怎么配置系统防火墙规则以防范针对网络物理拓扑的扫描攻击教程-安全-PHP中文网

防范网络物理拓扑扫描的核心是主动“失真”网络视图，需从协议层（禁用icmp三类响应）、响应行为（静默丢弃非白名单端口syn包）、连接状态（限速限连）三维度协同防御。

怎么配置系统防火墙规则以防范针对网络物理拓扑的扫描攻击教程

防范针对网络物理拓扑的扫描攻击，核心不是“隐藏IP”，而是让攻击者无法通过基础探测手段（如 traceroute、ICMP探测、端口扫描）还原你的网络结构。这类攻击不直接打垮服务，却为后续渗透铺路——防火墙规则必须从协议层、响应行为、连接状态三个维度主动“失真”网络视图。

traceroute依赖三种ICMP报文：Time Exceeded（路由器返回）、Destination Unreachable（目标主机返回）、Echo Reply（Ping回复）。只关Ping远远不够。

Linux（iptables）：屏蔽三类报文入站响应
sudo iptables -A OUTPUT -p icmp --icmp-type time-exceeded -j DROP
sudo iptables -A OUTPUT -p icmp --icmp-type destination-unreachable -j DROP
sudo iptables -A OUTPUT -p icmp --icmp-type echo-reply -j DROP
firewalld（CentOS/RHEL）：
sudo firewall-cmd --add-rich-rule='rule protocol value="icmp" icmp-type="time-exceeded" drop' --permanent
sudo firewall-cmd --add-rich-rule='rule protocol value="icmp" icmp-type="destination-unreachable" drop' --permanent
sudo firewall-cmd --reload
Windows防火墙：在“高级设置”中新建出站规则，协议选ICMPv4，自定义ICMP类型，分别填入代码11（Time Exceeded）、3（Destination Unreachable）、0（Echo Reply），动作为“阻止连接”

扫描器发SYN包试探端口，若服务器回应RST（拒绝）或SYN-ACK（开放），就暴露了服务存在。可通过丢弃非白名单端口的SYN包，让扫描器收不到任何响应——即“静默丢弃”，制造“无应答黑洞”。

CyberCut

一款AI视频创作工具，主要用于快手旗下AI视频剪辑工具，帮助用户将长视频转化为短视频，适合需要提升相关任务效率的用户。

下载

Linux示例（仅放行SSH 22、HTTP 80、HTTPS 443）：
sudo iptables -A INPUT -p tcp ! --dports 22,80,443 -m state --state NEW -j DROP
sudo iptables -A INPUT -p udp ! --dports 53 -m state --state NEW -j DROP
（注意：UDP需谨慎，DNS等必要服务保留）
Windows：新建入站规则 → 类型选“端口” → 协议TCP → 特定本地端口填22,80,443 → 动作“允许连接”；再建一条规则，协议TCP → 所有端口 → 动作“阻止连接”，并确保它排在允许规则之后（优先级更低）

单纯靠协议控制不够，需结合日志识别行为特征。重点拦截两类IP：
• 全网公开的扫描器C段（如Shodan、Censys常用出口IP段）
• 本机access.log中1分钟内请求>50次且路径高度随机（如遍历/wp-admin/、/phpmyadmin/、/backup.zip）的源IP

一键封禁脚本思路（Linux）：
提取nginx日志中高频异常IP → 用iptables -A INPUT -s x.x.x.x -j DROP加入黑名单 → 每小时自动清理超24小时未再触发的IP
云平台补充：阿里云/腾讯云安全组中，添加入方向规则，源IP填192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8（私有地址段），协议全部，动作“拒绝”——防止内网横向扫描外溢
避免误伤：百度、Google爬虫IP段需提前白名单（可查官方IP列表），或通过User-Agent+频率限速替代硬封

拓扑扫描常伴随短连接风暴（如SYN Flood、UDP碎片扫描）。防火墙需区分“合法会话”与“探测噪声”。

Linux connlimit限制单IP并发连接数：
sudo iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 --connlimit-mask 32 -j REJECT --reject-with tcp-reset
firewalld速率限制（每分钟最多10个新连接）：
sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="0.0.0.0/0" port port="80" protocol="tcp" limit value="10/m" accept' --permanent
Windows：使用Netsh命令开启连接限制（需管理员权限）：
netsh advfirewall set allprofiles state on
netsh advfirewall set allprofiles settings maxconns 50