環境：redhat9ロードされた文字列の時間と他のモジュール
eth0のアクセス外部ネットワーク──ppp0
eth1のアクセスネットワーク──192.168.0.0/ 24
＃！/ binに/ shの
＃
modprobeをipt_MASQUERADE
modprobeはip_conntrack_ftp
のmodprobe ip_nat_ftp
のiptables -F
iptablesの-tのnat -F
iptablesの-X
のiptables -t NAT -X
################### ######## INPUT键###################################
のiptables -P INPUT DROPの
iptablesの-A INPUT -m状態がESTABLISHED、RELATEDはACCEPT -j --state
のtcp -mマルチポート--dports -p INPUT 110,80,25はACCEPT -j -A iptablesの
-Aのtcp -s -p INPUTをiptablesの192.168.0.0/ 139 --dport 24 -j ACCEPT
网＃允许内にサンバ、SMTP、POP3、连接のiptables -A INPUT -i eth1の-p UDP -mマルチ53 -j ACCEPT --dports ＃允许DNSを连接
-A -p TCPは、INPUTは1723年にはACCEPT iptablesの-j --dport
iptablesの-A -p GRE ACCEPT -j INPUT
＃は、外部ネットワーク許可するVPN接続iptablesの-A INPUTは192.186.0.0/24 -p TCPを-s -m状態--state ESTABLISHED、RELATEDはACCEPT -j iptablesの-A -j DROP上記15 --connlimit -i ppp0の-m-connlimit INPUT --syn -p TCP 防ぐために＃DoS攻撃あまりにも多くの着信接続を、それが最大ことができます15初期接続以上、廃棄のINPUT -m-connlimit --syn 192.186.0.0/24 -p TCPを-s -a iptablesのは、-j DROP上記15 --connlimit 防ぐために＃DoS攻撃あまりにも多くの着信接続を、それが最大ことができます15初期接続以上、廃棄のiptables -A -m ICMPの--limit -p INPUTを制限3 / S-レベルINFOはLOG --log --log-接頭辞-j "ICMPパケットの中に："。iptablesの-A -p ICMPは、ドロップに入力-j ＃禁止をICMPの通信
-ping不通のiptables -tのnat -A POSTROUTING -o ppp0の-s 192.168.0.0/24 -j MASQUERADE ＃内网转发のiptables -N SYNフラッドのiptablesの-A INPUT -p tcpの--syn -j SYNフラッドのiptablesの- TCPの-m制限-p IはSYNフラッド--limit 3 / S --limit-バースト6 RETURN -j REJECT -jのiptables -A SYNフラッドを＃防止SYN攻击轻量##########链FORWARD ############# ########################### iptablesの-P FORWARD DROPのiptablesの-A FORWARD -p tcpのは192.168.0.0/24 -mマルチは80,110,21,25,1723がACCEPT -j --dports -s 192.168.0.0/24 -j ACCEPTは53 --dportのiptables -A FORWARD -p udpの-sをiptablesの- FORWARD -p GRE -s 192.168.0.0/24 -j ACCEPT -A FORWARD -pは、ICMP -s 192.168.0.0/24 -j ACCEPT iptablesの
＃許可するVPNクライアントが行くのネットワーク外のVPNネットワーク接続をRELATEDがACCEPT -j -A FORWARD -mの状態がESTABLISHED --state、iptablesのiptablesのにFORWARD -p udpの-m文字列--string "テンセント" -m時間--dport -I 53 - --days月12時30 8：15 --timestop -timestart、火、水、木、金、土-j DROPの土曜日に＃月曜日8：00-12：30禁止QQの通信のiptables -I FORWARD -p 8時15 --timestop --days 12時30分月、火、水、木、金、土-j DROPの--timestart 53 -m udpの"TENCENT" -m時間--dport --stringのString ＃月曜日から土曜日8：00-12：30禁止のQQの通信FORWARD -p udpを--dport 53 -m -I iptablesの 13時30 --timestop午前20時30分--days --timestart文字列--string "テンセント" -m時間を月、火、水、木、金、土-j DROP
iptablesの-I FORWARD -p udpの--dport 53 -m文字列--string "TENCENT" -m時間--timestart 13時30 --timestop午前20時30 --days月、火、水、木、金、土- DROP J
土曜日に＃月曜日13：30-20：30禁止QQ通信-I FORWARDは--string 192.168.0.0/24 -m文字列-s iptablesの 8:15 --timestart "qq.com" -m時間を- --days月12:30 -timestopは、火、水、木、金、土-j DROPの土曜日に＃月曜日8：00-12：30禁止QQページのiptables -I FORWARDは192.168.0.0/24を-s -文字列--stringメートル"qq.com" -m時間--timestart午後08時30分午後01時--timestop --days月、火、水、木、金、土-j DROPの土曜日に＃月曜日13： 30-20：30禁止QQページをFORWARDを--string -I -m文字列をiptablesの192.168.0.0/24 "ay2000.net" -j DROPは-s -I FORWARDは192.168.0を-d iptablesの。0/24 -m文字列--string「ブロードバンドシアター
"-JのDROPは、
ポルノFORWARDを--string -I -m文字列が192.168.0.0/24 -s iptablesの" "-j DROPは
--string -I 80 -m文字列--sport FORWARD -p tcpのをiptablesの"広告「-j DROP
＃無効にay2000.net、ブロードバンド劇場、ポルノ、広告ページが接続されているが、中国は非常に良いではありません！iptablesの-A -m ipp2p --edk --kazaa --bit FORWARD -j DROPのFORWARD -pのtcp -mをipp2p -A iptablesの- -j -ares DROP iptablesの-A FORWARD -m -p UDP ipp2p --kazaa -j DROP ＃は禁止BT接続--syn --dport 80のiptables -A FORWARD -p tcpのを -m connlimit --connlimit、上記15 - DROPマスク24 -j connlimitの＃は、各可能IP同時に15 80ポートフォワーディングを############################### ######################################## のsysctl -w = 1がnet.ipv4.ip_forwardという名前で、 ＆>を/ dev / null
＃オープン転送############################################### ######################## のsysctl -w net.ipv4.tcp_syncookies = 1＆>を/ dev / null ＃オープンsyncookie（軽量防ぐDOS攻撃を）のsysctl -w = 3800＆net.ipv4.netfilter.ip_conntrack_tcp_timeout_established>を/ dev / null ＃デフォルトの設定のTCPコネクション認知症の長さ（このオプションは大幅に接続の数を減らすことができます）3800秒のsysctl -w net.ipv4.ip_conntrack_max = 300000＆> / dev / null ＃サポートする最大接続ツリーを設定する（これはメモリに及び係る30Wをiptablesの各バージョンに接続が必要以上300バイト）################# ################################################## ####はINPUTがACCEPT -j -s -I 192.168.0.50をiptablesの-I 192.168.0.50はFORWARDがACCEPT -j -s iptablesの＃1 192.168.0.50は私のマシンでは、すべてのリリース！