- 问题
本案例要求利用状态跟踪机制,编写iptables规则实现以下需求:
- 允许从内网访问外网的服务
- 禁止从外网访问内网
- 对于“内网-->外网”的Web访问,取消状态跟踪
- 方案
沿用练习二的网络环境、路由配置,如图-3所示。本例中的防火墙规则设置在网关gw1上来完成。
图-3
- 步骤
实现此案例需要按照如下步骤进行。
步骤一:清理现有的防火墙规则,排除干扰
清空filter表:
[root@gw1 ~]# iptables -F
确认结果:
[root@gw1 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
步骤二:控制内外网访问
1)整理任务需求,编写基本转发规则
允许从内网访问外网(来自192.168.4.0/24网段,从接口eth1出去):
[root@gw1 ~]# iptables -A FORWARD -s 192.168.4.0/24 -o eth1 -j ACCEPT
禁止从外网访问内网(从接口eth1进来,发往192.168.4.0/24网段):
[root@gw1 ~]# iptables -A FORWARD -d 192.168.4.0/24 -i eth1 -j DROP
确认结果:
[root@gw1 ~]# iptables -nL FORWARD
Chain FORWARD (policy ACCEPT)
target prot opt source destination
ACCEPT all -- 192.168.4.0/24 0.0.0.0/0
DROP all -- 0.0.0.0/0 192.168.4.0/24
2)测试内外网的FTP访问
在svr5、pc120上均开启vsftpd服务,本机访问都正常。以svr5为例:
[root@svr5 ~]# ftp 192.168.4.5
Connected to 192.168.4.5 (192.168.4.5).
220 (vsFTPd 2.2.2)
Name (192.168.4.5:root): ftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> quit
221 Goodbye.
而内外网转发访问将会受到限制,比如从pc205访问svr5上的FTP服务:
[root@pc205 ~]# ftp 192.168.4.5
ftp: connect: 连接超时
ftp> quit
同样地,从svr5访问pc205的FTP服务也会被拒绝:
[root@svr5 ~]# ftp 174.16.16.120
ftp: connect: 连接超时
ftp> quit
[root@svr5 ~]#
这是因为:防火墙DROP了从eth1接口进来发往192.168.4.0/24网段的数据包,这其中包括外网发来的FTP请求包,也包括FTP应答包,从而导致双方的访问受阻。
3)修正转发控制规则
清空FORWARD链的原有规则:
[root@gw1 ~]# iptables -F FORWARD
[root@gw1 ~]# iptables -nL FORWARD
Chain FORWARD (policy ACCEPT)
target prot opt source destination
利用状态机制,放行从内网访问外网的数据包、放行内网收到的应答包及关联数据包,并且将FORWARD转发链的默认规则设为DROP:
[root@gw1 ~]# iptables -A FORWARD -s 192.168.4.0/24 -o eth1 -j ACCEPT
[root@gw1 ~]# iptables -A FORWARD -i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
[root@gw1 ~]# iptables -P FORWARD DROP
确认结果:
[root@gw1 ~]# iptables -nL FORWARD
Chain FORWARD (policy DROP)
target prot opt source destination
ACCEPT all -- 192.168.4.0/24 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
4)重新测试内外网的FTP访问
从内网svr5可以访问外网pc120的FTP服务:
[root@svr5 ~]# ftp 192.168.4.5
Connected to 192.168.4.5 (192.168.4.5).
220 (vsFTPd 2.2.2)
Name (192.168.4.5:root): ftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> quit
221 Goodbye.
但是从外网pc120无法访问内网svr5的FTP服务,与任务期望的目标一样:
[root@pc205 ~]# ftp 192.168.4.5
ftp: connect: 连接超时
ftp> quit
[root@pc205 ~]#
步骤三:对于“内网-->外网”的Web访问,取消状态跟踪
1)准备测试Web服务
在外网测试机pc120上快速开启httpd服务:
[root@pc205 ~]# yum -y install httpd
.. ..
[root@pc205 ~]# service httpd restart
.. ..
[root@pc205 ~]# echo "Test Page 120." > /var/www/html/index.html
根据当前的FORWARD策略,默认是被DROP掉的,因此从内网svr5访问外网pc120的Web服务时,将会被拒绝:
[root@svr5 ~]# elinks --dump http://174.16.16.120
.. ..
^C //长时间无响应,按Ctrl+c键中止
[root@svr5 ~]#
2)在gw1上添加规则,放行“内网-->外网”的Web访问,不做状态跟踪
编写防火墙规则:
[root@gw1 ~]# iptables -t raw -A PREROUTING -s 192.168.4.0/24 -p tcp --dport 80 -j NOTRACK
[root@gw1 ~]# iptables -t raw -A PREROUTING -d 192.168.4.0/24 -p tcp --sport 80 -j NOTRACK
[root@gw1 ~]# iptables -A FORWARD -m state --state UNTRACKED -j ACCEPT
确认结果:
[root@gw1 ~]# iptables -t raw -nL
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
NOTRACK tcp -- 192.168.4.0/24 0.0.0.0/0 tcp dpt:80
NOTRACK tcp -- 0.0.0.0/0 192.168.4.0/24 tcp spt:80
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
[root@gw1 ~]# iptables -nL FORWARD
Chain FORWARD (policy DROP)
target prot opt source destination
ACCEPT all -- 192.168.4.0/24 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state UNTRACKED
3)再次测试Web访问
从内网svr5访问外网pc120的Web服务,可以快速看到Web页面内容:
[root@svr5 ~]# elinks --dump http://174.16.16.120
Test Page 120.