用Firewall builder生成iptables规则

时间: 2009-07-31 / 分类: Linux / 浏览次数: 4,462 / 0个评论 发表评论

我们在企业中使用linux做网关和服务器必定要用到iptablesiptables入门不怎么难,把iptables指南看一遍基本上就能处理一些简单的日常应用了,但iptables语法比较难记,一不小心就容易弄错,再如老夫这样的英盲,时常碰到个单词忘记怎么写了,所以老夫就想找个直观一点的配置工具,用IPCOP吧,防火墙配置界面是比较直观,但又限制了主机在其他方面的应用,后来又找了shorewallshorewall实际就相当于把iptables封装了一下,使用一个相对较为简单的语法,但也并不轻松,有空琢磨shorewall的语法还不如用来更深入的理解iptables,还有个很好的工具webminwebmin里面有iptables的配置模块,是个很不错的选择。

其实老夫比较喜欢ISA server的那种操作方式,只是点点鼠标就能完成各规则的设置,于是就找到了firewall builderfirewall builder是一个图形界面的防火墙配置工具,它可以用来方便的配置各种允许/拒绝规则而不用编辑复杂的配置文件。它支持拖拽操作,界面简单明了,所有的工作都可以轻松完成,O(∩_∩)O嘿嘿,这句话抄过来的,这样的工具我喜欢。喜欢归喜欢,linux毕竟不是windows,人家不需要图形界面的环境,所以老夫就在windows下来用firewall builder来生成规则脚本,然后传送到linux上去使用。

首先到firewall builder官网去下载firewall builder 3.05 for windows版本,按默认安装,启动firewall builder,然后点File-gt;New Object File来新建一个项目,命名为iptables.fwb。

2

下面开始设置防火墙基本参数,在Firewalls上点右键,选New Firewall新建一个防火墙对象

3

给这个防火墙对象命个名,选择防火墙软件和防火墙的操作系统环境,firewall builder不止能生成linux、ipcop、openwrt的iptables规则,还包括BSD下的ipf、ipfw、pf,cisco下的pix等的规则,所以这里的防火墙软件和系统环境千万别搞错了,下面一个选项是问是否使用预设的防火墙对象的模板,这里不勾吧,老夫试过使用内置的模板,但后来总是编译不过去,当然,我们可以新建一个项目,启用一下预设的模板,以方便我们了解firewall builder的用法。

4

下面这里给防火墙对象设置网络接口,有两种方式,一种是手动配置,一种是使用SNMP协议自动查找,这不是在防火墙上,所以这里选手动配置

5

下一步,我们先来看看防火墙机器的网络接口

35

再开始在firewall builder里添加网络接口

7

添加完网络接口,点Finish完成配置,完成防火墙对象的添加

8

下面再添加一个网络对象,也就是内部网络,在Objects里的Networks上点右键选New Network新建网络对象

9

给新加的网络对象命个名,填上ip地址和子网掩码,这里命名为LAN,因为针对所有内部的,所以这里ip地址设置为192.168.1.0/24这一网段,点Apply完成

10

现在防火墙对象和网络对象都已经设置完成,下面开始添加防火墙规则了

首先作为网关需要能让内部网络上网,也就是启用SNAT,左边选中NAT,在右边的空白处点右键选Insert rule插入一条规则

11

先看看规则表的表头,分别为原始源地址、原始目标地址、原始服务、转换后的源地址,转换后的目标地址和转换后的服务,后面的选项跟备注就先不去管它了,想想SNAT的作用,就是把内部的私有地址转换为外部的公有地址,这里就应该是把LAN网络的原始源地址转换为外部接口的地址,所以在左边点住网络对象“LAN”拖到Original Src中放开,然后把外部网络接口“EXT”拖到Translated Src里,拖的时候可以看到如果某个格子不允许放置这个对象的话,图标会显示不允许放入的状态。

14

这里就完成了NAT规则的添加,下面来编译一下规则,看看firewall builder会怎么生成一个可用的规则。

在Firewalls上点右键,选择Compile来编译规则,当然,也可以在菜单Rules中选择Compile来编译

16

这一步选择要编译的防火墙对象,我们只有一个防火墙对象,已经默认选中了,直接点Next下一步

17

开始编译,很快就编译完了,可以看到日志里显示了编译完成和规则脚本的保存位置

18

找到生成的规则脚本rc.firewall.local打开来看看,看到了吧,iptables –t –nat –A POSTROUTING –o eth0 –s 192.168.1.0/24 –j SNAT –to-source 192.168.0.3,当然,这里显示的是变量$IPTABLES,前面可以看到定义变量的语句IPTABLES=”iptables”

19

关掉回来继续添加规则,左边选择Policy,右边空白处点右键选Insert rule添加一条规则,这里添加一条规则阻止垃圾数据包,阻止从外部网络来的地址是内部地址和防火墙本身的所有数据包,这些包都是仿冒的垃圾数据。

把firewall对象和LAN对象拖入Source中,外部网络接口EXT拖入Interface中,Direction默认是双向,可以在上面点右键修改只进或出,Action默认是拒绝,也可以点右键选择Accept和Reject等

20

记录日志,可以在Options中点右键开启或关闭日志,这里开启日志,默认是勾选Stateless rule选项,这个选项老夫也没明白啥意思,试着添加了两条规则,一条选中stateless rule,一条不选,发现不选中stateless rule的规则多了一个状态匹配-m state –state NEW,看来选中就记录所有日志,如果不选中就只记录状态为NEW的连接的日志

21

当改变这里的相关选项后鼠标焦点移出Options这个格子时,会提示对象已经改变但修改还未保存,是否保存,当然选保存了

24

接下来添加第二条规则,在第一条规则前面的序号0上点右键,选择Add Rule Below,在后面追加一条规则,如果在当前规则前面插入一条规则就选Insert rule

25

这条规则添加允许回环,在Interface中拖入loopback对象,Action改为Accept即可

26

接下来添加允许内部访问本地防火墙,源为LAN,目标为firewall,方向为双向,操作为允许

27

再添加一条规则,允许内部访问外部网络,源为LAN,目标EXT,方向为双向,操作为允许,后来发现其实第四条规则已经包含了第三条,因为第四条是数据转发的,所以会自动添加一进一出一转发三条规则。

28

OK,编译规则,把生成的规则脚本通过winscp传到服务器上

29

添加可执行属性

31

运行脚本,可以看到脚本已经运行完成

32

运行iptables -L查看一下

33

把内部windows的网关指向192.168.1.2,ping一下看看

34

好了,这样就用firewall builder生成规则脚本完成了,当然,这里只是添加了非常简单的规则,而且还有一定的问题,也有很多其他的应用没提到,比如对象组和服务组、地址范围、时间匹配等,用过ISA server的人可能很容易就理解这些,这些可以在对象选择器那里选择standard可以看到,这里我们一直使用的是User对象。再比如DMZ、DNAT等等,自己新建一个项目,使用一个内置模板,看看人家专家是怎么设置的,弄明白这些规则,对iptables的了解又能上一个台阶了。

另外还有Limit匹配,在规则的Options选项里可以设置,但同时老夫也发现firewall builder也并不是包含了iptables所有的功能,比如mac匹配、recent匹配等等,只能靠自己手动添加了。

发表评论

您的昵称 *

您的邮箱 *

您的网站