如何使用CSF添加自定义iptables规则

CSF（configserver firewall）是一种基于iptables的防火墙，为实现iptables规则提供了更简单的方法。有时我们需要添加一些特定的规则（例如，CSF未涵盖的IPtables规则）来添加CSF。如果我们直接从shell使用iptables命令添加这些规则，它们将在下次CSF重启时被删除。

在Linux上安装了CSF防火墙之后，本篇文章将介绍如何使用CSF添加自定义iptables规则。

CSF提供在CSF规则设置之前或之后执行的前脚本和后脚本。例如，如果想打开3306端口（默认mysql）到特定的IP，可以在脚本前或脚本后添加以下规则

csfpre.sh：在csf配置iptables之前运行外部命令

csfpost.sh：在csf配置iptables之后运行外部命令

在CSF规则之前

创建一个文件/etc/csf/csfpre.sh并添加iptables规则，希望在csf应用自己的规则之前执行这些规则。

iptables -I INPUT -s1.2.3.4-p tcp -m state --state NEW -m tcp --dport3306-j ACCEPT

在CSF规则之后

创建一个文件/etc/csf/csfpost.sh并添加iptables规则，希望在csf将自己的规则添加到防火墙之后应用这些规则。

iptables -I INPUT -s1.2.3.4-p tcp -m state --state NEW -m tcp --dport3306-j ACCEPT

重启CSF

要重新启动csf，只需输入下面的命令并查看结果。CSF产生大量的输出，因此可能无法在一个脚本中看到整个输出，因此还可以添加更多命令来查看页面结果。

# csf -r | more

见下面输出的一些部分

...
...
Deleting chain `LOCALOUTPUT'
Deleting chain `LOGDROPIN'
Deleting chain `LOGDROPOUT'Running /etc/csf/csfpre.shDROP  tcp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  tcp dpt:67
DROP  udp opt -- in * out *  0.0.0.0/0  -> 0.0.0.0/0  udp dpt:67
...
...
...
ACCEPT  tcp opt -- in * out !lo  0.0.0.0/0  -> 8.8.8.8  tcp dpt:53
LOCALOUTPUT  all opt -- in * out !lo  0.0.0.0/0  -> 0.0.0.0/0
LOCALINPUT  all opt -- in !lo out *  0.0.0.0/0  -> 0.0.0.0/0
LOCALOUTPUT  all opt    in * out !lo  ::/0  -> ::/0
LOCALINPUT  all opt    in !lo out *  ::/0  -> ::/0Running /etc/csf/csfpost.sh

本篇文章到这里就已经全部结束了，更多其他精彩内容可以关注PHP中文网的linux教程视频栏目！

以上就是如何使用CSF添加自定义iptables规则的详细内容，更多请关注php中文网其它相关文章！