搞定透明防火墙

本次搭建的是透明模式的防火墙，并非透明代理,防火墙加入网络后不会更改以前的网络结构
我所讲解的过程中从不介绍理论，因为理论是拿来应付期末考试的，工作中不能解决问题，那还工作个P啊
所需软件：
bridge-utils-1.1-2
系统：AS 5.2    内核 2.6.27（升老级的）
首先保证 内核配置文件中Networking support － Networking options － Network packet filtering (replaces ipchains) 下面的没选中的全部编译成模块，防火墙需要 网络拓扑结构：
客户机  \
客户机 －－-交换机－－( eth0 )防火墙( eth1)---( 网关)路由－－ Internet
客户机  /

客户机IP为   1.2 ～ 1.200  打开DHCP
路由网关为   1.1
环境里会有两张网卡 eth0, eth1
现在这两张网卡的IP地址这些不去管他
1：
首先把当前的eth0和eth1网卡的IP地址取消(这步很关键)
ifconfig eth0 0.0.0.0
ifconfig eth1 0.0.0.0

2:
新增一个虚拟的桥接口  eo   (eo这个接口名字是我自己随便取的)
brctl addbr eo

3:
把eth0 和 eth1这两张网卡加入这个虚拟的eo接口中
brctl addif eo eth0
brctl addif eo eth1
使用brctl show来查看接口加入进来没有

4：
把虚拟的 eo 接口启动起来
ifconfig eo up
这个时候使用ifconfig命令就应该能看见虚拟的eo接口老

5：
现在给虚拟eo接口配置IP地址和掩码（iP随便选一个本网段未使用的就可以老，远程登录需要）
ifconfig eo 192.168.1.222 netmask 255.255.255.0

现在你会发现，这台防火墙 ping 客户机是可以ping通的，客户机也可以ping通防火墙，但是防火墙不能ping通外网。作为客户机，是可以正常和外网通信，而且客户机的DHCP也可以穿透防火墙分配到路由给予的IP地址，路由器所记录的MAC地址是客户机自己的MAC地址，说明防火墙已经处于透明模式了，内网中的任何一台主机现在都可以通过这个虚拟接口的IP远程登录到防火墙。

以上所有的配置都只是临时的，重启服务和系统后会失效，可以把上面的命令写为脚本来让系统启动时自动载入，但是本人不会，只会使用白痴方法，也是最简单的方法，直接把以上命令：
（ifconfig eth0 0.0.0.0;ifconfig eth1 0.0.0.0;brctl addbr eo;brctl addif eo eth0;brctl addif eo eth1;ifconfig eo up;ifconfig eo 192.168.1.222 netmask 255.255.255.0）
全部写入 /etc/rc.d/rc.local 文件中就OK了（注意命令顺序）

当配置完成后，最重要的就是写防火墙规则，因为现在防火墙是串在网络中，所以，基本上所有的防火墙规则都是用 filter 表的 FORWARD链来作要求

如果要去掉虚拟接口使用下面命令：
brctl addif eo eth0   (把etho接口从虚拟接口eo中删掉)
brctl addif eo eth1  （把eth1接口从虚拟接口eo中删掉）
ifconfig eo down     （把eo接口关闭掉）
brctl addbr eo       （删除eo接口）
service network restart
注意命令顺序，不把eo接口先关闭掉，是无法删除掉的

NOTE：
如果第一步不把当前的IP地址清楚掉的话，到最后，内网主机和防火墙是不能相互ping 通，也不能远程登录，但是可以访问外网

本文出自 “eo” 博客，谢绝转载！