Linux防火墙配置
一、实验要求
1.不允许外网不经过防火墙与内网进行通信
2.允许内网用户通过防火墙访问外部HTTP、HTTPS服务器
3.允许内网用户通过防火墙访问外部FTP服务器
二、实验环境
1.使用两台Linux虚拟机和一台win10物理机。一台Linux主机作为网关（需要双网卡），另一台Linux主机作为内网，使用物理机作为外网。
2.我使用的是Red Hat6.5版本。Red Hat 7及以上版本命令与该版本相差较大。
三、实验步骤
1.配置网关
(1):设置网关为双网卡
虚拟机-->设置-->网络适配器-->添加-->网络适配器-->完成
添加后的结果如图所示
其中，连接内网的网络适配器为NAT模式，连接外网的网络适配器为VMnet8(NAT)模式
(2):查看配置文件
cd /etc/sysconfig/network-scripts/ 转到相关的配置文件目录下
mv ifcfg-eth0 ifcfg-eth1 重命名配置文件（为了和网卡名相一致）
cp ifcfg-eth1 ./ifcfg-eth2 因为设置了双网卡，现在只有一个配置文件，所以复制一份配置文件用来配置网卡2
(3):修改网卡1(连接内网的网卡)配置文件内容
配置文件内容如下：
该IP地址要与内网的IP地址在同一个网段
(4):修改网卡2(连接外的网卡)配置文件内容
注意：在改配置文件中，IP地址不能随便指定。应该先去物理机（win10）上查看VMnet8网卡的IP，使得该IP与VMnet8网卡处于同一网段（但是尽量不要使用xxx.xxx.xxx.2,因为一般的网关为这个，为了避免冲突）。
在物理机上使用ipconfig查看VMnet8的IP
可以看见，设置的IP与VMnet8的网卡处于同一个网段。
(5):重启网络服务
(6):设置转发功能
修改配置文件
配置文件内容如下
只需要将方框中的值由原来的0改为1，表明开启转发功能
(7):加载内核
这样，网关就配置好了。
2.配置内网
(1):设置内网的网络适配器为NAT模式
(2): 修改配置文件
转到相应的配置文件目录下
修改配置文件
配置文件内容如下
该内网的IP与网关的网卡１的IP应该处于同一网段，内网的网关(GATEWAY)为连接内网的网卡接口eth1的网卡的IP地址，并且设置DNS服务器。
(3):重启网络服务
3.验证
这样，简单的环境就配置好了，就可以进行验证了。可以从内网ping通外网，不能从外网ping通内网。
简单说一下，为什么外网ping不通内网，这是因为，内网的IP是一个私有IP，当从外网访问该IP时，该IP会被转发给路由器，路由器发现这是一个私有IP，因此就会将该数据包丢弃。因此，从外网ping不通内网。
四、根据需要设置防火墙策略
首先，由于使用了网关进行了数据包的转发，所以应该在内网上设置防火墙策略。
1.不允许外网不经过防火墙与内网进行通信
思路：首先，在内网上同时访问两个网站IP，开始都可以ping通，然后在网关上设置防火墙策略，禁止其中一个IP，发现立马不能ping通，说明所有进出内网的数据包都经过防火墙。
(1):开始可ping通，增加了防火墙之后就ping不通了
(2):由于没有增加防火墙策略，所以一直可以ping通
(3):在网关上设置的防火墙策略如下
2.允许内网用户通过防火墙访问外部HTTP、HTTPS服务器
思路：开始不设置任何规则，内网可以访问外网，增加防火墙策略，限制80和443端口，此时，浏览器无法访问。注意，最后使用浏览器去访问，不要ping外网，因为ping使用的是ICMP数据包。
HTTP协议
(1):没有添加防火墙策略前，可以访问外网（使用80端口访问，西邮使用的是HTTP协议）
(2):添加了防火墙策略后，无法访问外网
(3):防火墙策略如下（注意，因为是在网关上进行转发的。所以必须禁掉FORWARD链中的80端口，内网才不能通过HTTP协议访问外网）
HTTPS协议
(1):没有添加防火墙策略前，可以访问外网（使用443端口访问，百度使用的是HTTPS协议）
(2):添加了防火墙策略后，无法访问外网
(3):防火墙策略如下（注意，因为是在网关上进行转发的。所以必须禁掉FORWARD链中的80端口，内网才不能通过HTTPS协议访问外网）
3. 允许内网用户通过防火墙访问外部FTP服务器
分享一个可以使用的FTP服务器网站：ftp://ftp.scene.org/music/groups/
(1):未添加防火墙策略前，可以访问FTP服务器
(2):配置了防火墙策略后，不可以访问FTP服务器
(3):防火墙策略如下
特别注意：因为这次实验拓扑图的关系，由于是使用网关进行转发，并且防火墙部署在网关上，所以一定要禁掉FORWARD链，禁掉其他链可能达不到预期效果。