Linux 禁止某个IP地址访问的几种方法

一、概述

这两个文件是tcpd服务器的配置文件，tcpd服务器可以控制外部IP对本机服务的访问。这两个配置文件的格式如下：

#服务进程名:主机列表:当规则匹配时可选的命令操作
server_name:hosts-list[:command]
/etc/hosts.allow控制可以访问本机的IP地址，/etc/hosts.deny控制禁止访问本机的IP。如果两个文件的配置有冲突，以/etc/hosts.deny为准。

/etc/hosts.allow和/etc/hosts.deny两个文件是控制远程访问设置的，通过他可以允许或者拒绝某个ip或者ip段的客户访问linux的某项服务。
比如SSH服务，我们通常只对管理员开放，那我们就可以禁用不必要的IP，而只开放管理员可能使用到的IP段。

二、配置

1、修改/etc/hosts.allow文件
#
# hosts.allow This file describes the names of the hosts which are
# allowed to use the local INET services, as decided
# by the ‘/usr/sbin/tcpd’ server.
#
sshd:210.13.218.*:allow
sshd:222.77.15.*:allow

all:218.24.129.110 #表示接受110这个ip的所有请求！

in.telnetd：140.116.44.0/255.255.255.0
in.telnetd：140.116.79.0/255.255.255.0
in.telnetd：140.116.141.99
in.telnetd：LOCAL
smbd:192.168.0.0/255.255.255.0 #允许192.168.0.网段的IP访问smbd服务

#sendmail:192.168.1.0/255.255.255.0
#pop3d:192.168.1.0/255.255.255.0
#swat:192.168.1.0/255.255.255.0
pptpd:all EXCEPT 192.168.0.0/255.255.255.0
httpd:all
vsftpd:all

以上写法表示允许210和222两个ip段连接sshd服务（这必然需要hosts.deny这个文件配合使用），当然:allow完全可以省略的。

ALL要害字匹配所有情况，EXCEPT匹配除了某些项之外的情况，PARANOID匹配你想控制的IP地址和它的域名不匹配时(域名伪装)的情况。

2、修改/etc/hosts.deny文件

#
# hosts.deny This file describes the names of the hosts which are
# *not* allowed to use the local INET services, as decided
# by the ‘/usr/sbin/tcpd’ server.
#
# The portmap line is redundant, but it is left to remind you that
# the new secure portmap uses hosts.deny and hosts.allow. In particular
# you should know that NFS uses portmap!
sshd:all:deny

in.telnet：ALL

ALL:ALL EXCEPT 192.168.0.1/255.255.255.0,192.168.1.21,
202.10.5.0/255.255.255.0

注意看：sshd:all:deny表示拒绝了所有sshd远程连接。:deny可以省略。

3、启动服务
注意修改完后：
#service xinetd restart
才能让刚才的更改生效。

需求：需要用hosts.deny限制用户通过ssh登录

在/etc/hosts.deny中加入

sshd: all

在/etc/hosts.allow中加入

sshd:all #拒绝所有的ip链接ssh服务

在其他服务器上尝试链接该服务器，却发现还是正常链接

继续找问题，又从网上得知, /etc/hosts.allow 与 /etc/hosts.deny 只对调用了 tcp_wrappers  的才起作用。若是源代码编译的，看看编译时是否寻找了 libwrap.so

在起效果机器下，执行如下命令：

[root@zt ~]# ldd /usr/sbin/sshd | grep libwrap.so

        libwrap.so.0 => /lib64/libwrap.so.0 (0x00002ba28edcc000)

在不起效果机器下，却找不到libwrap.so

在生效的机器上执行：

rpm -qf /lib64/libwrap.so.0  结果如下：

 

tcp_wrappers-7.6-40.7.el5

在不生效的机器上

yum install -y tcp_wrappers

安装后，用ldd /usr/sbin/sshd | grep libwrap.so   还是没有内容

在不生效机器上，继续

yum list |grep openssh   结果：

openssh.x86_64                          5.3p2-24.el5           installed

openssh-clients.x86_64                   5.3p2-24.el5           installed

openssh-server.x86_64                    5.3p2-24.el5           installed

openssh.x86_64                           5.3p2-41.el5_5.1       updates

openssh-askpass.x86_64                   5.3p2-41.el5_5.1       updates

openssh-clients.x86_64                   5.3p2-41.el5_5.1       updates

openssh-server.x86_64                    5.3p2-41.el5_5.1       updates

于是，执行：

yum update -y openssh

再次执行：

ldd /usr/sbin/sshd | grep libwrap.so

有结果显示了。

别的服务器链接该服务器，也会报下面的错误

ssh_exchange_identification: Connection closed by remote host

另一种，也是大家常用的iptalbes来限制IP访问网站

只允许指定的一个IP访问服务器
vi /etc/sysconfig/iptables

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

-A INPUT -s 165.232.121.17 -j ACCEPT
-A INPUT -j DROP
COMMIT

如果你之前的防火墙设置了永久关闭，则需要解除

chkconfig --list 查看启动服务，找到要关闭服务名
chkconfig --level 235 服务名 off 【在等级3和5为开机运行服务】
系统运行级别有0—6，就在/etc/inittab中的0-6

    等级0表示：表示关机

    等级1表示：单用户模式

    等级2表示：无网络连接的多用户命令行模式

    等级3表示：有网络连接的多用户命令行模式

    等级4表示：不可用

    等级5表示：带图形界面的多用户模式

    等级6表示：重新启动2011/10/26
 
 
 
================  以下为摘录 ====================
 

   又有人攻击服务器了，没有办法又的去防，这里简单介绍一种限制指定IP访问的办法。
单个IP的命令是
iptables -I INPUT -s 59.151.119.180 -j DROP

封IP段的命令是
iptables -I INPUT -s 211.1.0.0/16 -j DROP
iptables -I INPUT -s 211.2.0.0/16 -j DROP
iptables -I INPUT -s 211.3.0.0/16 -j DROP

封整个段的命令是
iptables -I INPUT -s 211.0.0.0/8 -j DROP

封几个段的命令是
iptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP

服务器启动自运行
有三个方法：
1、把它加到/etc/rc.local中
2、vi /etc/sysconfig/iptables可以把你当前的iptables规则放到/etc/sysconfig/iptables中，系统启动iptables时自动执行。
3、service   iptables   save 也可以把你当前的iptables规则放/etc/sysconfig/iptables中，系统启动iptables时自动执行。
后两种更好此，一般iptables服务会在network服务之前启来，更安全

解封：
iptables -L INPUT
iptables -L --line-numbers 然后iptables -D INPUT 序号

iptables 限制ip访问
通过iptables限制9889端口的访问（只允许192.168.1.201、192.168.1.202、192.168.1.203）,其他ip都禁止访问
iptables -I INPUT -p tcp --dport 9889 -j DROP
iptables -I INPUT -s 192.168.1.201 -p tcp --dport 9889 -j ACCEPT
iptables -I INPUT -s 192.168.1.202 -p tcp --dport 9889 -j ACCEPT
iptables -I INPUT -s 192.168.1.203 -p tcp --dport 9889 -j ACCEPT

注意命令的顺序不能反了。

时间： 2024-09-20 06:34:52

Linux 禁止某个IP地址访问的几种方法的相关文章

Linux如何禁止特定ip地址访问

  Linux系统中,如果你需要禁止特定ip地址访问来保证系统的安全,只需通过操作iptalbes来实现,下面小编就给大家介绍下Linux如何禁止某个ip地址访问,感兴趣的朋友可以来了解下. 一.概述 这两个文件是tcpd服务器的配置文件,tcpd服务器可以控制外部IP对本机服务的访问.这两个配置文件的格式如下: #服务进程名:主机列表:当规则匹配时可选的命令操作 server_name:hosts-list[:command] /etc/hosts.allow控制可以访问本机的IP地址,/et

过滤和禁止中国IP地址访问的方法

做英文共享软件的作者,为了防止软件被破解,经常需要设置禁用中国地区的IP地址,但很多人不知道怎么进行设置. 如何在apache主机上设置禁用中国的IP地址访问,其实很简单,修改apache的.htaccess文件,在文件中加入下面的语句,即可阻止大部分中国用户的访问.当然,这份IP过滤表有些旧,某些新的IP会漏网,可以适当进行一些修改. 当然,英文网站大多不需要中文用户,如果想阻止中国的搜索引擎对其网站进行索引,也可以利用下面的语句. deny from 61.52deny from 61.53

linux中检查ip被封的3种方法

网站打不开,ssh连不上,这是很多站长的痛.下面例举3种方法,判断IP是不是被屏蔽了. 1,路由分析法 # traceroute 212.239.8.22       //linux下  traceroute to 212.239.8.22 (212.239.8.22), 30 hops max, 60 byte packets   1  192.168.10.1 (192.168.10.1)  0.308 ms  0.515 ms  0.634 ms   2  * * *   3  124.7

apache下如何禁止使用IP地址访问网站.

#在apache2/conf/extra/httpd-vhosts.conf下首行添加 <VirtualHost *:80> DocumentRoot "/usr/local/www/www.abc.com.cn/" ServerAlias 1.1.1.1 <Location /> Order Deny,Allow Deny from all </Location> </VirtualHost> 本栏目更多精彩内容:http://www.

Win7系统禁止修改IP地址怎么设置

Win7系统禁止修改IP地址怎么设置 1.首先打开Win7系统的策略组编辑器,只要点击开始菜单中的运行,然后输入gpedit.msc 回车即可; 2.来到本地策略组编辑器中,选择[用户配置]-->[管理模板]-->[网络]-->[网络连接]; 3.选中[网络连接],在右侧列表中找到"为管理员启用Windows2000网络连接设置"选项,并双击打开属性; 4.将该项配置为"已启用",然后确定; 5.修改好上面一项后,我们还需要设置一项,找到"

如何禁止修改ip地址 防止ip冲突

在局域网中我们常常会遇到ip地址冲突的情况,其实是由于他人随意修改ip地址所造成的,本文为大家介绍一些禁止修改ip地址的方法. 怎样禁止修改ip地址第一招:切断改IP入口 修改ip一般是通过连接属性来修改的.我们可以禁用非管理人员访问连接属性来实现禁止修改ip.开始菜单-运行-输入 "gpedit.msc"--> 管理模板 --> 网络 --> 网络连接,然后把"禁止访问LAN连接组件属性 ""为管理员启用 Windows 2000 网络

Centos使用iptables禁止某些IP的访问的方法

我们拥有自己的linux服务的时候,很多操作都需要有点linux基础才行,不像以往使用人家的虚拟主机那样简单了...大叔经常遇见一些奇葩的人,为了不让他们的访问,不得不禁止某些IP的访问...那么在linux里该如何操作呢?其实办法很简单的!ssh登陆root后 给予以下命令来禁止某个IP的访问: iptables -I INPUT -s ***.***.***.*** -j DROP  那么需要解封一个IP的访问,就需要给予命令: iptables -D INPUT -s ***.***.**

用C语言得到Linux主机的IP地址

#include <stdio.h>; #include <sys/types.h>; #include <sys/socket.h>; #include <sys/ioctl.h>; #include <netinet/in.h>; #include <net/if.h>; #include <net/if_arp.h>; #include <arpa/inet.h>; #include <errno.

局域网电脑只能通过\\IP地址访问怎么办

  访问局域网电脑只能"运行"通过"IP地址"访问,不能通过"计算机名访问",怎么办? 解决方法:在"C:WINDOWSsystem32driversetc"中hosts文件最下面添加"IP地址和计算机名" 即可.