北京北大青鳥校區(qū)學(xué)術(shù)部提供：
北京北大青鳥校區(qū)：Linux的iptables入門教程--設(shè)置靜態(tài)防火墻之一
北京北大青鳥校區(qū)：Linux的iptables入門教程--設(shè)置靜態(tài)防火墻 之二
北京北大青鳥校區(qū)：Linux的iptables入門教程--設(shè)置靜態(tài)防火墻 之三
11、使你的防火墻更加完善
看上面的腳本init部分的倒數(shù)第二句. （北京北大青鳥校區(qū)）
iptables -P INPUT DROP
這是給防火墻設(shè)置默認(rèn)規(guī)則。當(dāng)進(jìn)入我們計算機(jī)的數(shù)據(jù)，不匹配我們的任何一個條件時，那么就由默認(rèn)規(guī)則來處理這個數(shù)據(jù)----drop掉，不給發(fā)送方任何應(yīng)答。（北京北大青鳥校區(qū)）
也就是說，如果你從internet另外的一臺計算機(jī)上ping你的主機(jī)的話，ping會一直停在那里，沒有回應(yīng)。
如果黑客用namp工具對你的電腦進(jìn)行端口掃描，那么它會提示黑客，你的計算機(jī)處于防火墻的保護(hù)之中。我可不想讓黑客對我的計算機(jī)了解太多，怎么辦，如果我們把drop改成其他的動作，或許能夠騙過這位剛出道的黑客呢。（北京北大青鳥校區(qū)）
怎么改呢？將剛才的那一句( iptables -P INPUT DROP )去掉，在腳本的最后面加上
iptables -A INPUT -i ppp0 -p tcp -j REJECT --reject-with tcp-reset
iptables -A INPUT -i ppp0 -p udp -j REJECT --reject-with icmp-port-unreachable
這樣就好多了，黑客雖然能掃描出我們所開放的端口，但是他卻很難知道，我們的機(jī)器處在防火墻的保護(hù)之中。如果你只運行了ftp并且僅僅對局域網(wǎng)內(nèi)部訪問,他很難知道你是否運行了ftp。在此我們給不應(yīng)該進(jìn)入我們機(jī)器的數(shù)據(jù)，一個欺騙性的回答，而不是丟棄(drop)后就不再理會。這一個功能，在我們設(shè)計有狀態(tài)的防火墻中(我這里講的是靜態(tài)的防火墻)特別有用。（北京北大青鳥校區(qū)）
你可以親自操作一下，看一看修改前后用namp掃描得到的結(jié)果會有什么不同？（北京北大青鳥校區(qū)）（未完待續(xù)）
