分享
 
 
 

shorewall 企业防火墙的完美实现

王朝other·作者佚名  2006-04-01
窄屏简体版  字體: |||超大  

作者:xjdong

来自:LinuxSir.Org

目录

第一篇:网络接入情况;

1.1、你得IP地址范围;

1.2、用户端接入IP,以及局端IP;

1.3、从上图中我们可以看出;

1.31、ISP分配给你得是一个C类公网地址;

1.32、用户端得接入IP 是 192.168.5.1,局端IP 是 192.168.5.2

第二篇:网络结构得设计

2.1、方案一:就是不对C类网段分段,还是用一个网段;

2.2、方案二:就是对C类网段分段,分成两个公网IP网段,有两个防火墙如图;

第三篇: 防火墙得实现

3.1、安装;

3.2、配置;

关于本文

相关文档

++++++++++++++++++++++++++++++++++++++++++++++++

正文

++++++++++++++++++++++++++++++++++++++++++++++++

相信大家一定很想自己做一个企业级应用得防火墙,看到大家在论坛上常常问到类似得问题,现在我将我自己身边得一个防火墙企业级应用实例共享出来,希望能帮到需要帮助得朋友。

第一篇:网络接入情况;

现在很多企业有的是用专线接入,有的是用ADSL 接入,但最终结果都是一样,就是在互联网上有一个公网IP(或者一个网段)得Route 到你得网关服务器上或者接入路由器上。 好了,知道了这点我就来说一下互联网得接入这一部分,我以专线接入为例子:

如图:

Route A

( Internet or ISP )

/(192.168.5.2/255.255.255.252)

/

/\/

/

/ (IP:192.168.5.1/255.255.255.252)

(Route B)

| (IP 211.111.111.1/255.255.255.0)

|

|_____ (局域网)

当你是专线接入得时候,一般都会有一个专线接入单,上面会有如下相关信息:

1.1、你得IP地址范围

1.2、用户端接入IP,以及局端IP

1.3、从上图中我们可以看出:

1.31、ISP分配给你得是一个C类公网地址

1.32、用户端得接入IP 是 192.168.5.1,局端IP 是 192.168.5.2

好了,下面是我要重点说得了,很多人以为在一个防火墙得外网接口上一定得绑定公网IP,其实这是一个错误得认识,其实只要有 Route 信息,你就可以上互联网。怎么以上面得图为例子,在 ISP 商得路由器那头,就是绑定 192.168.5.2 那个路由器一定有一个 Route 信息是这样得:

ip route 211.111.111.0/24 via 192.168.5.1

通常得做法就是像如图一样在Route B 得以太网口处帮定一个公网IP 211.111.111.1 ,然后大家以这个为网关上网,通常会先接入防火墙,然后后面接局域网用户,如图:

Route A

( Internet or ISP )

/(192.168.5.2/255.255.255.252)

/

/\/

/

/ (IP:192.168.5.1/255.255.255.252)

(Route B)

| (IP 211.111.111.1/255.255.255.0)

|

|

| (211.111.111.2/24)

|----------|

| Firewall |

|----------|

(10.1.2.0/24)/ \(10.1.1.0/24)

/ / / (局域网 A) ____/ \_____ (局域网 B)

解说:

这是一个很典型得企业应用,我想我说得没错吧,但是我觉得这里面有几个不好得地方:

1)就是公网IP不能很好得管理,在 Firewall 和 Route B 之间是通过公网IP 连接得,比如通过交换机连接,这样如果有人在交换机上接一个计算机自己随意绑定公网IP 就可以上网了。

2)这是一个C类得IP ,在Firewall 上需要绑定很多公网IP ,才能使用这些IP ,这样管理有很多弊端。

好了,说了这么多,下面引入正题,就是分享一下我得防火墙得实际解决方案。(续看第二篇)

第二篇:网络结构得设计

对于一个C类得公网IP 我们可以重新设计一个网络拓扑:

2.1、方案一:就是不对C类网段分段,还是用一个网段;

Route A

( Internet or ISP )

/(192.168.5.2/255.255.255.252)

/

/\/

/

/ (IP:192.168.5.1/255.255.255.252)

(Route B)

| (IP 192.168.1.1/255.255.255.252)

|

|

| (192.168.1.2/255.255.255.252)

|----------|

| Firewall |

|----------|

(10.1.1.1/24)/ \(10.1.2.1/24)

/ / / \

(局域网 A) ____/ \_____ (局域网 B DMZ 服务器区)

注意: 在 Route B 上需要添加一个静态路由, ip route 211.111.111.0 255.255.255.0 192.168.1.2

好了,这样 Firewall 就可以完全控制和分配这 254 个公网IP 了

2.2、方案二:就是对C类网段分段,分成两个公网IP网段,有两个防火墙如图;

Route A

( Internet or ISP )

/(192.168.5.2/255.255.255.252)

/

/\/

/

/ (IP:192.168.5.1/255.255.255.252)

|----------|

| Route B |

|----------|

|(IP 192.168.1.1/255.255.255.248)

|

/------------(IP 192.168.1.2/255.255.255.248)/ \ (IP 192.168.1.3/255.255.255.248)

|-----------| |-----------|

| Firewall A| | Firewall B|

|-----------| |-----------|

/ \

(局域网 A) ____/ \_____ (局域网 B)

在 Route B 上添加两条静态路由:

ip route 211.111.111.0 255.255.255.128 192.168.1.2

ip route 211.111.111.128 255.255.255.128 192.168.1.3

这样一来,我们就将一个 C类得公网IP 拆分成了两个:

Firewall A 得IP 范围是211.111.111.1-127

Firewall B 得IP 范围是211.111.111.129-254

好了,网络设计好了,下面我就以 方案一 我来讲如何配置防火墙 (续看第三篇)

第三篇: 防火墙得实现

我选用的平台是:

Redhat 8.0 + Shorewall 1.4.8 (其实就是基于iptables), 有三块网卡,以方案一为例。

可能很多朋友都不太清楚 shorewall (http://www.shorewall.net),我先介绍一下 shorewall ,其实他是一个基于 iptables 得一个防火墙,他得优点在于配置方便,便于管理,用它很容易就能配出一个企业级得防火墙策略。

这里我说一下我个人观点,iptables 得命令过于复杂和麻烦,在管理方面和可读性方面比较差,我个人认为我们作为一个网管得精力应该放在如何设计防火墙策略,而不要陷身于一个命令得写法上。好了,废话不说了。

安装好 Redhat 8.0 ,并装好三块网卡后,下载 shorewall 的rpm 包shorewall-1.4.8-1.noarch.rpm(或者 tar 包都可以)

3.1、安装;

#rpm -ivh shorewall-1.4.8-1.noarch.rpm

3.2、配置;

shorewall 得所有配置文件都在 /etc/shorewall 下面,好了我将详细得讲解如何配置 shorewall

这里我们假设 DMZ区域有如下一些的服务器:

mail server: 10.1.2.2/24 公网地址:211.111.111.2

pptp vpn server: 10.1.2.3/24 公网地址:211.111.111.3

dns server:10.1.2.4/24 公网地址:211.111.111.4

http server: 10.1.2.5/24 公网地址:211.111.111.5

在 /etc/shorewall 可以看到有很多配置文件,我只讲我们要用到的配置文件,其它得很少用到;大家可以自己去看帮助,很好理解得

zones (定义防火墙得区域)

interfaces (定义接口)

masq (定义伪装IP)

policy (定义默认策略)

rules (定义防火墙规则)

下面是各个配置文件的内容:

#cat /etc/shorewall/zones:

wanInternet Internet

dmzDMZ Dmz

lanLan Lan

#cat /etc/shorewall/interfaces

wan eth0 detect

lan eth1 detect

dmz eth2 detect

#cat /etc/shorewall/masq

eth0 192.168.1.2/32 211.111.111.1 #----- Firwall To Internet

eth0 10.1.1.0/24 211.111.111.1 #----- Lan A To Internet

eth0 10.1.2.2/32211.111.111.2 #----- mail server To Internet

eth0 10.1.2.3/32211.111.111.3 #----- pptp server To Internet

eth0 10.1.2.4/32211.111.111.4 #----- dns server To Internet

eth0 10.1.2.5/32211.111.111.5 #----- http server To Internet

#cat /etc/shorewall/policy

fw all ACCEPT # Firewall 可以任意访问所有区域,包括互联网

lan wan ACCEPT # Lan A 可以任意访问互联网

dmz wan ACCEPT # DMZ 服务器可以任意访问互联网

lan dmz ACCEPT # Lan A 可以任意访问和管理DMZ服务器区

wan all DROP # 互联网不能随意访问内部网络和DMZ

all all REJECT

#cat /etc/shorewall/rules

#---------------------- Internet To mail Server -------------------------------

DNAT wan dmz:10.1.2.2 tcp smtp - 211.111.111.2

DNAT wan dmz:10.1.2.2 tcp POP3 - 211.111.111.2

#---------------------- Internet To PPTP Server -------------------------------

DNAT wan dmz:10.1.2.3 tcp 1723 - 211.111.111.3

DNAT wan dmz:10.1.2.3 47 - - 211.111.111.3

#---------------------- Internet To DNS Server -------------------------------

DNAT wan dmz:10.1.2.4 tcp 53 - 211.111.111.4

DNAT wan dmz:10.1.2.4 udp 53 - 211.111.111.4

#---------------------- Internet To http Server -------------------------------

DNAT wan dmz:10.1.2.5 tcp http - 211.111.111.5

好了,防火墙都配置好了,现在防火墙的结果如下:

Lan A 的用户 10.1.1.0/24 的用户全部伪装成 211.111.111.1 去访问互联网

mail server: 10.1.2.2/32 以公网地址:211.111.111.2 访问互联网

pptp vpn server: 10.1.2.3/32 以公网地址:211.111.111.3 访问互联网

dns server:10.1.2.4/32 以公网地址:211.111.111.4 访问互联网

http server: 10.1.2.5/32 以公网地址:211.111.111.5 访问互联网

Firewall 可以任意访问所有区域,包括互联网

Lan A 可以任意访问互联网

DMZ 服务器可以任意访问互联网

Lan A 可以任意访问和管理DMZ服务器区

互联网不能随意访问内部网络和DMZ

好了,到这所有配置文件都已经配好了,然后删除 /etc/shorewall/startup_disable 文件,用 shorewall restart 就可以启动防火墙了。

关于本文

相信到现在,大家对 shorewall 的配置文档有了一定的了解了,大家可以看出shorewall 的配置是很通俗易懂的,很容易的就可以配置好,希望我写的这个文章能给大家一点帮助。

唉!!!! 写了将近两个小时,好累啊!

版权:这篇文章绝对原创,作者:xjdong (Andy_xjdong ) ,如需转载,请注明出自 LinuxSir.org;

原文: 《shorewall 企业防火墙的完美实现》

相关文档

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有