利用Linux自带的iptables配置防火墙

一、实验要求

利用Linux自带的iptables配置防火墙，完成如下配置：

• （1）阻止任何外部世界直接与防火墙内部网段直接通讯
• （2）允许内部用户通过防火墙访问外部HTTP和HTTPS服务器
• （3）允许内部用户通过防火结防问外部FTP服务器。
• （4）其余功能可自行添加。

网段示意图：

二、环境配置

概述

新建3个虚拟机，分别作为内网、网关（防火墙）、外网，如下：
要在VMware中配置一个区分内网和外网并且含有网关的网络环境，那么就应该按照以下思路：

1. 网关需要进行数据包的转发，因此需要两张虚拟网卡，一张对内，一张对外，两张网卡设置为不同的网段
2. 内网的IP与网关的对内网卡IP处于同一网段，且内网的网关IP是网关主机的对内网卡IP
3. 外网的IP与网关的对外网卡IP处于同一网段，且外网的网关IP是网关主机的对外网卡IP

整体思路就是这样，具体的配置步骤如下

1、配置VMware的虚拟网络

打开VMware的虚拟网络选项，将NAT模式的“使用本地DHCP自动分配IP”取消勾选，因为要创建两个网络环境，就需要手动给三个主机设置静态IP及其网段，而DHCP服务会根据配置将所有虚拟机划分到同一网段。

子网IP自己设置，但是需要和物理机的网络适配器选项中的网关处于同一网段，这样虚拟机才可以上网，比如我设置IP范围是192.168.11.0/24，网关就是192.168.11.2

2、配置网关

网关需要有转发功能，因此需要两个网卡一个对内，一个对外，在虚拟机设置中，添加一张网络适配器（网卡），均选择NAT模式即可

两个网卡的设置方法相同，如下：

• 对内网卡（网卡1 - ens33）

我是Ubuntu18.04，直接在设置中就可以修改网络选项

设置网卡1，选择IPv4的方式为手动（Manual），在Address栏分别输入

• IP地址：192.168.11.16
• 子网掩码：255.255.255.0
• 网关IP：192.168.11.2

（网关主机的网关IP用于和物理机进行数据交互，因此需要和物理主机的VMnet8网络适配器中的网关一致，否则无法访问外网）

至此，对内网卡填写的数据如下：

• 对外网卡（网卡2 - ens38）

对外网卡的配置与对内网卡一样，只不过IP需要和对内网卡不在同一网段，如下：

• IP地址：192.168.22.11
• 子网掩码：255.255.255.0
• 网关IP：192.168.22.2

这样网关的网卡就设置好了，但是默认的IP转发功能并没有开启，需要手动开启来进行转发，使用以下语句将ip_forward文件内的值改为1即可开启

echo "1" > /proc/sys/net/ipv4/ip_forward