Linux防火墙配置

一、实验要求

1.不允许外网不经过防火墙与内网进行通信

2.允许内网用户通过防火墙访问外部HTTP、HTTPS服务器

3.允许内网用户通过防火墙访问外部FTP服务器

二、实验环境

1.使用两台Linux虚拟机和一台win10物理机。一台Linux主机作为网关(需要双网卡),另一台Linux主机作为内网,使用物理机作为外网。

2.我使用的是Red Hat6.5版本。Red Hat  7及以上版本命令与该版本相差较大。

三、实验步骤

1.配置网关

(1):设置网关为双网卡

虚拟机-->设置-->网络适配器-->添加-->网络适配器-->完成

Linux防火墙配置_第1张图片

Linux防火墙配置_第2张图片

添加后的结果如图所示

Linux防火墙配置_第3张图片

其中,连接内网的网络适配器为NAT模式,连接外网的网络适配器为VMnet8(NAT)模式

(2):查看配置文件

cd   /etc/sysconfig/network-scripts/        转到相关的配置文件目录下

mv   ifcfg-eth0  ifcfg-eth1       重命名配置文件(为了和网卡名相一致)

cp  ifcfg-eth1   ./ifcfg-eth2       因为设置了双网卡,现在只有一个配置文件,所以复制一份配置文件用来配置网卡2

Linux防火墙配置_第4张图片

(3):修改网卡1(连接内网的网卡)配置文件内容

 

 配置文件内容如下:

Linux防火墙配置_第5张图片

该IP地址要与内网的IP地址在同一个网段 

(4):修改网卡2(连接外的网卡)配置文件内容 

Linux防火墙配置_第6张图片

注意:在改配置文件中,IP地址不能随便指定。应该先去物理机(win10)上查看VMnet8网卡的IP,使得该IP与VMnet8网卡处于同一网段(但是尽量不要使用xxx.xxx.xxx.2,因为一般的网关为这个,为了避免冲突)。

在物理机上使用ipconfig查看VMnet8的IP

Linux防火墙配置_第7张图片

 可以看见,设置的IP与VMnet8的网卡处于同一个网段。

(5):重启网络服务

Linux防火墙配置_第8张图片

(6):设置转发功能

修改配置文件

配置文件内容如下

Linux防火墙配置_第9张图片

只需要将方框中的值由原来的0改为1,表明开启转发功能

(7):加载内核

这样,网关就配置好了。

2.配置内网

(1):设置内网的网络适配器为NAT模式

Linux防火墙配置_第10张图片

(2): 修改配置文件

转到相应的配置文件目录下

 修改配置文件

配置文件内容如下

Linux防火墙配置_第11张图片

       该内网的IP与网关的网卡1的IP应该处于同一网段,内网的网关(GATEWAY)为连接内网的网卡接口eth1的网卡的IP地址,并且设置DNS服务器。

(3):重启网络服务

Linux防火墙配置_第12张图片

3.验证

这样,简单的环境就配置好了,就可以进行验证了。可以从内网ping通外网,不能从外网ping通内网。

Linux防火墙配置_第13张图片

Linux防火墙配置_第14张图片

       简单说一下,为什么外网ping不通内网,这是因为,内网的IP是一个私有IP,当从外网访问该IP时,该IP会被转发给路由器,路由器发现这是一个私有IP,因此就会将该数据包丢弃。因此,从外网ping不通内网。

 四、根据需要设置防火墙策略

首先,由于使用了网关进行了数据包的转发,所以应该在内网上设置防火墙策略。

1.不允许外网不经过防火墙与内网进行通信

       思路:首先,在内网上同时访问两个网站IP,开始都可以ping通,然后在网关上设置防火墙策略,禁止其中一个IP,发现立马不能ping通,说明所有进出内网的数据包都经过防火墙。

(1):开始可ping通,增加了防火墙之后就ping不通了

Linux防火墙配置_第15张图片

(2):由于没有增加防火墙策略,所以一直可以ping通 

Linux防火墙配置_第16张图片 (3):在网关上设置的防火墙策略如下Linux防火墙配置_第17张图片

2.允许内网用户通过防火墙访问外部HTTP、HTTPS服务器

  思路:开始不设置任何规则,内网可以访问外网,增加防火墙策略,限制80和443端口,此时,浏览器无法访问。注意,最后使用浏览器去访问,不要ping外网,因为ping使用的是ICMP数据包。

HTTP协议

(1):没有添加防火墙策略前,可以访问外网(使用80端口访问,西邮使用的是HTTP协议)

Linux防火墙配置_第18张图片

 

(2):添加了防火墙策略后,无法访问外网 

Linux防火墙配置_第19张图片 (3):防火墙策略如下(注意,因为是在网关上进行转发的。所以必须禁掉FORWARD链中的80端口,内网才不能通过HTTP协议访问外网)

Linux防火墙配置_第20张图片

HTTPS协议

(1):没有添加防火墙策略前,可以访问外网(使用443端口访问,百度使用的是HTTPS协议)

Linux防火墙配置_第21张图片

(2):添加了防火墙策略后,无法访问外网

Linux防火墙配置_第22张图片

 (3):防火墙策略如下(注意,因为是在网关上进行转发的。所以必须禁掉FORWARD链中的80端口,内网才不能通过HTTPS协议访问外网)

Linux防火墙配置_第23张图片

 

3. 允许内网用户通过防火墙访问外部FTP服务器

分享一个可以使用的FTP服务器网站:ftp://ftp.scene.org/music/groups/

(1):未添加防火墙策略前,可以访问FTP服务器

Linux防火墙配置_第24张图片

(2):配置了防火墙策略后,不可以访问FTP服务器

Linux防火墙配置_第25张图片

(3):防火墙策略如下

Linux防火墙配置_第26张图片

        特别注意:因为这次实验拓扑图的关系,由于是使用网关进行转发,并且防火墙部署在网关上,所以一定要禁掉FORWARD链,禁掉其他链可能达不到预期效果。

 

 

 

你可能感兴趣的:(Linux环境配置)