用ipchains构建防火墙

原创 2003年12月29日 13:35:00
摘要
用ipchains构建防火墙的具体方法(2002-09-16 13:35:32)

By Wing, 出处:Grind

  在一些大学里面,都开始了学生宿舍网的架设,在宿舍机器不多的时候,IP似乎是一种很丰富的资源,随便都可以申请到一个,但是随着机器的迅速增长,IP开始出现短缺现象,这就需要架设一个防火墙做IP伪装(IP Masquerade),这样只需要一个真正的IP地址能够正常地访问Internet,局域网内其它机器不需要真正的IP地址,虽然不能象网关机器那样直接地访问Internet,但是可以由网关机器代劳其它机器的Internet访问请求,假装是它自己的。把这台网关机器作为局域网的网关,当它收到来自局域网内其它机器的请求数据包时,进行伪装,然后再转发出去;相应地,当伪装后发出去的数据包得到响应返回时,先对该响应数据包进行还原,再转交给回局域网内真正发出请求的那台机器。

  开始之前,先要确定Linux内核支持IP伪装这种功能,在编译内核时,必须选中下列选项:


Network firewalls 
IP: firewalling 
IP: masquerading 
IP: ipportfw masq support 
IP: ipautofw masquerade support 
IP: ip fwmark masq-forwarding support 
IP: ICMP masquerading

  然后要命令内核启动IP转发功能:

echo 1 > /proc/sys/net/ipv4/ip_forward

  往/proc/sys/net/ipv4/ip_forward里写入"1"就行了。有些功能如ftp, irc等的伪装,需要相应的模块支持,执行以下命令装入它们:


  depmod -a 
  modprobe ip_masq_ftp 
  modprobe ip_masq_irc 
  modprobe ip_masq_raudio

  现在开始ipchains的设置,假设网关机器的IP是210.34.9.58,内部网络机器的IP是192.98.12.0。

  对ipchains过滤器进行设置,就是设置各种链及规则。用以下命令:

 ipchains -L 

  得到类似下面的信息:


  Chain input (policy ACCEPT): 
  Chain forward (policy ACCEPT): 
  Chain output (policy ACCEPT):

  这说明三条链input,output,forward的策略都是接受,同时也没有什么特别的对于特定的链指定的规则。

  如果先前有对这三条链定义过什么规则,可以用ipchains –F刷新三条链到最原始状态。第一步就需要把用命令:

  ipchains -P forward DENY 

  把forward链的缺省策略设置成DENY,这样可以防止对一些非法用户的转发。然后执行类似下面的命令:

  ipchains -A forward -s 192.98.12.0/24 -j MASQ 

  来增加1条规则,这条规则对来自192.98.12.0局域网内的数据包进行伪装处理(-j MASQ),24的就是3个8,也就是说明网络掩码为255.255.255.0。

  现在执行一下ipchains –L看当前链的策略和规则,可以看见如下信息:


  Chain input (policy ACCEPT):
  Chain forward (policy DENY):
target prot opt sourcedestination   ports
MASQ   all  ------  192.98.12.0/24anywhere  n/a
  Chain output (policy ACCEPT):

  最后,要在网关机器上面的路由表信息里面加入到Internet和到内部网络的路由信息:(假设eth0连接Internet,eth1连接内部网络,210.34.9.251是210.34.9.0/24网段的网关)


  route add default gw 210.34.9.251 eth0
  route add –net 192.98.12.0 netmask 255.255.255.0 eth1

  经过这样的配置后,只要内部网络的机器的网关都指定为这台网关机器210.34.9.58,就能象一台具有真正IP的机器一样访问Internet了。

  可以做一个脚本文件rc.ipchains,内容如下:


  depmod -a 
  modprobe ip_masq_ftp 
  modprobe ip_masq_irc 
  modprobe ip_masq_raudio
  ipchains –F
  ipchains -P input ACCEPT
  ipchains -P output ACCEPT
  ipchains -P forward DENY
  ipchains -A forward -s 192.98.12.0/24 -j MASQ 

  然后chmod +x rc.ipchains并在启动脚本rc.local最后加入一行:

  /etc/rc.d/rc.ipchains就能实现开机就启动放火墙了。

  Ipchains的系统资源占用极低,我们甚至有一次系统运行了一个错误的程序占用了大量的系统资源,发现IP转发还十分正常,个人觉得用一台486的机器都能当网关,而同等硬件条件下的windows机器是别想动了。

  还有一个问题就是,ipchains的原理是把使用网关机器的一个断口来转发内部网络机器的一个请求,这样当所有的段口都用完后,还会不会转发?

构建基于ipchains的Linux防火墙

  众所周知,Linux可以作为一个优秀的防火墙软件使用。无论是结合Web或FTP网站使用,还是作为内部LAN的前端服务器,Linux都能够为构造满足用户特殊需求的防火墙提供必需的工具。    ipc...
  • colinlin
  • colinlin
  • 2005年12月03日 11:42
  • 631

用Linux+iptables构建防火墙实例

前言用Linux+iptables做防火墙具有很高的灵活性和稳定性(老兄我的防火墙自从做了之后还一直没有重启过),但安装和设定起 来比较麻烦,而且容易出错,本文旨在用为公司做防火墙的实例,让大家对Li...
  • yeqihong
  • yeqihong
  • 2006年04月04日 02:56
  • 994

用ACL构建防火墙体系

 网络防火墙安全策略是指要明确定义哪些数据包允许或禁止通过并使用网络服务,以及这些服务的使用规则。而且,网络防火墙安全策略中的每一条规定都应该在实际应用时得到实现。下面我们就路由器下通过访问控制列表实...
  • yjz0065
  • yjz0065
  • 2006年08月04日 22:56
  • 932

如何在Redhat 6.1上用ipchains构建防火墙和IP伪装

如何在Redhat 6.1上用ipchains构建防火墙和IP伪装发布日期: 1999-10-15内容:来源:中国Linux论坛 作者:吴阿亭简介: Linux 2.2内核用ipchains代替...
  • hem
  • hem
  • 2001年06月07日 15:09
  • 895

Android防火墙实现

智能手机网络防火墙的现状 随着智能手机越来越普及,以及3G网络的快速发展,越来越多的用户使用手机上网冲浪。于此同时,各类恶意软件也通过网络来盗取用户手机上的的隐私,甚至控制用户的手机。因此智能手机上...
  • u011494739
  • u011494739
  • 2016年12月01日 15:59
  • 1807

经典组合 堡垒主机构建防火墙系统

经典组合 堡垒主机构建防火墙系统(转载)
  • lubiaopan
  • lubiaopan
  • 2009年10月29日 20:55
  • 2505

转帖:用Linux+Iptables构建防火墙实例

用Linux+iptables做防火墙具有很高的灵活性和稳定性(老兄我的防火墙自从做了之后还一直没有重启过),但安装和设定起来比较麻烦,而且容易出错,本文旨在用为公司做防火墙的实例,让大家对Linux...
  • dawnmaster
  • dawnmaster
  • 2009年05月08日 18:49
  • 209

用iptables构建简单DMZ防火墙

说明:一般被保护的内部网络可分成两部分,一部分是内部通讯区,只允许内部用户访问,绝对禁止外部用户访问,另一部分是停火区DMZ,对外提供有条件的服务。前者是系统的核心子网,后者易受到外部的攻击,是一个比...
  • Celeste7777
  • Celeste7777
  • 2015年07月19日 11:45
  • 511

使用iptables构建防火墙

对于Internet上的系 统,不管是什么情况都要明确一点:网络是不安全的。因此,虽然创建一个防火墙并不能保证系统100%安全,但却是绝对必要的。Linux提供了一个非常优 秀的防火墙工具—netfi...
  • dajian790626
  • dajian790626
  • 2012年09月06日 18:12
  • 747

nginx+lua 构建waf防火墙

nginx+lua 构建waf防火墙
  • zyb378747350
  • zyb378747350
  • 2017年06月02日 14:47
  • 1204
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:用ipchains构建防火墙
举报原因:
原因补充:

(最多只允许输入30个字)