Linux下如何安装与配置APF防火墙(apf,linux,防火墙,开发技术)

APF是一款Linux下的iptables防火墙，由R-fx Networks开发维护，实现代码基本为SHELL。个人觉得这是Linux下最易用，且强大的防火墙脚本。类似级别的还有Bastille，FireHol，Kill my firewall等。但我还是喜欢APF。

一，下载，安装apf

root@linux:/home/zhangy#wgethttp://www.rfxnetworks.com/downloads/apf-current.tar.gzroot@linux:/home/zhangy#tar-xvzfapf-current.tar.gzroot@linux:/home/zhangy#cdapf-9.7-1root@linux:/home/zhangy/apf-9.7-1#./install.sh

安装成功的提示信息如下：

root@linux:/home/zhangy/apf-9.7-1#./install.shInstallingAPF9.7-1:Completed.InstallationDetails:Installpath:/etc/apf/Configpath:/etc/apf/conf.apfExecutablepath:/usr/local/sbin/apfOtherDetails:ListeningTCPports:22,25,111,3306,53976ListeningUDPports:111,917,936,5353,49640,54744Note:Theseportsarenotauto-configured;theyaresimplypresentedforinformationpurposes.Youmustmanuallyconfigureallportoptions.

二，配置apf

vim /etc/apf/conf.apf

IG_TCP_CPORTS="21,22,80,443,3306,8080"//设置服务器允许被访问的TCP端口IG_UDP_CPORTS="53"//设置服务器允许被访问的UDP端口EG_TCP_CPORTS="21,25,80,443,43,2089"//设置服务器允许对外访问的TCP端口EG_UDP_CPORTS="20,21,53"//设置服务器允许对外访问的UDP端口DEVEL_MODE="1"改为DEVEL_MODE="0"DLIST_SPAMHAUS="0"改为DLIST_SPAMHAUS="1"DLIST_DSHIELD="0"改为DLIST_DSHIELD="1"

配置过程中要注意以下几点：

1,根据不同的服务器开放不同的端口，web服务器根mysql服务器开放的端口肯定不一样。

2,DEVEL_MODE=”1″表示在调试模式下，每五分钟重调配置，这样能避免因为错误的配置而使服务器崩溃。

3,设置只通许192.168.1.139远程连接22端口

//在/etc/apf/allow_hosts.rules添加如下信息：tcp:in:d=22:s=192.168.1.139out:d=22:d=192.168.1.139//在/etc/apf/deny_hosts.rules添加如下信息：tcp:in:d=22:s=0/0out:d=22:d=0/0

开始的时候，我以为只要在allow_hosts.rules里面加就行了，改过一后，我换了一个IP，已然可以连接，搞得我很无语。后在deny_hosts.rules加上了上面的规则后，在连接时就提示超时了。allow_hosts.rules和deny_hosts.rules里面都加了规则后，重起apf会提示配置成功的信息，偶然发现的。

apf(12234):{trust}allowoutbound192.168.1.139toport22apf(12234):{trust}allowinboundtcp192.168.1.139toport22

三，apf的常用命令

apf-s//启动APF防火墙apf-r//重启APF防火墙apf-f//刷新APF防火墙配置文件apf-l//列出APF的过虑规则apf-t//APF的日志信息apf-e//将域名解释加入信认规则apf-a//将IP/IP段添加到白名单apf-d//将IP/IP段添加到黑名单apf-u//将IP/IP段从白/黑名单中删除apf-o//将IP/IP段从白/黑名单中删除

四，常用端口列表

21/tcp//ftp22/tcp//ssh25/tcp//smtp53/udp//dns80/tcp//http110/tcp//pop3143/tcp//imap443/tcp//https993/tcp//imaps995/tcp//pop33306/tcp//mysql5432/tcp//postgresql