的禁止所有报文通过本机的TCP/IP协议栈，再开放指定端口的服务。
[root@stu13 ~]# iptables -P INPUT DROP
[root@stu13 ~]# iptables -P OUTPUT DROP
如：[root@stu13 ~]# iptables -L -n -vChain INPUT (policy DROP 554 packets, 53329 bytes) ----& 已经阻止到数据包了pkts bytes target prot opt in
destination ACCEPT tcp
192.168.60.99
tcp dpt:22匹配到数据包Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)pkts bytes target prot opt in
destinationChain OUTPUT (policy DROP 0 packets, 0 bytes)pkts bytes target prot opt in
destination681 96248 ACCEPT tcp
192.168.60.99
tcp spt:222、开放本机提供的web服务：开放访问本机的80,443服务。开放流入本地主机，80端口的数据报文[root@stu13 ~]# iptables -A INPUT --dst 192.168.60.99 -p tcp --dport 80 -j ACCEP开放从本地主机80端口流出的数据报文[root@stu13 ~]# iptables -A OUTPUT --src 192.168.60.99 -p tcp --sport 80 -j ACCEPT开放流入本地主机，443端口的数据报文[root@stu13 ~]# iptables -A INPUT --dst 192.168.60.99 -p tcp --dport 443 -j ACCEPT开放从本地主机443端口流出的数据报文[root@stu13 ~]# iptables -A OUTPUT --src 192.168.60.99 -p tcp --sport 443 -j ACCEPT3、本机可以接受ping开放应用层协议为icmp数据报文流入本机[root@stu13 ~]# iptables -A INPUT -p icmp -j ACCEPT开放应用层协议为icmp数据报文流出本机[root@stu13 ~]# iptables -A OUTPUT -p icmp -j ACCEPT4、开放被动模式FTP服务开放命令连接的21端口装载模块：这是连接追踪ftp服务器的数据连接的模块。[root@stu13 httpd-2.4.9]# modprobe nf_conntrack_ftp查看是否装载成功[root@stu13 ~]# lsmod
| grep "nf_conntrack_ftp"nf_conntrack_ftp
0nf_conntrack
3 nf_conntrack_ftp,nf_conntrack_ipv4,xt_开放应用层协议为tcp，目标端口为21的数据报文流入本机[root@stu13 ~]# iptables -A INPUT --dst 192.168.60.99 -p tcp --dport 21 -m state --state NEW -j ACCEPT使用iptables的状态追踪功能，追踪ftp服务器的数据传输端口，意思是说：只要是找开的数据传输连接传输的数据报文与某个已经建立连接有关连，就允许开数据包通过。[root@stu13 ~]# iptables -A INPUT --dst 192.168.60.99 -m state --state ESTABLISHED,RELATED -j ACCEPT数据流出[root@stu13 ~]# iptables -A OUTPUT --src 192.168.60.99 -m state --state RELATED,ESTABLISHED -j ACCEPT二、测试：主机防火墙开放的服务是否成功：、PING 测试：本机PING其它主机[root@stu13 ~]# ping -c 1 192.168.60.1PING 192.168.60.1 (192.168.60.1) 56(84) bytes of data.64 bytes from 192.168.60.1: icmp_seq=1 ttl=64 time=1.81 ms--- 192.168.60.1 ping statistics ---1 packets transmitted, 1 received, 0% packet loss, time 2msrtt min/avg/max/mdev = 1.812/1.812/1.812/0.000 ms在windows下ping 192.168.60.99主机D:\&ping 192.168.60.99正在 Ping 192.168.60.99 具有 32 字节的数据:来自 192.168.60.99 的回复: 字节=32 时间=2ms TTL=64来自 192.168.60.99 的回复: 字节=32 时间&1ms TTL=64192.168.60.99 的 Ping 统计信息:数据包: 已发送 = 2，已接收 = 2，丢失 = 0 (0% 丢失)，往返行程的估计时间(以毫秒为单位):最短 = 0ms，最长 = 2ms，平均 = 1ms2、测试80服务[root@nfs ~]# curl -eI http://192.168.60.99/index.htmlThis Server is OK...3、在Windows 下测试：文件服务器。D:\&ftp 192.168.60.99连接到 192.168.60.99。220 (vsFTPd 2.2.2)用户(192.168.60.99:(none)): ftp331 Please specify the password.密码:230 Login successful.ftp& get pub/inittab200 PORT command successful. Consider using PASV.150 Opening BINARY mode data connection for pub/inittab (884 bytes).226 Transfer complete.ftp: 收到 884 字节，用时 0.00秒 千字节/秒。ftp&4、测试连接到ssh服务[root@nfs ~]# ssh 192.168.60.99Last login: Mon Aug 18 17:51:20 2014三、分析优化防火墙设置开放特定服务后的filter表的规则如下：[root@stu13 ~]# iptables --line-numbers -L -n -vChain INPUT (policy DROP 1911 packets, 223K bytes)num
pkts bytes target
prot opt in
destination1
192.168.60.99 tcp dpt:222
4545 ACCEPT
192.168.60.99 tcp dpt:803
192.168.60.99 tcp dpt:4434
288 ACCEPT
0.0.0.0/05
624 ACCEPT
192.168.60.99 tcp dpt:21 state NEW6
8122 ACCEPT
192.168.60.99 state RELATED,ESTABLISHEDChain FORWARD (policy DROP 0 packets, 0 bytes)num
pkts bytes target
prot opt in
destinationChain OUTPUT (policy DROP 8 packets, 480 bytes)num
pkts bytes target
prot opt in
destination1
192.168.60.99
tcp spt:222
4522 ACCEPT
192.168.60.99
tcp spt:803
192.168.60.99
tcp spt:4434
288 ACCEPT
0.0.0.0/05
328 22614 ACCEPT
192.168.60.99
state RELATED,ESTABLISHED1、优化策略：将多条规则合并成一条。(1)、使用umltiport扩展模块合并端口模块:[root@stu13 httpd-2.4.9]# ll /lib/xtables-1.4.7/ | grep "multiport"-rwxr-xr-x. 1 root root 10772 Feb 22
2013 libxt_multiport.so[root@stu13 httpd-2.4.9]# iptables -I INPUT --dst 192.168.60.99 -p tcp -m multiport --dports 80,443,22 -j ACCEPT[root@stu13 httpd-2.4.9]# iptables -D INPUT 2[root@stu13 httpd-2.4.9]# iptables -D INPUT 2[root@stu13 httpd-2.4.9]# iptables -D INPUT 2[root@stu13 httpd-2.4.9]# iptables -I OUTPUT --src 192.168.60.99 -p tcp -m multiport --sports 80,443,22 -j ACCEPT[root@stu13 httpd-2.4.9]# iptables -D OUTPUT 2[root@stu13 httpd-2.4.9]# iptables -D OUTPUT 2[root@stu13 httpd-2.4.9]# iptables -D OUTPUT 2(2)、查看合并端口后filter过滤表[root@stu13 ~]# iptables --line-numbers -L -n -vChain INPUT (policy DROP 20 packets, 2060 bytes)num
pkts bytes target
prot opt in
destination1
813 49587 ACCEPT
192.168.60.99
multiport dports 80,443,222
288 ACCEPT
0.0.0.0/03
676 ACCEPT
192.168.60.99
tcp dpt:21 state NEW4
9102 ACCEPT
192.168.60.99
state RELATED,ESTABLISHEDChain FORWARD (policy DROP 0 packets, 0 bytes)num
pkts bytes target
prot opt in
destinationChain OUTPUT (policy DROP 0 packets, 0 bytes)num
pkts bytes target
prot opt in
destination1
165 21277 ACCEPT
192.168.60.99
multiport sports 80,443,222
288 ACCEPT
0.0.0.0/03
355 24153 ACCEPT
192.168.60.99
state RELATED,ESTABLISHED2、使用iptables/netfiltes提供的状态追踪功能优化防火墙；iptables/netfiter提供有一个状态追踪功能，只要第一次连接都是NEW状态。下一次连接只要在状态追踪表的计数器的时间没到之前，该客户端重新建立的连接，iptables/netfilter 也认为该连接是ESTABLISHED状态的。通常情况下，处于ESTABLISHED状态的连接要比处于NEW状态的连接要多得多，那么意味着：ESTABLISHED状态的连接传输的数据报文通常要比NEW状态的连接传输的数据报文要多得多。数据报文经过某链时，数据报文与链中的定义的规则一一做匹配，顺序是从上到下依次做匹配操作。如果数据报文的某些特征，如：源IP地址、目标IP地址、源端口、目标端口、连接的状态、TCP的标志位等，与链中定义的规则匹配到了，就执行【-j】后面的 action(如：DROP|ACCEPT等)。如果数据报文与它经过的链中的规则从上到下一一做匹配，都没有匹配到的话，就执行iptables中定义的默认规policy。因为，定义防火墙规则的时候，首先拒绝所有(默认策略都为：DROP)，开放某些服务的数据报文通过.处于ESTABLISHED状态的连接传输的数据报文通常是安全的，应该允许它通过，而数据报文通过的链的要做规则检查的规则又有很多，而处于ESTABLISHED状态的连接，要传输的数据报文很多，那么怎么样要它快速通过iptables/netfilter的防火墙的规则检查呢？2(1)、根据防火墙做数据报文的匹配规则，应该让处于ESTABLISHED状态的连接传输的数据报文快速
通过变卦的规则检查，意思是说：防火墙根据连接追踪功能一发现该数据报文是ESTABLISHED
状态的连接发送的，立马发行。做法：把允许处于ESTABLISHED连接的数据报文通过的策略放
在链的所有规则的最前面。(2)、状态检测，是连接追踪模块实现的。连接追踪模块在内核内存中维护一张追踪表，记录每个连
接的状态，以及连接处于ESTABLISHED的状态的超时时间和可以追踪多少个连接以及目前正追
踪的连接数等等。注意：要根据实际应用开启或关闭连接追踪功能。连接追踪模块可以追踪的连接数量[root@stu13 httpd-2.4.9]# cat /proc/sys/net/nf_conntrack_max31928连接处于ESTABLISHED状态的超时时长[root@stu13 /]# cat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established432000
约等于5天。当前追踪的所有连接：[root@stu13 httpd-2.4.9]# cat /proc/sys/net/netfilter/nf_conntrack_count3注意：如果，我们启用了iptables/netfilterr 的连接追踪功能的话，当前追踪的所有连接数已经达到连接追踪模块可以追踪的连接数量的上限了，且连接追踪到的连接处于ESTABLISHED状态的连接，还没到失效时间。后续新的连接只能等待，iptables/netfilter的连接追踪表有连接的超时时间到。才可以通过我们的防火墙。而防火墙定义的ESTABLISHED状态的走超时时长为5天，而我们的TCP连接在TCP的各种状态的超时时长，都是很短的。所以。会导致大量的后续新的连接被拒绝。也就是出现连接服务器超时的情况发生。所以，根据实际应用调整这些参数很关键。或比较繁忙的服务器就不应该开启iptables/netflter的连接追踪功能。iptables/netfilter的连接追踪功能是通过下述扩展模块实现的。[root@stu13 httpd-2.4.9]# ll /lib/xtables-1.4.7/ | grep "state"-rwxr-xr-x. 1 root root
5860 Feb 22
2013 libxt_state.so提供，允许发往特定端口处于ESTABLISHED状态连接的数据报文通过TCP/IP协议栈，且把该规则放在链的所有规则的最前面。INPUT表[root@stu13 httpd-2.4.9]# iptables -I INPUT 1 --dst 192.168.60.99 -p tcp -m multiport --dports 80,443,22 -m state --state
ESTABLISHED,NEW -j ACCEPT[root@stu13 httpd-2.4.9]# iptables -D INPUT 2OUTPUT表：允许处于ESTABLISHED状态连接的数据报文从本机出去。且把该规则放在链的所有规则的最前面。[root@stu13 httpd-2.4.9]# iptables -I OUTPUT 1 --src 192.168.60.99 -p tcp -m multiport --sports 80,443,22 -m state --state ESTABLISHE -j ACCEPT[root@stu13 ~]# iptables -D OUTPUT 2使用状态检测功能优化后的：[root@stu13 ~]# iptables --line-numbers -L -n -vChain INPUT (policy DROP 138 packets, 12760 bytes)num
pkts bytes target
prot opt in
destination1
760 49519 ACCEPT
192.168.60.99
multiport dports 80,443,22 state NEW,ESTABLISHED2
1128 ACCEPT
0.0.0.0/03
936 ACCEPT
192.168.60.99
tcp dpt:21 state NEW4
299 13853 ACCEPT
192.168.60.99
state RELATED,ESTABLISHEDChain FORWARD (policy DROP 0 packets, 0 bytes)num
pkts bytes target
prot opt in
destinationChain OUTPUT (policy DROP 0 packets, 0 bytes)num
pkts bytes target
prot opt in
destination1
192.168.60.99
multiport sports 80,443,22 state ESTABLISHED2
1128 ACCEPT
0.0.0.0/03
465 30940 ACCEPT
192.168.60.99
state RELATED,ESTABLISHED分析：因为，只要是ESTABLISHED状态的连接的数据报文，是不会有问题的。不需要检测端口了。这样提高了iptable/netfiler检测数据报文的速度。只要是ESTABLISHED状态的连接的数据报文都允许通过。所以，对上述的INPUT表的第一条规则进行拆分，如下1[root@stu13 httpd-2.4.9]# iptables -I INPUT 1 --dst 192.168.60.99 -p tcp -m state --state ESTABLISHED -j ACCEPT并把发往指定端口的数据报文，进行NEW状态的数据报文检测组成一条规则[root@stu13 httpd-2.4.9]# iptables -I INPUT 2 --dst 192.168.60.99 -p tcp -m multiport --dports 80,443,21,22 -m state --state NEW -j ACCEPT修改第三条规则[root@stu13 httpd-2.4.9]# iptables -R INPUT 3 --dst 192.168.60.99 -m state --state RELATED -j ACCEPT删除[root@stu13 httpd-2.4.9]# iptables -D INPUT 3[root@stu13 httpd-2.4.9]# iptables -D INPUT 4修改后INPUT表变成[root@stu13 ~]# iptables --line-numbers -L -n -vChain INPUT (policy DROP 129 packets, 11581 bytes)num
pkts bytes target
prot opt in
destination1
192.168.60.99
state ESTABLISHED2
1820 ACCEPT
192.168.60.99
multiport dports 80,443,21,22 state NEW3
364 ACCEPT
192.168.60.99
state RELATED4
0.0.0.0/0。。。。。。分析OUTPU表Chain OUTPUT (policy DROP 0 packets, 0 bytes)num
pkts bytes target
prot opt in
destination1
192.168.60.99
multiport sports 80,443,22 state ESTABLISHED2
1608 ACCEPT
0.0.0.0/03
547 36931 ACCEPT
192.168.60.99
state RELATED,ESTABLISHED分析：跟上述一样，允许处于ESTABLISHED状态的连接的数据报文通过TCP/IP协议栈。修改OUTPUT表的第1条与第3条规则修改第一条规则[root@stu13 httpd-2.4.9]# iptables -R OUTPUT 1 --src 192.168.60.99 -p tcp -m state --state ESTABLISHED -j ACCEPT修改第三条规则[root@stu13 httpd-2.4.9]# iptables -R OUTPUT 3 --src 192.168.60.99 -m state --state RELATED -j ACCEPT修改后的OOUPUT表的规则如下：[root@stu13 ~]# iptables --line-numbers -L -n -v。。。。。Chain OUTPUT (policy DROP 0 packets, 0 bytes)num
pkts bytes target
prot opt in
destination1
148K ACCEPT
192.168.60.99
state ESTABLISHED2
1608 ACCEPT
0.0.0.0/03
192.168.60.99
state RELATED经过使用端口合并和iptables/netfilter的状态追踪功能优化规则表之后：[root@stu13 ~]# iptables --line-numbers -L -n -vChain INPUT (policy DROP 540 packets, 53525 bytes)num
pkts bytes target
prot opt in
destination1
225 10816 ACCEPT
192.168.60.99
state ESTABLISHED2
192.168.60.99
multiport dports 80,443,21,22 state NEW3
192.168.60.99
state RELATED4
0.0.0.0/0Chain FORWARD (policy DROP 0 packets, 0 bytes)num
pkts bytes target
prot opt in
destinationChain OUTPUT (policy DROP 0 packets, 0 bytes)num
pkts bytes target
prot opt in
destination1
194 27924 ACCEPT
192.168.60.99
state ESTABLISHED2
0.0.0.0/03
192.168.60.99
state RELATED3、使用自定义链分成分成等级iptables规则：如果，防火墙规则很多的话，这样写就显示得很乱，不明了。造成后续添加规则就在很多不便。因为，每种服务的访问量都不一样。简单的合并多个端口的做法并是不很理想。最好为开放的每个服务都使用一条自定义链。这样，以后我们要为某服务添加或删除规则只要找到该服务对应的自定义链，就可以操作了，很方便。如下：(1)、为http 80服务自定义一条链[root@stu13 ~]# iptables -t filter -N http_in[root@stu13 ~]# iptables -A http_in -d 192.168.60.99 -p tcp --dport 80
-m state --state NEW -j ACCEPTINPUT链调用该链[root@stu13 ~]# iptables -I INPUT 2 -d 192.168.60.99 -p tcp --dport 80 -j http_in如果，使用自定义规则检测数据报文没有匹配到则返回主链INPUT1[root@stu13 httpd-2.4.9]# iptables -A http_in -j RETURN(2)、为https 443 服务自定义一条链[root@stu13 ~]# iptables -t filter -N https_in[root@stu13 ~]# iptables -A https_in -d 192.168.60.99 -p tcp --dport 443 -m state --state NEW -j ACCEPT调用自定义链[root@stu13 httpd-2.4.9]# iptables -I INPUT 3 -d 192.168.60.99 -p tcp --dport 443 -j https_in如果，使用自定义规则检测数据报文没有匹配到则返回主链INPUT[root@stu13 httpd-2.4.9]# iptables -A https_in -j RETURN(3)、为ssh服务自定义一条链[root@stu13 ~]# iptables -t filter -N ssh_in[root@stu13 ~]# iptables -A ssh_in -d 192.168.60.99 -p tcp --dport 22 -m state --state NEW -j ACCEPT调用该链[root@stu13 httpd-2.4.9]# iptables -I INPUT 4 -d 192.168.60.99 -p tcp --dport 22 -j ssh_in如果，使用自定义规则检测数据报文没有匹配到则返回主链INPUT[root@stu13 httpd-2.4.9]# iptables -A ssh_in -j RETURN(4)、为vsftp文件服务自定义一条链[root@stu13 ~]# iptables -t filter -N vsftp_in[root@stu13 ~]# iptables -A vsftp_in -d 192.168.60.99 -p tcp --dport 21 -m state --state NEW -j ACCEPT调用该链[root@stu13 httpd-2.4.9]# iptables -I INPUT 5 -d 192.168.60.99 -p tcp --dport 21 -j vsftp_in如果，使用自定义规则检测数据报文没有匹配到则返回主链INPUT[root@stu13 httpd-2.4.9]# iptables -A vsftp_in -j RETURN(5)、删除INPUT链的第6条规则(端口合并那条链)1[root@stu13 httpd-2.4.9]# iptables -D INPUT 6使用自定义链后，规则表如下：[root@stu13 ~]# iptables --line-numbers -L -n -vChain INPUT (policy DROP 928 packets, 83409 bytes)num
pkts bytes target
prot opt in
destination1
192.168.60.99
state ESTABLISHED2
312 http_in
192.168.60.99
tcp dpt:803
0 https_in
192.168.60.99
tcp dpt:4434
104 ssh_in
192.168.60.99
tcp dpt:225
104 vsftp_in
192.168.60.99
tcp dpt:216
416 ACCEPT
192.168.60.99
state RELATED7
672 ACCEPT
0.0.0.0/0Chain FORWARD (policy DROP 0 packets, 0 bytes)num
pkts bytes target
prot opt in
destinationChain OUTPUT (policy DROP 2 packets, 120 bytes)num
pkts bytes target
prot opt in
destination1
192.168.60.99
state ESTABLISHED2
192.168.60.99
state RELATED3
672 ACCEPT
0.0.0.0/0Chain http_in (1 references)num
pkts bytes target
prot opt in
destination1
312 ACCEPT
192.168.60.99
tcp dpt:80 state NEW2
0.0.0.0/0Chain https_in (1 references)num
pkts bytes target
prot opt in
destination1
192.168.60.99
tcp dpt:443 state NEW2
0.0.0.0/0Chain ssh_in (1 references)num
pkts bytes target
prot opt in
destination1
104 ACCEPT
192.168.60.99
tcp dpt:22 state NEW2
0.0.0.0/0Chain vsftp_in (1 references)num
pkts bytes target
prot opt in
destination1
104 ACCEPT
192.168.60.99
tcp dpt:21 state NEW2
0.0.0.0/0说明：在INPUT链，根据实际应用情况，服务的访问繁忙程序调整，http_in、https_in、ssh_in、vsftp_in的先后顺序，来优化iptables/netfilter的效率。有了自定义链后，数据报文的检查流程如下图：
四、测试优化后的防火墙策略是否成功：1、测试 http 80 服务12[root@nfs ~]# curl http://192.168.60.99/index.htmlThis Server is OK...2、测试 ssh 服务[root@nfs ~]# ssh 192.168.60.99Last login: Mon Aug 18 20:21:25 2014 from 192.168.60.883、测试vsftp 服务D:\&ftp 192.168.60.99连接到 192.168.60.99。220 (vsFTPd 2.2.2)用户(192.168.60.99:(none)): ftp331 Please specify the password.密码:230 Login successful.ftp& get pub/inittab200 PORT command successful. Consider using PASV.150 Opening BINARY mode data connection for pub/inittab (884 bytes).226 Transfer complete.ftp: 收到 884 字节，用时 0.07秒 12.63千字节/秒。ftp&4、测试ping(1)、ping本主机D:\&ping 192.168.60.99正在 Ping 192.168.60.99 具有 32 字节的数据:来自 192.168.60.99 的回复: 字节=32 时间=1ms TTL=64来自 192.168.60.99 的回复: 字节=32 时间&1ms TTL=64来自 192.168.60.99 的回复: 字节=32 时间&1ms TTL=64来自 192.168.60.99 的回复: 字节=32 时间&1ms TTL=64192.168.60.99 的 Ping 统计信息:数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，往返行程的估计时间(以毫秒为单位):最短 = 0ms，最长 = 1ms，平均 = 0ms(2)、本主机ping别的主机1[root@stu13 ~]# ping -c 1 192.168.60.88PING 192.168.60.88 (192.168.60.88) 56(84) bytes of data.64 bytes from 192.168.60.88: icmp_seq=1 ttl=64 time=0.590 ms--- 192.168.60.88 ping statistics ---1 packets transmitted, 1 received, 0% packet loss, time 5msrtt min/avg/max/mdev = 0.590/0.590/0.590/0.000 ms(3)、回环地址1[root@stu13 ~]# ping -c 1 127.0.0.1PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.375 ms--- 127.0.0.1 ping statistics ---1 packets transmitted, 1 received, 0% packet loss, time 0msrtt min/avg/max/mdev = 0.375/0.375/0.375/0.000 ms