在Linux系統下配置企業級防火牆

在linux系統下配置企業級防火牆

大概配置如圖所示：

iptables的四表五鏈:

四表：

filter

和主機自身有關，主要負責過濾流入自己的資料報和自己流出的資料報，它是iptables預設的表。

filter表在這3個檢查點進行檢查：

input

負責過濾目標ip位址是自己本機的資料報

forward

負責過濾目標位址不是本機的資料報，但是防火牆的**機制要開啟（在/etc/sysctl.conf裡，把 net.ipv4.ip_forward=1）如果不開啟會把流經forwad檢查點的包丟棄掉

nat

和主機本身無關，負責將源ip位址進行轉換，轉換成公網ip，因為私網ip是不能與公網直接進行通訊的。

還負責將目標位址、埠轉換。

prerouting: 用於包在到達防火牆的時候，改變它的目標位址。dnat 目標位址轉換

output:用於改變防火牆本機產生的包的目標位址。

postrouting: 用於包在離開防火牆的時候，改變它的源位址。snat 源位址轉換

raw

mangle

五鏈：

prerouting

input

output

postrouting

forward

具體如下圖所示：

開始配置企業級防火牆

規則如下：

1、實現相關的 snat 功能。

**內部的客戶機上網，但是限制連線，下午 14:00 – 18:00 之間不允許訪問 www.taobao.com www.jd.com **。

2、實現 dnat 功能。將內部伺服器 172.16.100.99 對映到閘道器，允許外部主機訪問 172.16.100.99 提供的 web 服務

3、內部的 10.1.1.0 網段主機，只能通過閘道器訪問 172.16.100.99 的web 服務，但是管理員 10.1.1.10 不受限制，並繫結mac ，每個ip只能產生 3 個連線

4、閘道器主機本身，僅允許內部 ip 訪問自己的 web服務，僅允許 10.1.1.10 ssh 連線自己。

5、防禦外部主機，主動連線內部主機，僅僅讓外部主機能夠訪問 172.16.100.99 的 web 服務。

（1）清空防火牆規則 iptables -f iptables -x iptables -z iptables -t nat -f iptables -t nat -x iptables -t nat -z (2)設定防火牆全域性規則 iptables -t filter -p input drop iptables -t filter -p output accept iptables -t filter -p forward accept （3）實現內部客戶機上網 iptables -t nat -a postrouting -o ens33 -j masquerade （4）內部的 10.1 .1.0網段主機，只能通過閘道器訪問 172.16 .100 .99的web 服務，但是管理員10.1 .1.10不受限制，並繫結mac，每個ip只能產生 3 個連線 iptables -t filter -a forward -i ens39 -d 172.16 .100 .99-m mac --mac-source 00:0c:29:0a:51:d1 -s 10.1 .1.10 -p tcp --dport 80 -j accept iptables -t filter -a forward -i ens39 -d 172.16 .100 .99-p tcp ! --dport 80 -j drop iptables -t filter -a input -s 10.1 .1.10 -m mac --mac-source 00:0c:29:0a:51:d1 -p tcp --dport 22 -m connlimit ! --connlimit-above 3-j accept （5）閘道器主機本身，僅允許內部 ip訪問自己的 web服務，僅允許 10.1 .1.10 ssh 連線自己。 iptables -t filter -a input -i ens39 -p tcp --dport 80 -j accept iptables -t filter -a input -i ens38 -p tcp --dport 80 -j accept （6）防禦外部主機，動連線內部主機，僅僅讓外部主機能夠訪問 172.16 .100 .99 的 web 服務。 iptables -t nat -a prerouting -i ens33 -d 192.168 .72.125 -p tcp --dport 80 -j dnat -- to172.16 .100 .99（7）每天9：00到12：00，下午2：00 -18：00禁止訪問**網，京東網。 iptables -t filter -a forward -o ens33 -m string --algo kmp -- string "taobao" -m time --timestart 1:00 --timestop 4:00 -j drop iptables -t filter -a forward -o ens33 -m string --algo kmp -- string "jd" -m time --timestart 6:00 --timestop 10:00 -j drop 初次寫部落格，如有問題，請多多擔待！！！！

在Linux系統下配置企業級防火牆

zabbix企業級監控系統

企業級快取系統varnish應用

dboxShare 企業級網盤系統

在Linux系統下配置企業級防火牆

zabbix企業級監控系統

企業級快取系統varnish應用

dboxShare 企業級網盤系統

相關推薦