前言
本文旨在复习iptables FORWARD表的相关知识,构建简易实验环境,实现通过iptables构建网络防火墙。
iptables实现的防火墙功能:
主机防火墙:服务范围为当前主机
网络防火墙:服务范围为局域网络
1. 实验拓扑
2. 主机规划
主机名 | 角色 | 网卡 | IP地址 |
node1 | 内网主机 | vmnet2:eno16777736 | 192.168.11.2/24 |
node2 | 网关主机 | vmnet2:eno16777736 桥接:eno33554984 | 192.168.11.1/24 172.16.52.52/16 |
node3 | 外网主机 | 桥接:eno16777736 | 172.16.52.53/16 |
说明:
node1 添加一条默认网关指向192.168.11.1
route add default gw 192.168.11.1
node2 要开启ip_forward功能
sysctl -w net.ipv4.ip_forward=1
内网要与外网通讯node3还要添加一条指向192.168.11.0/24网络路由
route add -net 192.168.11.0/24 gw 172.16.52.52
3.测试实验环境
node1:开启httpd服务,测试node3能否访问
[root@node3 ~]# ping 192.168.11.2 PING 192.168.11.2 (192.168.11.2) 56(84) bytes ofdata. 64 bytes from 192.168.11.2: icmp_seq=1 ttl=63 time=0.467 ms 64 bytes from 192.168.11.2: icmp_seq=2 ttl=63 time=0.502 ms
[root@node3 ~]# curl 192.168.11.2 <h1>node1 apache sit<h1
4. 构建iptables网络防火墙
4.1 拒绝所有请求
[root@node2 ~]# iptables -A FORWARD -j DROP
4.2 开放所有ESTABLISED,RELATED的请求
[root@node2 ~]# iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
4.3 开放从内网到外网所有为NEW的请求
[root@node2 ~]# iptables -I FORWARD 2 -s192.168.11.0/24 -m state --state NEW -j ACCEPT
[root@node2 ~]# iptables -vnL Chain INPUT (policy ACCEPT 113 packets, 9316 bytes) pkts bytes target prot opt in out source destination Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 37 3108 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 3 236 ACCEPT all -- * * 192.168.11.0/24 0.0.0.0/0 state NEW 696 58080 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 Chain OUTPUT (policy ACCEPT 44 packets, 4040 bytes) pkts bytes target prot opt in out source destination
现在内网是可以访问外网的,但是外网进来的所有请求都被拒绝
4.4 开放从外到内的21端口,22端口,23端口,80端口,状态为NEW的请求
[root@node2 ~]# iptables -I FORWARD 3 -d 192.168.11.2 -p tcp -m multiport --dports 21:23,80 -m state --state NEW -j ACCEPT
node3:ftp测试访问:
[root@node3 ~]# lftp 192.168.11.2 lftp 192.168.11.2:~> ls `ls‘ at 0 [Making data connection...]
RELATED状态已经追踪,21号端口已经开放,为什么还是不能访问?因为nf_conntrack_ftp 模块没有加载
加载nf_conntrack_ftp 模块:
[root@node2 ~]# modprobe nf_conntrack_ftp
[root@node3 ~]# lftp 192.168.11.2 lftp 192.168.11.2:~> ls drwxr-xr-x 2 0 0 6 Nov 20 2015 pub
总结:网关防火墙iptables策略做的是白名单,默认拒绝所有,只有开放的服务,外网才能访问。内网访问外网没有特殊情况一般为允许。
本文出自 “Hello,Linux” 博客,转载请与作者联系!
原文地址:http://zhangbei.blog.51cto.com/11081042/1829379