filter过滤和转发控制

2.filter过滤和转发控制
问题
本案例要求熟悉filter表的过滤和转发控制，练习以下操作：
利用ip_forward机制实现Linux路由/网关功能
针对Linux主机进行出站、入站控制
在Linux网关上实现数据包转发访问控制
方案
采用三台RHEL6虚拟机svr5、gw1、pc120，如图-2所示。其中，虚拟机svr5作为局域网络的测试机，接入NAT网络（virbr0）；虚拟机pc120作为Internet的测试机，接入隔离网络（virbr1）；虚拟机gw1作为网关/路由器，配置eth0、eth1两块网卡，分别接入两个网络virbr0、virbr1。

对于管理员来说，局域网客户机应该将默认网关指向本公司接入Internet的路由器的地址，即本例中的Linux网关；而Internet中各种客户机的默认网关却是未知的。因此，除了按照上述环境配好接口IP地址以外，内网测试机svr5还需要将默认网关指向Linux网关的内网接口192.168.4.1：
[root@svr5 ~]# route -n | grep UG
0.0.0.0 192.168.4.1 0.0.0.0 UG 0 0 0 eth0
步骤
实现此案例需要按照如下步骤进行。
步骤一：调整路由转发环境
本案例用到了192.168.4.0/24、174.16.16.0/24两个网段，若希望将Linux网关作为路由器使用，使两个网段互通，路由方面首先要解决以下两个问题：
为192.168.4.0/24网段的客户机添加到174.16.16.0/24网段的路由
为174.16.16.0/24网段的客户机添加到192.168.4.0/24网段的路由
其中，内网测试机svr5已经设置好默认网关，因此第一个问题解决；而第二个问题，只要为外网测试机pc120也添加默认网关（或者具体的静态路由）即可：
[root@pc205 ~]# route add default gw 174.16.16.1
[root@pc205 ~]# route -n | grep UG
0.0.0.0 174.16.16.1 0.0.0.0 UG 0 0 0 eth0
步骤二：利用ip_forward机制实现Linux路由/网关功能
1） 开启路由之前，内外网无法互通
在主机svr5上ping主机pc120，丢包率100%：
[root@svr5 ~]# ping -c4 -W2174.16.16.120
ping: bad linger time.
[root@svr5 ~]# ping -c4 -W2 174.16.16.120
PING 174.16.16.120 (174.16.16.120) 56(84) bytes of data.

— 174.16.16.120 ping statistics —
4 packets transmitted, 0 received, 100% packet loss, time 5002ms

[root@svr5 ~]#
在主机pc120上ping主机svr5，丢包率100%：