- 通过实验深入理解防火墙的功能和工作原理
- 熟悉Linux下iptables防火墙的配置和使用
实验环境
设备:三台Cent OS虚拟机
外部网络: 网段:192.168.100.0/24 外部设备: 系统:CentOS 6.8 IP:192.168.100.110/24 用户名:root 密码:123123 | 防火墙: 系统:CentOS 6.8 外部网络接口:ExtraNet IP:192.168.100.1 内部网络接口:IntraNet IP:192.168.110.1 用户名:root 密码:123123 | 内部网络: 网段:192.168.110.0/24 内部设备: 系统:CentOS 6.8 IP:192.168.110.110/24 用户名:root 密码:123123 |
1、使用命令iptables -L查看默认防火墙,规则如图5.1.1:
默认规则是允许 icmp 包的进出的,但是禁止 icmp 包的转发
图5.1.1
2.设备间互相ping检测连通性:
图5.1.2表示从内网IntraNet去ping防火墙,是正常的;说明INPUT链的规则是正确的:
图5.1.2
图5.1.3表示从外网去ping防火墙,是正常的;说明INPUT链的规则是正确的:
图5.1.3
图5.1.4外网ping内网:
显示失败,说明规则表中FORWARD中的规则是拒绝icmp包的转发
图5.1.4
3.设置防火墙规则
图5.1.5使用命令iptables-F清空防火墙规则表:
显示防火墙的规则表发现
图5.1.5
图5.1.6设置防火墙默认规则,拒绝一切ICMP出入:
图5.1.6
图5.1.7使用命令iptables -L查看是否写入防火墙规则:
图5.1.7
从防火墙去ping内网IntraNet,不通;说明规则:iptables -I OUTPUT -p ICMP -j DROP生效:
图5.1.8防火墙ping内网
从内网IntraNet去ping外网ExterNet,成功;说明规则:iptables -P FORWARD ACCEPT生效:
图5.1.9内网ping外网
图5.1.10此时查看内网ping外网的结果显示成功说明iptables -P FORWARD ACCEPT,已成功写入iptables的规则表内且生效。:
图5.1.10内网ping外网
图5.1.11此时添加命令
iptables -A FORWARD -p ICMP --icmp-type 8 -s 192.168.100.0/24 -d 192.168.110.0/24 -j DROP
放行外部网络对内部网络的ICPM响应报文(Type 0),以及放行内部网络对外部网络的ICMP请求报文(Type 8)
图5.1.11添加命令结果
设置外网不允许通过的规则后:
图5.1.12外网ping内网显示失败:
图5.1.12外网ping内网
图5.1.13内网ping内网显示成功:
图5.1.13内网ping外网