iptables详解（9）iptables之网络防火墙

将B作为网络防火墙的出口，需要对当前的网络进行转发操作

在A可以ping通B  但是ping不通同网段的C的时候，可以开启B的网络转发功能。

使用如下命令查看当前主机是否已开启了核心转发，立即生效，但是重启网络配置后会失效

方法1：

?

1 2 3 4 5 6 7

root@ubuntu:~# cat /proc/sys/net/ipv4/ip_forward 0 root@ubuntu:~# root@ubuntu:~# root@ubuntu:~# echo 1 >/proc/sys/net/ipv4/ip_forward root@ubuntu:~# cat /proc/sys/net/ipv4/ip_forward 1

方法2：

?

1	sysctl -w net.ipv4.ip_forward=1

 

 

想要永久生效就只能配置系统的/etc/sysctl.conf文件，在配置文件中将net.ipv4.ip_forward设置为1

由于当前的iptables的角色为网络防火墙，所以需要在filter表中的FORWARD链中设置规则

可以使用白名单机制 先添加一条默认拒绝的规则，然后再为所需要放行的报文设置规则

配置规则时需要考虑方向问题，针对请求报文和回应报文，考虑报文的源地址和目标地址，源端口和目标端口等

如eg

允许网络主机访问网络外主机的web服务和sshd服务

iptables -A FORWARD -j REJECT

iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 80 -j ACCEPT

iptables -I FORWARD -d 10.1.0.0/16 -p tcp --sport 80 -j ACCEPT

iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 22 -j ACCEPT

iptables -I FORWARD -d 10.1.0.0/16 -p tcp --sport 22 -j ACCEPT

可以使用state扩展模块，对上述规则进行优化，使用如下配置可以省略许多 回应报文放行规则

iptables -A FORWARD -j REJECT

iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 80 -j ACCEPT

iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 22 -j ACCEPT

iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

 

当测试网络防火墙 默认前提是网络已经正确配置，如果出现问题 先确定主机防火墙规则的配置没有问题