登录模块加载中...
会员投稿 投稿指南 今天是:
打印本页 | 关闭窗口 | 双击滚屏 您的位置首页>>网页制作学习园地>>服务器类>>防火墙和路由>>一个实用的防火墙配置范例
一个实用的防火墙配置范例
来源:不详 ‖ 作者: ‖ 点击: ‖ 时间:08-07-07 16:48:58 ‖ 【 】‖ 我要投稿

1. 配置/etc/sysconfig/network-scripts/ifcfg-eth0 和 ifcfg-eth1,
一般地,eth0为防火墙的外部接口网卡,eth1为内部的网卡接口,设置默认网关为连接防火墙的路由器的以太网口地址,若你原先设过默认网关,你也可以在/etc/rc.d/rc.local中手动设置,使得启动后自动执行更改操作,如你的外部接口网卡的永久IP地址为a.b.c.d, 原先设的默认网关为192.168.11.1。
下面是我的/etc/rc.d/rc.local文件:

echo 1 〉 /proc/sys/net/ipv4/ip_forward
/sbin/route del default gw 192.168.11.1
/sbin/route add default gw a.b.c.d
/sbin/modprobe ip_masq_ftp
/sbin/modprobe ip_masq_irc
/sbin/modprobe ip_masq_raudio
/sbin/modprobe ip_masq_vdolive
/etc/rc.d/firewall.rules

2. 安装系统时,选择尽可能少的包(安装越少的包越安全),完成后,配置/etc/inetd.conf,仅仅启用FTP和Telnet服务,便于内部维护,但同时配置/etc/hosts.allow,/etc/hosts.deny,仅允许从内部网卡的几台指定机器使用telnet/ftp服务,且加ALL:ALL 到/etc/hosts.deny,禁止所有的其它服务。

3.创建尽可能少的必需的帐号,启用shadow password,使获得根口令更加困难;并从updates.redhat.com 站点升级内核,且修补所有有安全漏洞的包。

4.下面是我的/etc/rc.d/firewall.rules (需要有执行权限)

[root@sh-proxy network-scripts]# more /etc/rc.d/firewall.rules
#!/bin/sh
echo "Starting firewall rules..."
#清除先前的所有防火墙规则
# refresh all firewall rules
/sbin/ipfwadm -F -f
/sbin/ipfwadm -I -f
/sbin/ipfwadm -O -f
#默认拒绝所有的进入(I),外出(O)和转发(F)包
# setup default firewall rules
/sbin/ipfwadm -F -p deny
/sbin/ipfwadm -I -p deny
/sbin/ipfwadm -O -p deny
#设定防火墙外部网卡接口的永久IP地址
ISP_IP=a.b.c.d
#接受所有在本地环路接口上的进出包
# setup Loopback interface
/sbin/ipfwadm -I -a accept -W lo
/sbin/ipfwadm -O -a accept -W lo
#允许内部网段所有用户随意进出防火墙的内部网卡接口
# allow all internal traffic
/sbin/ipfwadm -I -a accept -W eth1 -S 192.168.11.0/24
/sbin/ipfwadm -O -a accept -W eth1 -D 192.168.11.0/24
# 阻止任何的IP包欺骗,看下面的各个规则
# disabling IP spoof
#阻止任何C类保留地址从防火墙外部接口进出
/sbin/ipfwadm -I -a deny -W eth0 -S 192.168.0.0/16
/sbin/ipfwadm -O -a deny -W eth0 -D 192.168.0.0/16
#阻止任何进出防火墙外部接口的包宣称是来自它本身
/sbin/ipfwadm -I -a deny -W eth0 -S $ISP_IP/32
/sbin/ipfwadm -O -a deny -W eth0 -D $ISP_IP/32
#阻止任何外部世界直接与防火墙内部网段直接通讯
/sbin/ipfwadm -I -a deny -W eth0 -D 192.168.0.0/16
/sbin/ipfwadm -O -a deny -W eth0 -S 192.168.0.0/16
#阻止任何包宣称是或来自本地环路接口
#refuse packets claiming to be to or from the loopback interface
/sbin/ipfwadm -I -a deny -W eth0 -S 127.0.0.0/8
/sbin/ipfwadm -I -a deny -W eth0 -D 127.0.0.0/8
/sbin/ipfwadm -O -a deny -W eth0 -S 127.0.0.0/8
/sbin/ipfwadm -O -a deny -W eth0 -D 127.0.0.0/8
#禁止任何来自外部的广播包,不论是去往哪里
#refuse broadcast address source packets
/sbin/ipfwadm -I -a deny -W eth0 -S 255.255.255.255
/sbin/ipfwadm -I -a deny -W eth0 -D 0.0.0.0
#refuse multicast/anycast/broad

|<< << < 1 2 3 4 > >> >>|
加入收藏:  加入收藏夹  | 发送给好友:  发送给好友
责任编辑:admin
相关文章列表
无相关新闻
请文明参与讨论,禁止漫骂攻击。  
网友评论