企业级办公室iptables防火墙应用案例

iptables [-t表名] <-A| I |D |R>  链名[规则编号] [-i | o 网卡名称] [-p 协议类型] [-s 源IP地址 | 源子网][--sport 源端口号] [-d 目标IP地址 | 目标子网][--dport 目标端口号] <-j 动作 >

INPUT链：当一个数据包由内核中的路由计算确定为本地Linux系统后,它会通过INPUT链的检查。             

OUTPUT链：保留给系统自身生成的数据包。

FORWARD链：经过Linux系统路由的数据包(即当iptables防火墙用于连接两个网络,两个网络之间的数据包必须流经该防火墙)。

PREROUTING链：用于修改目的地地址(DNAT)。

POSTROUTING链：用于修改源地址(SNAT)。

◆转发和NAT的语义在iptables是独立的。转发数据包的功能是在filter表中通过使用FORWARD规则链来完成；而NAT功能是在 nat通过使用PREROUTING、POSTROUTING规则链来完成。混淆这二个概念对它们的功能并没有影响，但现在记住它们的区别是很重要的。转发和NAT是二个不同的功能和技术；转发是一个路由功能，而NAT是在nat表中定义的一个转换功能。

Iptables作网关NAT路由器，启动的是NAT的地址伪装功能SNAT/MASQUERADE，具体以公司NAT路由脚本/root/firewall.sh实例来说明下:

此脚本实现功能如下:

①因为是绑定mac地址上网，企业内部客户机如绑定mac后可杜绝局域网内ARP病毒；

②对局域网内机器上网严格控制，每增加一台工作用机，就必须重新刷新NAT服务器的ip-mac对应关系；严格杜绝了公司外来用机上网问题(有的员工周末加班时喜欢带自己手提)，在安全问题上做到防患于未然；

③配合NAT网关服务器的监控软件NTOP+iptraf，可以做到及时监控每台主机的流量情况，如发现流量异常可及时通知网管或行政处理；

④经工作实际使用发现，此脚本作NAT网关路由器时，可将公司10M电信光纤带宽发挥得极致，即一个员工用迅雷，整个公司均打不开网页。

⑤网关NAT服务器也适合做局域网的文件服务器，提供vsftpd，samba服务等；

⑥看过一些其它linux爱好者写过的脚本，感觉没此脚本精简方便；这里感谢3158.com技术总监唐老师提供技术性指导。
#OFFICE IPTABLES SHELL SCRIPTS
#!/bin/bash
echo "1" > /proc/sys/net/ipv4/ip_forward
arp -f /root/mac.txt
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
iptables -F INPUT
iptables -F FORWARD
iptables -F POSTROUTING -t nat
iptables -p FORWARD DROP
#客户机绑定mac地址才能上网，这样防止恶意增加IP在公司内部上网，引起不安全隐患
cat /root/mac.txt | while read LINE
do
ipaddress=`echo $LINE | awk '{print $1}'`
macaddress=`echo $LINE | awk '{print $2}'`
iptables -A FORWARD -s $ipaddress -m mac --mac-source $macaddress -j ACCEPT
done
#网关上有几块网卡，eth0接的是外网IP地址，eth1、eth2等对应该局域网IP，因是租用了电信的光纤，不存在着ADSL上网情况。
iptables -A FORWARD -i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -O eth1 -s 192.168.1.0/24 -j SNAT --to 59.195.233.234
cat /root/mac.txt
192.168.1.50 00:16:D3:F6:BD:F5

192.168.1.57 00:16:36:B4:6C:5D
.....