自己動(dòng)手做的防火墻，希望高手們能幫找找毛病！

ji.hf_space

1、首先將主機(jī)A的防火墻的策略清空，然后設(shè)置默認(rèn)規(guī)則為DROP
#iptables -F
#iptables -X
#iptables -P INPUT DROP
#iptables -P OUTPUT DROP
#iptables -P FORWARD DROP
#iptables -t nat -F
#iptables -t nat -X
#iptables -t nat -P PREROUTING DROP
#iptables -t nat -P POSTROUTING DROP
#iptables -t nat -P OUTPUT DROP
#iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
#iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

2、允許DNS查詢請(qǐng)求

#iptables -t nat -A POSTROUTING -d 202.106.0.20 -o eth0 -p udp --dport 53 -j SNAT --to 222.231.36.179
#iptables -t nat -A POSTROUTING -d 202.106.0.20 -o eth0 -p tcp --dport 53 -j SNAT --to 222.231.36.179
#iptables -A FORWARD -d 202.106.0.20 -o eth0 -p udp --dport 53 -j ACCEPT
#iptables -A FORWARD -s 202.106.0.20 -i eth0 -p udp --sport 53 -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -A FORWARD -d 202.106.0.20 -o eth0 -p tcp --dport 53 -j ACCEPT
#iptables -A FORWARD -s 202.106.0.20 -i eth0 -p tcp --sport 53 -m state --state ESTABLISHED,RELATED -j ACCEPT

3、允許內(nèi)網(wǎng)通過(guò)80/443端口訪問(wèn)Internet

#iptables -t nat -A POSTROUTING -s 10.10.0.0/24 -o eth0 -p tcp --dport 80 -j SNAT --to 222.231.36.179
#iptables -t FORWARD -s 10.10.0.0/24 -i eth1 -o eth0 -p tcp --dport 80 -j ACCEPT
#iptables -A FORWARD -i eth0 -d 10.10.0.0/24 -o eth1 -p tcp --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -t nat -A POSTROUTING -s 10.10.0.0/24 -o eth0 -p tcp --dport 443 -j SNAT --to 222.231.36.179
#iptables -t FORWARD -s 10.10.0.0/24 -i eth1 -o eth0 -p tcp --dport 443 -j ACCEPT
#iptables -A FORWARD -i eth0 -d 10.10.0.0/24 -o eth1 -p tcp --sport 443 -m state --state ESTABLISHED,RELATED -j ACCEPT

4、允許內(nèi)網(wǎng)訪問(wèn)DMZ

#iptables -A FORWARD -s 10.10.0.0/24 -i eth1 -d 192.168.0.0/24 -o eth2 -j ACCEPT
#iptables -A FORWARD -s 192.168.0.0/24 -i eth2 –d 10.10.0.0/24 -o eth1 !--syn -j ACCEPT

5、允許外網(wǎng)訪問(wèn)DMZ

#iptables -t nat -A PREROUTING -d 222.231.36.179 -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.0.1:80
#iptables -A FORWARD -i eth0 -d 192.168.0.1 -o eth2 -p tcp --dport 80 -j ACCEPT
#iptables -A FORWARD -s 192.168.0.1 -i eth2 -o eth0 -p tcp --sport 80 !--syn -j ACCEPT

#iptables -t nat -A PREROUTING -d 222.231.36.179 -i eth0 -p tcp --dport 443 -j DNAT --to 192.168.0.1:443
#iptables -A FORWARD -i eth0 -d 192.168.0.1 -o eth2 -p tcp --dport 443 -j ACCEPT
#iptables -A FORWARD -s 192.168.0.1 -i eth2 -o eth0 -p tcp --sport 443 !--syn -j ACCEPT

#iptables -t nat -A PREROUTING -d 222.231.36.179 -i eth0 -p tcp --dport 25 -j DNAT --to 192.168.0.2:25
#iptables -A FORWARD -i eth0 -d 192.168.0.2 -o eth2 -p tcp --dport 25 -j ACCEPT
#iptables -A FORWARD -s 192.168.0.2 -i eth2 -o eth0 -p tcp --sport 25 !--syn -j ACCEPT
#iptables -t nat -A POSTROUTING -s 192.168.0.2 -o eth0 -p tcp --dport 25
-j SNAT --to 222.231.36.179:25
#iptables -A FORWARD -s 192.168.0.2 -i eth2 -o eth0 -p tcp --dport 25 -j ACCEPT
#iptables -A FORWARD -i eth0 -d 192.168.0.2 -o eth2 -p tcp --sport 25 !--syn -j ACCEPT

#iptables -t nat -A PREROUTING -d 222.231.36.179 -i eth0 -p tcp --dport 3306 -j DNAT --to 192.168.0.3:3306
#iptables -A FORWARD -i eth0 -d 192.168.0.3 -o eth2 -p tcp --dport 3306 -j ACCEPT
#iptables -A FORWARD -s 192.168.0.3 -i eth2 -o eth0 -p tcp --sport 3306 !--syn -j ACCEPT

#iptables -t nat -A PREROUTING -d 222.231.36.179 -i eth0 -p tcp --dport 22 -j DNAT --to 192.168.0.4:22
#iptables -A FORWARD -i eth0 -d 192.168.0.4 -p tcp --dport 22 -j ACCEPT
#iptables -A FORWARD -s 192.168.0.4 -i eth2 -o eth0 -p tcp --sport 22 !--syn -j ACCEPT

#iptables -t nat -A PREROUTING -d 222.231.36.179 -i eth0 -p tcp --dport 21 -j DNAT --to 192.168.0.5:21
#iptables -A FORWARD -i eth0 -d 192.168.0.5 -p tcp --dport 21 -j ACCEPT
#iptables -A FORWARD -s 192.168.0.5 -i eth2 -o eth0 -p tcp --sport 21 !--syn -j ACCEPT


這是我這幾天學(xué)習(xí)的結(jié)果�，F(xiàn)在還沒(méi)有應(yīng)用，希望大家能幫忙找找存在的問(wèn)題。謝謝大家！

Godbach

LZ可以先測(cè)試一下，然后把測(cè)試中出現(xiàn)的和規(guī)則不符的地方拿出來(lái)大家討論

bbskuang

支持一下樓主。

dreamice

你這不叫自己做防火墻，而叫自己配規(guī)則

marsaber

實(shí)踐出真知！
樓主用虛擬機(jī)測(cè)試的如何了？