FTP服务器的防火墙通用设置规则

此FTP服务器的防火墙通用设置规则适用于Windows(包括服务器版和桌面版)、Linux服务器以及可能的其他 *** 作系统。
在配置好FTP服务器后将发起FTP服务的程序(如Windows的svchostexe或FileZilla
serverexe)而不仅仅是端口允许通过防火墙，程序(此处特指Windows的svchostexe)不用带参数。
svchostexe这个例外，必须通过控制面板中的
“
允许程序通过
Windows
防火墙通信”
，使得
“Windows
服务主进程”
(
svchostexe
，C:WindowsSystem32svchostexe
)允许通过防火墙才可以。
FileZilla也是如此，但无需仅使用控制面板中的
“
允许程序通过
Windows
防火墙通信”，而也可以使用“高级安全Windows防火墙”进行设置
。

不能。需要完成以下几个步骤：
1、确认服务器的基本信息：例如IP地址、用户名和密码等。
2、配置服务器环境：安装所需的 *** 作系统、软件和服务等。
3、配置网络和安全设置：例如防火墙、SSL证书、域名解析等。

1、首先，需要在防火墙上开启虚拟化授权功能，以便让防火墙上的服务器能够接收客户机的虚拟化授权请求。具体步骤如下：
a) 登录防火墙，打开“服务”菜单，选择“虚拟化授权”，然后在“授权服务器”中选择“双机虚拟化”；
b) 在“主机名称”中输入双机虚拟化主机的主机名；
c) 在“授权端口”中输入双机虚拟化授权服务器的端口号；
d) 在“授权验证”中输入双机虚拟化授权服务器的验证密码；
e) 在“令牌”中输入双机虚拟化授权令牌的序列号；
f) 点击“应用”按钮，保存设置；
g) 重启防火墙，使配置生效。
2、接下来，需要在客户机上开启虚拟化授权功能，以便让客户机能够向防火墙发送虚拟化授权请求。具体步骤如下：
a) 登录客户机，打开“服务”菜单，选择“虚拟化授权”，然后在“授权服务器”中选择“双机虚拟化”；
b) 在“主机名称”中输入双机虚拟化主机的主机名；
c) 在“授权端口”中输入双机虚拟化授权服务器的端口号；
d) 在“授权验证”中输入双机虚拟化授权服务器的验证密码；
e) 点击“应用”按钮，保存设置；
f) 重启客户机，使配置生效。
3、最后，需要在防火墙和客户机之间建立双向通信，以便双机虚拟化授权功能可以正常工作。具体步骤如下：
a) 登录防火墙，在“网络”菜单中，添加客户机的IP地址，并且勾选“允许双向通信”；
b) 登录客户机，在“网络”菜单中，添加防火墙的IP地址，并且勾选“允许双向通信”；
c) 重启防火墙和客户机，使配置生效；
d) 将双机虚拟化授权令牌插入防火墙上的USB端口，用以激活虚拟化授权功能。

自己编写iptables脚本文件建立防火墙规则就等于建立了防火墙
比如：
etho 接外网——ppp0
eth1 接内网——19216800/24
#!/bin/sh
#
modprobe ipt_MASQUERADE
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
iptables -F
iptables -t nat -F
iptables -X
iptables -t nat -X
###########################INPUT键###################################
iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 110,80,25 -j ACCEPT
iptables -A INPUT -p tcp -s 19216800/24 --dport 139 -j ACCEPT
#允许内网samba,smtp,pop3,连接
iptables -A INPUT -i eth1 -p udp -m multiport --dports 53 -j ACCEPT
#允许dns连接
iptables -A INPUT -p tcp --dport 1723 -j ACCEPT
iptables -A INPUT -p gre -j ACCEPT
#允许外网连接
iptables -A INPUT -s 19218600/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
#为了防止DOS太多连接进来,那么可以允许最多15个初始连接,超过的丢弃
iptables -A INPUT -s 19218600/24 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
#为了防止DOS太多连接进来,那么可以允许最多15个初始连接,超过的丢弃
iptables -A INPUT -p icmp -m limit --limit 3/s -j LOG --log-level INFO --log-prefix "ICMP packet IN: "
iptables -A INPUT -p icmp -j DROP
#禁止icmp通信-ping 不通
iptables -t nat -A POSTROUTING -o ppp0 -s 19216800/24 -j MASQUERADE
#内网转发
iptables -N syn-flood
iptables -A INPUT -p tcp --syn -j syn-flood
iptables -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN
iptables -A syn-flood -j REJECT
#防止SYN攻击 轻量
#######################FORWARD链###########################
iptables -P FORWARD DROP
iptables -A FORWARD -p tcp -s 19216800/24 -m multiport --dports 80,110,21,25,1723 -j ACCEPT
iptables -A FORWARD -p udp -s 19216800/24 --dport 53 -j ACCEPT
iptables -A FORWARD -p gre -s 19216800/24 -j ACCEPT
iptables -A FORWARD -p icmp -s 19216800/24 -j ACCEPT
#允许 客户走网络连接外网
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -I FORWARD -p udp --dport 53 -m string --string "tencent" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
#星期一到星期六的8:00-12:30禁止qq通信
iptables -I FORWARD -p udp --dport 53 -m string --string "TENCENT" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
#星期一到星期六的8:00-12:30禁止qq通信
iptables -I FORWARD -p udp --dport 53 -m string --string "tencent" -m time --timestart 13:30 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
iptables -I FORWARD -p udp --dport 53 -m string --string "TENCENT" -m time --timestart 13:30 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
#星期一到星期六的13:30-20:30禁止QQ通信
iptables -I FORWARD -s 19216800/24 -m string --string "qqcom" -m time --timestart 8:15 --timestop 12:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
#星期一到星期六的8:00-12:30禁止qq网页
iptables -I FORWARD -s 19216800/24 -m string --string "qqcom" -m time --timestart 13:00 --timestop 20:30 --days Mon,Tue,Wed,Thu,Fri,Sat -j DROP
#星期一到星期六的13:30-20:30禁止QQ网页
iptables -I FORWARD -s 19216800/24 -m string --string "ay2000net" -j DROP
iptables -I FORWARD -d 19216800/24 -m string --string "宽频影院" -j DROP
iptables -I FORWARD -s 19216800/24 -m string --string "色情" -j DROP
iptables -I FORWARD -p tcp --sport 80 -m string --string "广告" -j DROP
#禁止ay2000net，宽频影院，色情，广告网页连接 ！但中文 不是很理想
iptables -A FORWARD -m ipp2p --edk --kazaa --bit -j DROP
iptables -A FORWARD -p tcp -m ipp2p --ares -j DROP
iptables -A FORWARD -p udp -m ipp2p --kazaa -j DROP
#禁止BT连接
iptables -A FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 15 --connlimit-mask 24 -j DROP
#只允许每组ip同时15个80端口转发
#######################################################################
sysctl -w netipv4ip_forward=1 &>/dev/null
#打开转发
#######################################################################
sysctl -w netipv4tcp_syncookies=1 &>/dev/null
#打开 syncookie （轻量级预防 DOS 攻击）
sysctl -w netipv4netfilterip_conntrack_tcp_timeout_established=3800 &>/dev/null
#设置默认 TCP 连接痴呆时长为 3800 秒（此选项可以大大降低连接数）
sysctl -w netipv4ip_conntrack_max=300000 &>/dev/null
#设置支持最大连接树为 30W（这个根据你的内存和 iptables 版本来，每个 connection 需要 300 多个字节）
#######################################################################
iptables -I INPUT -s 192168050 -j ACCEPT
iptables -I FORWARD -s 192168050 -j ACCEPT

硬件防火墙是放在局域网的出口上的，具体放在路由器的前后要看具体需求，一般是放前面。

在安全策略中，要写明修改硬件防火墙配置的步骤，如哪些授权需要修改、谁能进行这样的修改、什么时候才能进行修改、如何记录这些修改等。安全策略还应该写明责任的划分，如某人具体做修改，另一人负责记录，第三个人来检查和测试修改后的设置是否正确。详尽的安全策略应该保证硬件防火墙配置的修改工作程序化，并能尽量避免因修改配置所造成的错误和安全漏洞。

如果有必要，管理员还可以用数据包扫描程序来确认硬件防火墙配置的正确与否，甚至可以更进一步地采用漏洞扫描程序来进行模拟攻击，以考核硬件防火墙的能力。

软件防火墙也是要根据具体需求，如果要求比较严格，建议安装杀毒软件企业版的网络套装。

所谓防火墙指的是一个有软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关(Security Gateway)，从而保护内部网免受非法用户的侵入，防火墙主要由服务访问政策、验证工具、包过滤和应用网关4个部分组成，

防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件(其中硬件防火墙用的很少只有国防部等地才用,因为它价格昂贵)。该计算机流入流出的所有网络通信均要经过此防火墙。

软件防火墙单独使用软件系统来完成防火墙功能，将软件部署在系统主机上，其安全性较硬件防火墙差，同时占用系统资源，在一定程度上影响系统性能。其一般用于单机系统或是极少数的个人计算机，很少用于计算机网络中。

在大部分企业中,防火墙都是网络与应用服务的第一道防线。防火墙一直是构建传统网络安全架构的首要基础。

需要一步步排查。以下是一些可能有用的步骤：
确认端口是否开启：可以通过在服务器上运行命令netstat -anp | grep 端口号来确认端口是否在监听状态。如果端口没有在监听状态，则需要检查应用程序是否正确配置了端口号。
确认防火墙是否阻止流量：如果端口在监听状态，但是外部无法访问，可能是因为防火墙阻止了流量。可以在服务器上运行iptables -L命令来检查防火墙规则，看是否有针对该端口的规则。
检查路由器端口转发：如果服务器是在路由器后面，则需要在路由器上设置端口转发规则，将外部流量转发到服务器上。可以通过在路由器上查看端口转发规则来确认是否设置正确。
检查网络配置：如果上述步骤都没有问题，可以考虑检查网络配置。可以在服务器上运行ping命令来检查网络是否正常。如果网络有问题，需要排查网络设备和网络连接。
检查公网 IP 是否生效：如果已经获取了公网 IP，可以通过在服务器上运行curl ifconfigme来确认公网 IP 是否生效。如果公网 IP 无法生效，可能需要联系电信运营商解决问题。
希望以上步骤能够帮助你找到问题所在，并解决你的问题。

您好，非常抱歉，您的问题我理解有限
1、您是从服务器向公网方向访问，还是从公网向服务器内的指定端口访问
2、是否有抓包确认过数据包路径，从哪里遇到阻碍
3、是否有咨询过客服人员，带宽，流量是否告罄
4、平台防火墙和系统内防火墙是否都放通了
5、无法访问的报错是什么，有报错码还是无返回
建议您对您的场景进行详细的说明补充，以便于其他人为您解答或提供建议

---