如何在Redhat 6.1上用ipchains构建防火墙和IP伪装
发布日期: 1999-10-15
内容:
来源：中国Linux论坛
作者：吴阿亭
简介：
Linux 2.2内核用ipchains代替了2.0内核中的
ipfwadm,在Redhat 6.0/6.1的版本中，ipfwadm不能再用
了。本文旨在介绍如何设置一个基本的防火墙系统和IP
伪装，允许内部用户用IP伪装上网,ipchains较之以前的
ipfwadm语法变动很大，如你想了解更多的命令和语法，
可以参考一篇网友翻译的中文ipchains howto
(http://www.hncd.gov.cn/linux) . 也可运行ipchains
--help
获得帮助。另外，本文的设置主要针对专线用户基本的
防火墙和IP伪装设置，也可供拨号用户参考。
思路：
一般而言，实现Linux防火墙功能有两种策略，一种
是首先全面禁止所有的输入/输出/转发包，然后根据需
要逐步打开所要求的各项服务，这种方式最安全，但必
须全面考虑到自己所要使用的各项服务功能，不能有任
何遗漏，如果你对要实现的某种服务和功能不能清楚地
知道应该打开哪些服务和端口，那会比较麻烦；
第二种方式是首先默认打开所有的输入/输出包，（对
转发包，不必打开，因为内部网段用保留地址，不能直
接与互联网交换数据，我们是通过用IP伪装的方式透明
地进行交换数据的），然后禁止某些危险包，IP欺骗
包，广播包，ICMP服务类型攻击等，对于应用层服务象
http,sendmail,pop3,ftp等，若不打算提供某些服务，
就不要启动它，或者根本就不要安装，这种方式虽然没
有第一种方式更安全，但是比较方便，容易配置，用户
不必过多地了解该如何打开一种服务（如FTP)所需要执
行的ipchains命令细节就能配置一个比较安全的防火墙
系统。
本文就采用第二种方式配置一个基本的防火墙系统,我的
内部网段使用192.168.11.0，eth0为外部网段网卡接
口，eth1为内部网段网卡接口。
实现：
1. 安装完系统后，在/etc/rc.d/目录下创建一个
script叫ipchains.rules（执行#chmod u+x
ipchains.rules确保为可执行文件)然后加一
行/etc/rc.d/ipchains.rules到/etc/rc.d/rc.local
中，以确保每次机器重新启动后即运行所设定的各项防
火墙规则。
下面为该文件内容：
--------------------------
#!/bin/sh
echo "Starting ipchains firewall rules..."
# refresh all firewall rules
/sbin/ipchains -F forward
/sbin/ipchains -F input
/sbin/ipchains -F output
# setup default firewall rules
/sbin/ipchains -P forward DENY
/sbin/ipchains -P input ACCEPT
/sbin/ipchains -P output ACCEPT
external_interface=a.b.c.d
# setup Loopback interface
/sbin/ipchains -A input -j ACCEPT -i lo
/sbin/ipchains -A output -j ACCEPT -i lo
# disabling IP spoofing
/sbin/ipchains -A input -j DENY -i eth0 -s
192.168.0.0/16
/sbin/ipchains -A input -j DENY -i eth0 -d
192.168.0.0/16
/sbin/ipchains -A output -j DENY -i eth0 -s
192.168.0.0/16
/sbin/ipchains -A output -j DENY -i eth0 -d
192.168.0.0/16
/sbin/ipchains -A input -j DENY -i eth0 -s
$external_interface/32
/sbin/ipchains -A output -j DENY -i eth0 -d
$external_interface/32
#refuse packets claiming to be to or from the
loopback interface
/sbin/ipchains -A input -j DENY -i eth0 -s
127.0.0.0/8
/sbin/ipchains -A input -j DENY -i eth0 -d
127.0.0.0/8
/sbin/ipchains -A output -j DENY -i eth0 -s
127.0.0.0/8
/sbin/ipchains -A output -j DENY -i eth0 -d
127.0.0.0/8
#refuse broadcast address source packets
/sbin/ipchains -A input -j DENY -i eth0 -s
255.255.255.255
/sbin/ipchains -A input -j DENY -i eth0 -d
0.0.0.0
#refuse multicast/anycast/broadcast address
/sbin/ipchains -A input -j DENY -i eth0 -s
240.0.0.0/3
#forwarding all internal traffic
/sbin/ipchains -A forward -j ACCEPT -i eth1 -s
192.168.11.0/24 -d 192.168.11.0/24
#setup IP Masquerading rules
echo "1" > /proc/sys/net/ipv4/ip_forward
注：你也可以通过设置/etc/sysconfig/network文件启
动IP转发，改那一行
FORWARD_IPV4=true即可，这样就不必设置上面的
echo行了。
# add modules for ftp, cuseeme, irc, real audio,
etc...
/sbin/modprobe ip_masq_ftp
/sbin/modprobe ip_masq_quake
/sbin/modprobe ip_masq_irc
/sbin/modprobe ip_masq_user
/sbin/modprobe ip_masq_raudio
#starting IP masquerading
/sbin/ipchains -A forward -j MASQ -i eth0 -s
192.168.11.0/24
注：如果你仅仅希望让部分用户进行IP伪装，你也可以
个别设置，如
/sbin/ipchains -A forward -j MASQ -i eth0 -s
192.168.11.3/32
/sbin/ipchains -A forward -j MASQ -i eth0 -s
192.168.11.23/32
---------------------------------
其它防火墙安全事项：
上面的设置启动了一个基本的防火墙系统，禁止IP欺
骗，广播包，但对于一个完整的防火墙系统，仍然要注
意下面几点：
1. 设置/etc/inetd.conf，禁止所有不需要的服务，象
所有的R命令，finger,talk等，一般而言，仅保留ftp，
telnet服务便于内部维护用途，同时设置
/etc/hosts.allow和/etc/hosts.deny，仅允许内部某些
管理用户可以telnet/ftp到该防火墙，当然，更安全的
办法是禁止所有的inetd服务，对ftp,telnet，安装
SSH，用SSH/scp代替telnet和ftp。
2. 启用影子口令(shadow password)，简单的两个命令
是pwconv(启用影子口令）和pwunconv(恢复原状态），
Redhat 6的版本默认安装时已经启动了shadow
password,这样使得远程用户获得根密码更为困难，因为
影子口令使用/etc/shadow 存储口令文件，该文件仅仅
被root可读。
3.运行ntsysv检查，看是否启动了不需要的后台程序，
记住：仅仅启动那些你希望提供的服务后台程序，最大
限度地确保安全。
4.创建尽可能少的用户帐号，不断升级有安全漏洞的软
件包。
