除了來自這三臺機(jī)器以外，還可以繼續(xù)細(xì)化，告訴ipchains程序允許通過防火墻進(jìn)入的接收程序必須要使用哪一種協(xié)議。用戶可以使用-p（protocol，協(xié)議）標(biāo)志。遠(yuǎn)程登錄進(jìn)程使用的是TCP協(xié)議。現(xiàn)在這條規(guī)則看起來像是：ipchains- Ainput-s192.156.12.1/255.255.255.252-pTCP還是不要按回車鍵。

圍繞某個特定的協(xié)議建立一條規(guī)則的選擇太多了，但是用戶可以為你選定的進(jìn)程指定其端口（port）來細(xì)化那條規(guī)則。用戶可以把端口的名稱加到規(guī)則的末尾，也可以用一個冒號引導(dǎo)該端口的端口號。從/etc/services文件中可以查到任何網(wǎng)絡(luò)服務(wù)所使用的端口號。現(xiàn)在這條規(guī)則看起來是下列這兩行文字中的某個樣子：

ipchains-Ainput-s192.156.12.1/255.255.255.252-pTCP:23ALLOW
ipchains-Ainput-s192.156.12.1/255.255.255.252-pTCPTelnetALLOW

現(xiàn)在可以按下回車鍵了。用戶在確實屏蔽了其他接入類型之前，這條規(guī)則實際上還是沒有什么用處的。最好的解決方法(因為我們的目的是為用戶所有希望允許的東西建立規(guī)則)是使用-P（policy）標(biāo)志（注意是大寫字母）屏蔽所有的輸入，然后ipchains就會去檢查特定的規(guī)則看看到底什么才能被允許進(jìn)入。這樣的一個策略語句如下所示：ipchains-PinputDENY

在重啟動/關(guān)機(jī)之前保存數(shù)據(jù)包過濾規(guī)則：沒有哪個配置文件是用來自動保存數(shù)據(jù)包過濾規(guī)則供你下次啟動機(jī)器的時候使用的。因此，選擇某種方法自己來完成這項工作就十分重要，否則下一次你就還得從頭一點一滴地重新寫出所有的規(guī)則。下面介紹一個保存數(shù)據(jù)包過濾規(guī)則的方法：先以root身份登錄進(jìn)入系統(tǒng)，再使用ipchains-save腳本程序把用戶已經(jīng)編寫好的規(guī)則設(shè)置保存到一個文件中去，比如/root/ipchains-settings文件。輸入“ipchains-save>/root/ipchains-settings”。

開機(jī)引導(dǎo)后恢復(fù)數(shù)據(jù)包過濾規(guī)則：用戶在計算機(jī)重啟動之后，必須恢復(fù)數(shù)據(jù)包過濾規(guī)則。請按照下面的方法完成這項任務(wù)：先以root身份登錄進(jìn)入系統(tǒng)，再使用ipchains-restore腳本程序在某個文件中檢索用戶已經(jīng)編寫好的規(guī)則，比如從文件/root/ipchains-settings 中恢復(fù)數(shù)據(jù)包過濾規(guī)則。如下所示，輸入“ipchains-restore<>

如果要想實現(xiàn)代理防火墻功能，需要安裝能夠控制用戶從某個網(wǎng)絡(luò)的外部可以使用和不可以使用什么樣的網(wǎng)絡(luò)服務(wù)功能的軟件。代理防火墻不允許有任何連接接入到它后面的機(jī)器上（當(dāng)然也不是絕對的），不存在任何數(shù)據(jù)包過濾的效果，從接入連接的角度考慮，它就是一堵密不透風(fēng)的磚墻。可以如下設(shè)置：

首先在/etc/inetd.conf文件中禁用任何你不打算使用的服務(wù)功能，方法是把它們改為注釋語句（即在那些語句開頭加上一個#符號）。任何一種服務(wù)都會為試圖進(jìn)入系統(tǒng)的那些人多打開一條通路，因此應(yīng)該只使用你確實需要的服務(wù)。