防火墙Iptables配置实战

网络规划

主机规划

• insdie_PC位于内网区域，地址网段为192.168.1.0/24，地址为192.168.1.1/24，网关为192.168.1.254/24
• 服务器S1位于服务器区域，地址段为： 192.168.2.0/24，pc1地址为：192.168.2.1/24，网关地址为：192.168.2.254/24
• PC2位于互联网区域，模拟外部互联网，地址段为：10.0.0.0/8，pc2地址为：10.0.0.1/8
• Linux防火墙的三块网卡为别连接不同的网络区域，地址分别为 ：ens160 192.168.1.254/24；ens192 192.168.2.254/24；ens224 10.0.0.100/8

防火墙要求

• 内部网络中的inside_PC采用SNAT访问外部互联网，但是无法ping到内部网关
• 内部网络服务器inside_server通过DNAT发布服务到互联网
• 互联网主机outside_PC能够访问DMZ区域的服务器，但是不能够进行ping和ssh连接。

主机环境准备

Firewall

• 配置防火墙IP并禁用firewalld和selinux，下列主机同关闭

systemctl disable --now firewalld
setenforce 0
nmcli connection modify ens160 ipv4.method manual ipv4.address 192.168.1.254/24
nmcli connection add ens192 ipv4.mehtod manual ipv4.address 192.168.2.254/24
nmcli connection add ens224 ipv4.mehod manual ipv4.address 10.0.0.100/8
nmcli connection down ens160 && nmcli connection up ens160
nmcli connection down ens192 && nmcli connection up ens192
nmcli connection down ens224 && nmcli connection up ens224

• 打开firewall路由转发

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p

inside_PC

• 配置inside_PC的IP

nmcli connection modify ens160 ipv4.method manual ipv4.address 192.168.1.1/24 ipv4.gateway 192.168.1.254
nmcli connection down ens160 && nmcli connection up ens160

inside_server

• 配置inside_server并安装nginx

nmcli connection modify ens160 ipv4.method manual ipv4.address 192.168.2.1/24 ipv4.gateway 192.168.2.254
nmcli connection down ens160 && nmcli connection up ens160
配置静态源后安装nginx
yum -y install nginx
echo "192.168.2.1" > /usr/share/nginx/html/index.html
nginx

outside_PC

nmcli connection modify ens160 ipv4.method manual ipv4.address 10.0.0.1/8
nmcli connection down ens160 && nmcli connection up ens160

环境检测

• 测试各个主机之间连接情况

防火墙配置及测试

• inside_PC采用SNAT访问外部互联网

#该为静态的公网IP
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ens224 -j SNAT --to 10.0.0.100
#转为非固定的动态公网IP
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ens224 -j MASQUERADE

• 内部网络服务器inside_server通过DNAT发布服务到互联网

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.2.1:80#将所有tcp/80访问转发给192.168.2.1:80处理

• 互联网主机outside_PC能够访问DMZ区域的服务器，但是不能够进行ping和ssh连接。

iptables -A INPUT -p icmp --icmp-type echo-request -s 10.0.0.1 -j DROP
iptables -A INUPUT -p tcp -s 10.0.0.1 --dport 22 -j DROP