1、 一、网络结构在现有网络中增加防火墙，主要作用为控制内部上网等等。要求可以灵活控制，包括时间段不同控制，流量限制等。现有网络拓扑图：由于安装防火墙时要求不需要修改内网服务器和 PC 机配置，所以采用透明防火墙（网桥模式）。修改后拓扑图：防火墙需要三块网卡，其中两块网卡做网桥，一块网卡配置 ip 做为管理用网卡。内部网络要访问不同网段，数据包需要路由转换，这时就要通过防火墙才能到达路由。防火墙采用 linux 系统，使用 iptables 和 ebtables 进行过滤数据包。经过测试交换机划分 vlan 在路由器终结数据包，这样的数据包可以在iptables 和 ebtables 中进行分析处
2、理。网桥在网络的第二层，iptables 和ebtables 在 linux 2.6 内核中可以分析到第二层的数据包。二、防火墙工具分析1）iptables 说明Iptables 对数据包的处理流程：数据包进入系统，经过 IP 校验后经过PREROUTING 链中的 Mangle 和 Nat 的处理；再经过路由查找，决定该数据包需要转发还是发给本机；如果该数据包是发给本机的，则经过 INPUT 链的 Mangle和 Filter 处理后再传递给上层协议；如果需要转发，则发给 FORWARD 链的Mangle 和 Filter 进行处理；本机网络层以上各层产生的数据包通过 OUTPUT 链的 M
3、angle、Nat、Filter 处理后，再进行路由选择；所有需要发送到网络中的数据包，都必须经过 POSTROUTING 链的 Mangle 和 Nat 进行处理。2）ebtalbles 说明Ebtables 对数据帧的处理过程：数据帧进入数据链路层，首先经过 BROURING链的 Broute 处理，决定是直接路由该数据帧还是让它进入到 PREROUTING 链，如果数据帧的目的地址和源地址在同一个网段，网桥会屏蔽它；如果数据帧是多播帧或广播帧，则要在同一网段中除了接收端口以外的其他端口发送这个数据帧。接下来，数据帧到达 PREROUTING 链后可以改变目的 MAC 地址（DNAT）；当
4、数据帧通过 PREROUTING 链后，Ebtables 将会根据该数据帧的目的 MAC 地址决定是否转发该帧，如果这个帧的目的 MAC 是本机的，就会进入到 INPUT 链，在这个链中，可以过滤进入本机的数据帧，通过 INPUT 链后，就到达网络层，数据帧变成数据包；如果数据帧的目的 MAC 不是本机的，它进入 FORWARD 链，FORWARD 链将过滤数据帧；然后这个数据帧就会到达 POSTROUTING 链，在这里可以改变数据帧的源 MAC 地址（SNAT）。由本机产生的帧，首先判断是否需要Bridging，如果不需要则进行直接路由；如果需要就会进入到 OUTPUT 链中，以对数据帧改
5、变目的 MAC 地址（DNAT）和过滤，接下来这个帧到达 POSTROUTING链，这个链可以改变数据帧的源 MAC 地址（SNAT）；最后，这个帧就到达了NIC。3）桥接方式的处理流程当数据帧进入 Linux 网桥后，先通过 Ebtables 的 BROUTING 链和 PREROUTING 链；接下来，经过 Iptables 的 PREROUTING 链，这时还是在数据链路层，而不是在Iptables 通常起作用的网络层，这就是 br_nf 帮助数据帧在数据链路层可以经过 Iptables 链的作用；然后，经过 Ebtables 的 FORWARD 链和 Iptables 的FORWARD
6、 链；最后，先后经过 Ebtables 和 Iptables 的 POSTROUTING 链。4）总结从前面的叙述，可以看到无论桥接还是路由方式，数据帧都会经过 Iptables的 FORWARD 链，这样就可以利用 Iptables/Ebtables 设计一个网桥防火墙。Linux2.6 中的 Ebtables/ Iptables 是一个非常强大的防火墙系统，可以同时在数据链路层和网络层对数据帧或数据包进行过滤、地址转换、数据包传输特性的改变。利用 Ebtables/ Iptables 可以构建一个网桥路由器，尤其重要的是它还可以连接不同协议的网络，实现过滤等功能。因此，利用Ebtables
7、/Iptables 可以构建一种简单宜用、功能强大、经济高效的网桥防火墙。由于 iptables 功能比 ebtables 更强大，应用也较为广泛，所以一般都使用iptables 来做防火墙。三、系统安装centos linux 5.0 是使用 linux 2.6 内核的操作系统。1）系统安装1输入 linux text 选择 text 安装模式。2安装时语言环境选 English。3键盘类型选 us。4鼠标选择 No-mouse。5安装类型选 Custom。6分区设置：/boot ext3 100M 启动分区/ ext3 10G 系统分区Swap swap 1G 虚拟内存/var ext3
8、剩余空间 日志分区7使用 GRUB Boot loader。8不增加参数在 Boot Loader Configuration。9不为 Boot Loader 设置密码。10设置 Boot Loader 启动 Linux。11将 Boot Loader 安装在硬盘的 MBR。12网络设置，默认安装后进行配置。13主机名称视情况而定，预定为 UC-WEB-数字。14防火墙的安全级别设为 No firewall。15语言支持选 English (USA) 和 Chinese (P.R. of China)。16默认语言为 English (USA)。17时区选 Asia/Shanghai。18Ro
9、ot Password 为：redhat19Authentication Configuration 启用 Use Shadow Passwords 和 Enable MD5 Passwords。20Package Group 选择： Editors21不必创建 Boot Diskette。22配置显示选项，指定启动时进入文本模式。OS 安装完毕。2）系统配置1禁用多于服务rm /etc/rc.d/rc3.d/* -rfchkconfig crond onchkconfig network onchkconfig rsync onchkconfig sshd onchkconfig syslo
10、g onchkconfig xinetd onchkconfig iptables on2定时同步时间crontab -e加入10 03 * * * /usr/sbin/ntpdate -u tick.ucla.edu ntp.nasa.gov timekeeper.isi.edu usno.pa-3关闭 ipv6echo “alias net-pf-10 off“ /etc/modprobe.conf.dist4修改默认启动内核vi /boot/grub/gurb.conf修改默认启动内核为 2.6 内核，不要使用加有 xen（虚拟技术）的内核。四、防火墙的实现1）配置网卡1.网桥配置br
11、ctl add br0建立网桥touch /etc/sysconfig/network-scripts/ifcfg-br0建立网桥配置文件 ifcfg-br0vi /etc/sysconfig/network-scripts/ifcfg-br0DEVICE=br0TYPE=BridgeBOOTPROTO=staticIPADDR=0.0.0.0ONBOOT=yes2.添加网卡到网桥把 eth1 和 eth2 两网卡添加到网桥中。eth0 一般为主板集成网卡性能不好，所以用作管理网卡初始化网卡ifconfig eth1 0.0.0.0 upifconfig eth1 0.0.0.0 up添加网卡
12、到网桥brctl addif br0 eth0 eth1查看网桥信息brctl show修改 eth1 网卡配置文件vi /etc/sysconfig/network-scripts/ifcfg-eth1DEVICE=eth1TYPE=EthernetBOOTPROTO=staticIPADDR=0.0.0.0ONBOOT=yesBRIDGE=br0修改 eth2 网卡配置文件vi /etc/sysconfig/network-scripts/ifcfg-eth2DEVICE=eth2TYPE=EthernetBOOTPROTO=staticIPADDR=0.0.0.0ONBOOT=yesBR
13、IDGE=br03.配置管理网卡修改 eth0 网卡配置文件vi /etc/sysconfig/network-scripts/ifcfg-eth0DEVICE=eth0TYPE=EthernetBOOTPROTO=staticIPADDR=10.0.254.252NETMASK=255.255.252.0GATEWAY=10.0.254.254ONBOOT=yesBRIDGE=br02）防火墙配置实施防火墙策略的一般过程是先禁止所有的转发数据帧或数据包通过，然后再根据需要设定数据帧或数据包的过滤规则。1. 禁止所有iptables -F INPUTiptables -F FORWARDipt
14、ables -F OUTPUT清除 iptables 中全部规则iptables -P INPUT ACCEPTiptables -P FORWARD DROPiptables -P OUTPUT ACCEPT修改默认策略2. 允许访问规则iptables -A FORWARD -p icmp -m limit limit 4/s -j ACCEPT允许 icmpIptables -A FORWARD -d 10.0.254.0/255.255.255.0 j ACCEPT允许任何地址访问 254 网段Iptables -A FORWARD -s 10.0.2.36 j ACCEPT允许 10
15、.0.2.36 访问任何地址3定时修改将访问列表写在一个 shell 脚本中，在 crontab e 中定时执行脚本。附 Ebtables 使用规则如下：ebtables -t table -ADI chain rule-specification match-extensions watcher-extensions-t table :一般为 FORWARD 链。ADI：A 添加到现有链的末尾；D 删除规则链（必须指明规则链号）；I 插入新的规则链（必须指明规则链号）。-P:规则表的默认规则的设置。可以 DROP,ACCEPT,RETURN。-F:对所有的规则表的规则链清空。-L:指明规则表
16、。可加参数，Lc,Ln-p:指明使用的协议类型，ipv4,arp 等可选（使用时必选）详情见/etc/ethertypesip-proto:IP 包的类型，1 为 ICMP 包，6 为 TCP 包，17 为 UDP 包，在/etc/protocols 下有详细说明ip-src:IP 包的源地址ip-dst:IP 包的目的地址ip-sport:IP 包的源端口ip-dport:IP 包的目的端口-i:指明从那片网卡进入-o:指明从那片网卡出去简单配置规则如下：#!/bin/bashecho “The ebtables start !“ebtables -P FORWARD ACCEPT ebta
17、bles -P INPUT ACCEPTebtables -P OUTPUT ACCEPTebtables -F ebtables -A FORWARD -p ipv4 -i eth0/eth1 ip-proto (6/17) ip-dst(目的 IP) ip-dport(目的端口) -j DROPebtables -A FPRWARD -p ipv4 -i eth0/eth1 ip-proto (7/17) ip-src(源 IP) ip-sport(源端口) -jDROP附 iptables 基本命令使用举例一、链的基本操作1、清除所有的规则。1）清除预设表 filter 中所有规则链中的
18、规则。# iptables -F2）清除预设表 filter 中使用者自定链中的规则。#iptables -X#iptables -Z2、设置链的默认策略。一般有两种方法。1）首先允许所有的包，然后再禁止有危险的包通过放火墙。#iptables -P INPUT ACCEPT#iptables -P OUTPUT ACCEPT#iptables -P FORWARD ACCEPT2）首先禁止所有的包，然后根据需要的服务允许特定的包通过防火墙。#iptables -P INPUT DROP#iptables -P OUTPUT DROP#iptables -P FORWARD DROP3、列出表
19、/链中的所有规则。默认只列出 filter 表。#iptables -L4、向链中添加规则。下面的语句用于开放网络接口：#iptables -A INPUT -i lo -j ACCEPT#iptables -A OUTPUT -o lo -j ACCEPT#iptables -A INPUT -i eth0 -j ACEPT#iptables -A OUTPUT -o eth1 -j ACCEPT#iptables -A FORWARD -i eth1 -j ACCEPT#iptables -A FORWARD -0 eth1 -j ACCEPT注意:由于本地进程不会经过 FORWARD 链
20、，因此回环接口 lo 只在 INPUT 和OUTPUT 两个链上作用。5、使用者自定义链。#iptables -N custom#iptables -A custom -s 0/0 -d 0/0 -p icmp -j DROP#iptables -A INPUT -s 0/0 -d 0/0 -j DROP二、设置基本的规则匹配1、指定协议匹配。1）匹配指定协议。#iptables -A INPUT -p tcp2）匹配指定协议之外的所有协议。#iptables -A INPUT -p !tcp2、指定地址匹配。1）指定匹配的主机。#iptables -A INPUT -s 192.168.0.
21、182）指定匹配的网络。#iptables -A INPUT -s 192.168.2.0/243）匹配指定主机之外的地址。#iptables -A FORWARD -s !192.168.0.194）匹配指定网络之外的网络。#iptables -A FORWARD -s ! 192.168.3.0/243、指定网络接口匹配。1）指定单一的网络接口匹配。#iptables -A INPUT -i eth0#iptables -A FORWARD -o eth02）指定同类型的网络接口匹配。#iptables -A FORWARD -o ppp+4、指定端口匹配。1）指定单一端口匹配。#ipta
22、bles -A INPUT -p tcp sport www#iptables -A INPUT -p udp dport 532）匹配指定端口之外的端口。#iptables -A INPUT -p tcp dport !223）匹配端口范围。#iptables -A INPUT -p tcp sport 22:804）匹配 ICMP 端口和 ICMP 类型。#iptables -A INOUT -p icmp icimp-type 85）指定 ip 碎片。每个网络接口都有一个 MTU（最大传输单元），这个参数定义了可以通过的数据包的最大尺寸。如果一个数据包大于这个参数值时，系统会将其划分成更
23、小的数据包（称为 ip 碎片）来传输，而接受方则对这些 ip 碎片再进行重组以还原整个包。这样会导致一个问题：当系统将大数据包划分成 ip 碎片传输时，第一个碎片含有完整的包头信息（IP+TCP、UDP 和 ICMP），但是后续的碎片只有包头的部分信息（如源地址、目的地址）。因此，检查后面的 ip 碎片的头部（象有 TCP、UDP 和 ICMP 一样）是不可能的。假如有这样的一条规则：#iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 192.168.2.100 dport 80 -j ACCEPT并且这时的 FORWARD 的 policy 为
24、DROP 时，系统只会让第一个 ip 碎片通过，而余下的碎片因为包头信息不完整而无法通过。可以通过fragment/-f 选项来指定第二个及以后的 ip 碎片解决上述问题。#iptables -A FORWARD -f -s 192.168.1.0/24 -d 192.168.2.100 -j ACCEPT注意现在有许多进行 ip 碎片攻击的实例，如 DoS 攻击，因此允许 ip 碎片通过是有安全隐患的，对于这一点可以采用 iptables 的匹配扩展来进行限制。三、设置扩展的规则匹配（举例已忽略目标动作）1、多端口匹配。1）匹配多个源端口。#iptables -A INPUT -p tcp
25、-m multiport sport 22,53,80,1102）匹配多个目的端口。#iptables -A INPUT -p tcp -m multiport dpoort 22,53,803）匹配多端口(无论是源端口还是目的端口）#iptables -A INPUT -p tcp -m multiport port 22,53,80,1102、指定 TCP 匹配扩展使用 tcp-flags 选项可以根据 tcp 包的标志位进行过滤。#iptables -A INPUT -p tcp tcp-flags SYN,FIN,ACK SYN#iptables -A FROWARD -p tcp t
26、cp-flags ALL SYN,ACK上实例中第一个表示 SYN、ACK、FIN 的标志都检查，但是只有 SYN 匹配。第二个表示 ALL（SYN，ACK，FIN，RST，URG，PSH）的标志都检查，但是只有设置了 SYN 和 ACK 的匹配。#iptables -A FORWARD -p tcp syn选项syn 相当于”tcp-flags SYN,RST,ACK SYN”的简写。3、limit 速率匹配扩展。1）指定单位时间内允许通过的数据包个数，单位时间可以是/second、/minute、/hour、/day 或使用第一个子母。#iptables -A INPUT -m limit
27、 limit 300/hour2 )指定触发事件的阀值。#iptables -A INPUT -m limit limit-burst 10用来比对一次同时涌入的封包是否超过 10 个，超过此上限的包将直接丢弃。3）同时指定速率限制和触发阀值。#iptables -A INPUT -p icmp -m limit -limit 3/m limit-burst 3表示每分钟允许的最大包数量为限制速率（本例为 3）加上当前的触发阀值burst 数。任何情况下，都可保证 3 个数据包通过，触发阀值 burst 相当于允许额外的包数量。4）基于状态的匹配扩展（连接跟踪）每个网络连接包括以下信息：源地址
28、、目标地址、源端口、目的端口，称为套接字对（socket pairs）；协议类型、连接状态（TCP 协议）和超时时间等。防火墙把这些信息称为状态（stateful）。状态包过滤防火墙能在内存中维护一个跟踪状态的表，比简单包过滤防火墙具有更大的安全性，命令格式如下：iptables -m state -state !state ,state,state,state其中，state 表是一个逗号分割的列表，用来指定连接状态，4 种：NEW: 该包想要开始一个新的连接（重新连接或连接重定向）RELATED:该包是属于某个已经建立的连接所建立的新连接。举例：FTP 的数据传输连接和控制连接之间就是 R
29、ELATED 关系。ESTABLISHED：该包属于某个已经建立的连接。INVALID:该包不匹配于任何连接，通常这些包被 DROP。例如：（1）在 INPUT 链添加一条规则，匹配已经建立的连接或由已经建立的连接所建立的新连接。即匹配所有的 TCP 回应包。#iptables -A INPUT -m state state RELATED,ESTABLISHED（2）在 INPUT 链链添加一条规则，匹配所有从非 eth0 接口来的连接请求包。#iptables -A INPUT -m state -state NEW -i !eth0又如，对于 ftp 连接可以使用下面的连接跟踪：（1）被
30、动（Passive）ftp 连接模式。#iptables -A INPUT -p tcp sport 1024: dport 1024: -m state -state ESTABLISHED -j ACCEPT#iptables -A OUTPUT -p tcp sport 1024: dport 1024: -mstate -state ESTABLISHED,RELATED -j ACCEPT（2）主动（Active）ftp 连接模式#iptables -A INNPUT -p tcp sport 20 -m state -state ESTABLISHED,RELATED -j ACCEPT#iptables -A OUTPUT -p tcp OUTPUT -p tcp dport 20 -m state state ESTABLISHED -j ACCEPT5）TOS 匹配扩展。四、设置目标扩展目标扩展由内核模块组成，而且 iptables 的一个可选扩展提供了新的命令行选项。
