前言
用Linux+iptables做防火墻具有很高的靈活性和穩(wěn)定性(老兄我的防火墻自從做了之后還一直沒有重啟過)，但安裝和設(shè)定起來比較麻煩，而且容易出錯，本文旨在用為公司做防火墻的實例，讓大家對Linux+iptables做防火墻的安裝和配置有一個大致的了解，希望能起到拋磚引玉的作用。
系統(tǒng)環(huán)境與網(wǎng)絡(luò)規(guī)化
先了解一下公司的環(huán)境，公司利用2M ADSL專線上網(wǎng)，電信分配公用IP為218.4.62.12/29,網(wǎng)關(guān)為218.4.62.13 ,公司有電腦五十多臺，使用DHCP，IP是192.168.2.XXX，DHCP Server建在iptables Server上；另公司有一電腦培訓中心，使用指定固定IP，IP為192.168.20.XXX，為了更加快速的瀏覽網(wǎng)頁，我們架了一臺Squid Server，所有電腦通過Squid Server瀏覽網(wǎng)頁，公司還另有一臺WEB Server+Mail Server+Ftp Server。其IP為218.4.62.18。以上電腦和服務(wù)器要求全架在防火墻內(nèi)。我們規(guī)化如下：
Iptables Server上有三塊網(wǎng)卡,eth0上加有二個IP，218.4.62.14和218.4.62.18。
其中218.4.62.14為共享上網(wǎng)，218.4.62.18為WEB Server專用，Eth1的IP為192……168.2.9；為了使培訓中心PC與公司PC之間互不訪問，所以直接從Iptables Server接到Switch-B,eth2接至Switch-A，連接培訓中心PC和Squid Server, Web Server。
網(wǎng)絡(luò)規(guī)化好了后，就開始裝服務(wù)器了，Iptables Server 用的系統(tǒng)為Redhat Linux V7.3。在裝服務(wù)器時要注意選上防火墻的安裝包。
IPTABLES基礎(chǔ)
Iptables語法：
Iptables [-t TABLE] ACTION [PATTERN] [-j TARGET] |
有filter,nat,mangle；若無指定，預(yù)設(shè)為filter table.
ACTION(對Chains執(zhí)行的動作):
ACTION 說明
-L Chain 顯示Chain中的所有規(guī)則
-A Chain 對Chain新增一條規(guī)則
-D Chain 刪除Chain中的一條規(guī)則
-I Chain 在Chain中插入一條規(guī)則
-R Chain 替換Chain中的某一條規(guī)則
-P Chain 對Chain設(shè)定的預(yù)設(shè)的Policy
-F Chain 清除Chain中的所有規(guī)則
-N Chain 自訂一個Chain
-X 清除所有的自訂Chain
CHAINS:
Iptables 有五條默認的Chains(規(guī)則鏈)，如下表：
Chains 發(fā)生的時機
PREROUTING 數(shù)據(jù)包進入本機后，進入Route Table前
INPUT 數(shù)據(jù)包通過Route Table后，目地為本機
OUTPUT 由本機發(fā)出，進入Route Table前
FORWARD 通過Route Table后，目地不是本機時
POSTROUTING 通過Route Table后，送到網(wǎng)卡前
PATTERN(設(shè)定條件部份):
參數(shù) 內(nèi)容 說明
-p Protocol 通訊協(xié)議，如tcp,udp,icmp,all等……
-s Address 指定的Source Address為Address
-d Address 指定的Destination Address為Address
-I Interface 指定數(shù)據(jù)包進入的網(wǎng)卡
-o Interface 指定數(shù)據(jù)包輸出的網(wǎng)卡
-m Match 指定高級選項，如mac,state,multiport等……
TARGET(常用的動作)：
TARGET 說明
ACCEPT 讓這個數(shù)據(jù)包通過
DROP 丟棄數(shù)據(jù)包
RETURN 不作對比直接返回
QUEUE 傳給User-Space的應(yīng)用軟件處理這個數(shù)據(jù)包
SNAT nat專用：轉(zhuǎn)譯來源地址
DNAT nat專用：轉(zhuǎn)譯目地地址
MASQUERADE nat專用：轉(zhuǎn)譯來源地址成為NIC的MAC
REDIRECT nat專用：轉(zhuǎn)送到本機的某個PORT
| 共3頁: 1 [2] [3] 下一頁 | ||
|
