防火墻作為一種網(wǎng)絡(luò)或系統(tǒng)之間強制實行訪問控制的機制，是確保網(wǎng)絡(luò)安全的重要手段。針對不同的需求和應(yīng)用環(huán)境，可以量身定制出不同的防火墻系統(tǒng)。防火墻大到可由若干路由器和堡壘主機構(gòu)成，也可小到僅僅是網(wǎng)絡(luò)操作系統(tǒng)上一個防火墻軟件包所提供的包過濾功能。 在眾多網(wǎng)絡(luò)防火墻產(chǎn)品中，Linux操作系統(tǒng)上的防火墻軟件特點顯著。首先是Linux操作系統(tǒng)作為一個類Unix網(wǎng)絡(luò)操作系統(tǒng)，在系統(tǒng)的穩(wěn)定性、健壯性及價格的低廉性方面都獨具優(yōu)勢。更為重要的是，Linux不但本身的源代碼完全開放，而且系統(tǒng)包含了建立Internet網(wǎng)絡(luò)環(huán)境所需要的所有服務(wù)軟件包，如Apache Web服務(wù)器、DNS服務(wù)器、Mail服務(wù)器、Database服務(wù)器等。同樣，基于Linux的防火墻軟件不但具有強大的功能，而且大部分都是開放軟件。
隨著Internet的飛速發(fā)展，安全問題越來越重要。利用Linux構(gòu)建企業(yè)網(wǎng)深受中小企業(yè)的青睞，而利用Linux構(gòu)建企業(yè)網(wǎng)的防火墻系統(tǒng)也成為眾多中小企業(yè)的理想選擇。 Linux 內(nèi)核從1.1版本開始，就已經(jīng)具備包過濾功能。在2.0內(nèi)核中，開始采用Ipfwadm來操作內(nèi)核的包過濾規(guī)則。到2.2版本時，Linux內(nèi)核采用了 Ipchains來控制內(nèi)核的包過濾規(guī)則。發(fā)展到2.4.x時，Ipchains被一個全新的包過濾管理工具Iptables所替代。新發(fā)布的2.6版內(nèi)核也在安全方面進(jìn)行了改進(jìn)。因此，無論擁有哪個版本的Linux內(nèi)核，無論選擇哪個版本的Linux來構(gòu)建自己的企業(yè)網(wǎng)，都可以利用現(xiàn)有的系統(tǒng)構(gòu)建出一個理想實用的防火墻。 防火墻系統(tǒng)可分為包過濾型、應(yīng)用級網(wǎng)關(guān)（也叫代理服務(wù)器型防火墻）和電路級網(wǎng)關(guān)三種基本類型。
Linux提供的防火墻軟件包內(nèi)置于Linux內(nèi)核中，是一種基于包過濾型的防火墻實現(xiàn)技術(shù)。其中心思想是根據(jù)網(wǎng)絡(luò)層IP包頭中的源地址、目的地址及包類型等信息來控制包的流向。更徹底的過濾則是檢查包中的源端口、目的端口以及連接狀態(tài)等信息。 Netfilter是Linux核心中一個通用架構(gòu)，用于擴(kuò)展各種服務(wù)的結(jié)構(gòu)化底層服務(wù)。它提供一系列的表（tables），每個表由若干鏈（chains）組成，而每條鏈中可以由一條或數(shù)條規(guī)則（rule）組成。它可以和其它模塊（如iptables模塊和nat模塊）結(jié)合起來實現(xiàn)包過濾功能。Iptables是一個管理內(nèi)核包過濾的工具，可以加入、插入或刪除核心包過濾表格中的規(guī)則。實際上真正來執(zhí)行這些過濾規(guī)則的是Netfilter 。
硬件平臺：
① R.H linux9.0系統(tǒng)pc一臺（FireWall）三個8139 TP-LINK 網(wǎng)卡
Eth0(IP：218.197.93.115)
Eth1(IP：192.168.1.1)
Eth2(IP：192.168.2.1)
② R.H linux9.0系統(tǒng)pc一臺B（SERVER）一個8139 TP-LINK 網(wǎng)卡
C（IP：192.168.1.2）
③ 筆記本A一臺雙系統(tǒng)（windows Xp和R.H linux9.0）一個8139網(wǎng)卡，Cute-ftp軟件一套
A（IP：192.168.2.2）
④windows Xp系統(tǒng)pc一臺一個8139網(wǎng)卡,Cute-ftp軟件一套
B（IP：218.197.93.161）
⑤RJ45交叉線若干
實驗?zāi)康模?/STRONG>
一> 實現(xiàn)FireWall的NAT功能讓A能訪問WAN（218.197.93.254）
二>在SERVER上開啟ftp,web服務(wù)（簡單的）使得A,B正常訪問C
三>開啟防火墻
1. 內(nèi)網(wǎng)可以訪問外網(wǎng)
內(nèi)網(wǎng)的用戶顯然需要自由地訪問外網(wǎng)。在這一策略中，防火墻需要進(jìn)行源地址轉(zhuǎn)換。
2. 內(nèi)網(wǎng)可以訪問DMZ
此策略是為了方便內(nèi)網(wǎng)用戶使用和管理DMZ中的服務(wù)器。
3. 外網(wǎng)不能訪問內(nèi)網(wǎng)
很顯然，內(nèi)網(wǎng)中存放的是內(nèi)部數(shù)據(jù)，這些數(shù)據(jù)不允許外網(wǎng)的用戶進(jìn)行訪問。
4.外網(wǎng)可以訪問DMZ
DMZ中的服務(wù)器本身就是要給外界提供服務(wù)的，所以外網(wǎng)必須可以訪問DMZ。同時，外網(wǎng)訪問DMZ需要由防火墻完成對外地址到服務(wù)器實際地址的轉(zhuǎn)換。
5.DMZ不能訪問內(nèi)網(wǎng)
很明顯，如果違背此策略，則當(dāng)入侵者攻陷DMZ時，就可以進(jìn)一步進(jìn)攻到內(nèi)網(wǎng)的重要數(shù)據(jù)。
6.DMZ不能訪問外網(wǎng)
DMZ中的服務(wù)器專門用于給外界提供服務(wù)的，所以外網(wǎng)必須可以訪問DMZ，而DMZ中的服務(wù)器則不允許主動訪問外網(wǎng)。
實驗步驟：
一>實現(xiàn)路由功能：
首先來配置eth0。給這個網(wǎng)絡(luò)接口分配地址218.197.93.115，運行下列命令：
# ifconfig eth0 218.197.93.115 netmask 255.255.255.0
為了使這個地址不再計算機重新啟動后消失，編輯/etc/sysconfig/network-scripts/ifcfg-eth0文件，
DEVICE = eth0
ONBOOT = yes
BROADCAST = 218.197.93.255
NETWORK = 218.197.93.0
NETMASK = 255.255.255.0
IPADDR = 218.197.93.115
增加一條靜態(tài)路由：
# route add -net 218.197.93.0 netmask 255.255.255.0
接下來，配置eth1，eth1與192.168.1.0網(wǎng)段相連，分配給它的地址是192.168.1.1，使用ifconfig命令為它配置參數(shù)：
# ifconfig eth1 192.168.1.1 netmask 255.255.255.0
編輯/etc/sysconfig/network-scripts/ifcfg-eth1文件，
DEVICE = eth1
ONBOOT = yes
BROADCAST = 192.168.1.255
NETWORK = 192.168.1.0
NETMASK = 255.255.255.0
IPADDR = 192.168.1.1
增加一條靜態(tài)路由：
# route add -net192.168.1.0 netmask 255.255.255.0
最后配置eth2，它連接192.168.2.0網(wǎng)段，分配的IP地址是192.168.2.1，執(zhí)行下列命令：
# ifconfig eth2 192.168.2.1 netmask 255.255.255.0
- 5 -
編輯/etc/sysconfig/network-scripts/ifcfg-eth2文件
DEVICE = eth2
ONBOOT = yes
BROADCAST = 192.168.2.255
NETWORK = 192.168.2.0
NETMASK = 255.255.255.0
IPADDR = 192.168.2.1
增加一條靜態(tài)路由：
# route add -net 192.168.2.0 netmask 255.255.255.0
這樣網(wǎng)絡(luò)中就有三條靜態(tài)路由記錄了：
# route Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface
218,197.93.115 *255.255.255.0U 0 0 0 eth0
192.168.1.0*255.255.255.0U 0 0 0 eth1
192.168.2.0*255.255.255.0U 0 0 0 eth2
還要為系統(tǒng)增加一條缺省路由，因為缺省的路由是把所有的數(shù)據(jù)包都發(fā)往它的上一級網(wǎng)關(guān)，因此增加如下的缺省路由記錄：
# route add default gw 218.197.93.254
這樣系統(tǒng)的靜態(tài)路由表建立完成，它的內(nèi)容是
# route Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface
218,197.93.115 *255.255.255.0U 0 0 0 eth0
192.168.1.0*255.255.255.0U 0 0 0 eth1
192.168.2.0*255.255.255.0U 0 0 0 eth2
default218.197.93.254 0.0.0.0 UG 0 0 0 eth0
二>在C上開啟www,ftp服務(wù)：
#service httpd start
#service vsftpd start
三>在防火墻上初始化設(shè)置
◆防火墻上初始化
#service iptables stop
#iptables -F
#iptables -t nat -F
#iptables -X
#iptables -t nat -X
#iptables -Z
#iptables -t nat -Z
#iptables -P INPUT DROP
#iptables -P OUTPUT DROP
#iptables -P FORWARD DROP
#iptables -t nat -P POSTROUTING DROP
#service iptables start
◆最后一步，要增加系統(tǒng)的IP轉(zhuǎn)發(fā)功能,執(zhí)行如下命令打開ip轉(zhuǎn)發(fā)功能：
echo 1 > /proc/sys/net/ipv4/ip_forward
四>在防火墻上實現(xiàn)端口地址映射：
◆允許A機器訪問WAN
iptables -A FORWARD -s 192.168.2.0/24 -i eth2 -j ACCEPT
◆A往C的包都允許
iptables -A FORWARD -s 192.168.2.0/24 -d 192.168.1.0/24 -i eth2 -j ACCEPT
◆WAN往A的包都不允許
iptables -t nat -A PREROUTING -s 0.0.0.0/0 -d 192.168.2.0/24 -i eth0 -j DROP
◆允許WAN向內(nèi)部發(fā)送已建立連接的包和相關(guān)連接的包。
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to 218.197.93.115
◆允許WAN發(fā)往www，ftp服務(wù)器的包并把對網(wǎng)關(guān)的www,ftp請求轉(zhuǎn)發(fā)到內(nèi)部的www,ftp服務(wù)器上。
#iptables -t nat -A PREROUTING -p tcp --dport 80 -d 218.197.93.115 -s 0.0.0.0/0 -i eth0 -j DNAT --to 192.168.1.2
#iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 192.168.1.2 -i eth0 --dport 80 -j ACCEPT
#iptables -A FORWARD -p tcp -d 0.0.0.0/0 -s 192.168.1.2 -i eth1 --sport 80 ! --syn -j ACCEPT
#iptables -t nat -A PREROUTING -p tcp --dport 20,21 -d 218.197.93.115 -s 0.0.0.0/0 -i eth0 -j DNAT --to 192.168.1.2
#iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 192.168.1.2 -i eth0 --dport 20,21 -j ACCEPT
#iptables -A FORWARD -p tcp -d 0.0.0.0/0 -s 192.168.1.2 -i eth1 --sport 20,21 ! --syn -j ACCEPT
#iptables -t nat -A PREROUTING -s 0.0.0.0/0 -d 192.168.1.0/24 -i eth0 -j DROP
C不能訪問A,B
iptables -A FORWARD -s 192.168.1.0/24 –d 0.0.0.0/0 -i eth1 -j DROP
