【Iptables】11 Iptables之网络防火墙

最新推荐文章于 2023-02-16 15:49:09 发布

TDXYBS

最新推荐文章于 2023-02-16 15:49:09 发布

阅读量479

点赞数

分类专栏： Iptables 文章标签：防火墙 Iptables 网络安全

原文链接：http://www.zsythink.net/archives/1663

版权

Iptables 专栏收录该内容

15 篇文章 0 订阅

订阅专栏

特别说明：此系列博文根据朱双印博客-iptables系列博文，个人实践后总结，此为个人笔记精简版，更通俗易懂请参考朱双印博客-iptables系列博文原文内容，诸君必能有所收获

11 Iptables之网络防火墙

之前我们了解到iptables主要是作为主机防火墙，维护主机的安全，如果想让iptables作为网络防火墙呢？想让iptables服务于防火墙背后的局域网呢？

我们知道，网络防火墙往往是处于网络的入口或者边缘，那么，如果想使用iptables充当网络防火墙，iptables的主机就必须处于网络的入口处，即和外网连通的主机，示意图如下
在这里插入图片描述
上图中，直接与Internet连接互通的就是iptables所在主机(当然中间肯定还有网关路由器等)，此时iptables充当的角色就是网络防火墙，浅蓝色部分便是网络防火墙所防护的网络区域，圆形里面的便是处于局域网的其他主机

这个时候，无论是进入内部网络的报文还是内部网络发送出去的报文，都得经过iptables所在主机才行，并且iptables所在主机还得对报文进行"过滤并转发"，可能你已经忘记了iptables处理报文的具体流程了，如下图
在这里插入图片描述
以往我们使用iptables主要是作为主机防火墙，只用到了上图中的INPUT链和OUTPUT链，其余的链没有使用，而如果iptables作为网络防火墙，就会用到其他链，但我们知道拥有过滤功能的只有INPUT、OUTPUT和FORWARD链，想要转发报文，只有经过FORWARD链才行，所以当iptables作为网络防火墙时，我们着重会在FORWARD链上定义规则

环境准备

为了能验证iptables作为网络防火墙的功能，我们需要搭建一个实验环境，如下
在这里插入图片描述
我们假设，圆形蓝色区域为内部网络

注意：这里所说的内部网络和外部网络与我们平常所说的公网，私网不同；此处描述的内外网，可以理解为在两个不同网段，即A网段和B网段；我们将之分为内部网络和不在该网段的外部网络

我们假设内部网咯的网段为172.16.0.0/16，此时内部网络中存在主机C，其IP地址为172.16.200.129；存在作为网络防火墙的主机B，它也属于内部网络，但是有两个网卡，可以分别和外部网络和内部网络通信，其网卡1与外部网络通信，IP地址为192.168.200.221，网卡2与内部网络通信，IP地址为172.16.220.128；主机A在此充当外部网络主机，我们将用该主机发送报文去验证主机B的网络防火墙功能，其IP地址为192.168.200.115

现在，让我们准备3台虚拟机，试着搭建环境

在VMware虚拟机的设置中给主机B添加一个网络适配器，这样主机B便有了两个网卡了，并且为了让主机B和主机C在一个网段即内部网络，我们需要添加一个主机网络的连接模式，首先在VMware中，编辑–>虚拟网络编辑器–>

更改配置–>添加网络–>选择一个名称–>VMnet信息选择仅主机模式–>子网和子网掩码配置–>确定，这样我们便可以再主机B的网卡2上选择这个模式，同时在主机C上也选择这个模式，保证两主机在同一网段了
在这里插入图片描述

可能在主机B上还不能使用双网卡，需要我们自己配置一下，如CentOS7中

cd /etc/sysconfig/network-scripts/ 进入到网络配置文件目录

cp ifcfg-网卡名 ifcfg-别名 拷贝网卡配置文件并重命名

编辑两个网络配置文件，保证两个文件里的NAME变量，DEVICE变量不同，并且使用配置静态IP，配置各网卡的IP地址，完成后，在保证能重启网卡后，可以重启主机，这样主机B便有两个不同的地址

配置主机C的IP时，可以将其GATEWAY变量设置为主机B的IP
在这里插入图片描述
最后，ping一下，看一看主机A和主机B是否能连通，主机B和主机C是否能连通

为了尽量的简化路由设置，我们直接将A主机访问172.16网段时的网关指向主机B的IP，这样主机A每次访问172.16网段，都会去访问主机B
在这里插入图片描述
现在看看能不能通过主机A访问主机B和主机C，分别使用主机Aping主机B的内部网络IP和主机C的IP，结果如下

可以看到，同样是内部网络的IP，主机A能ping通主机B，但是ping不通主机C，这是为什么呢？

我们之前将主机A访问172.16网段的IP都指向了主机B，主机C没有回应ping命令，证明主机B并没有把相关的报文转发给主机C，没有收到又怎么回应呢，这就是ping不通主机C的缘故；那为什么又能ping通主机B的内部网络IP呢？这主要是主机B有两个网卡，它既是172.16网段的主机，也是和主机A一个网段的主机

为了能使Linux主机能转发报文，必须要去设置；我们可以查看/proc/sys/net/ipv4/ip_forward文件中的内容，如果内容为0，则表示当前主机不支持转发
在这里插入图片描述
可以看到，主机B该文件内容为0，不支持转发，如果想让主机B支持转发，可以将内容改为1

同时，还可以使用sysctl命令去设置是否开启核心转发，示例如下
在这里插入图片描述
上述的两种方法都能控制是否开启核心转发，但是通过上述两种方式更改的，只能临时有效，当重启网络以后，核心转发功能将会失效，如果想要核心转发功能永久生效，可以更改文件/etc/sysctl.conf文件(CentOS7中为/usr/lib/sysctl.d/00-system.conf文件)，添加或修改配置项 net.ipv4.ip_forward = 1