用 IPFW 為 FreeBSD 操作系統建立防火墻

2019-09-08 23:19:56

字體：大中小

來源：轉載

供稿：網友

Ipfirewall（即IPFW）是一個FreeBSD操作系統下的IP數據包過濾和通信記錄工具。IPFW作為一個獨立的運行時刻可裝載模塊，就包含在基本的FreeBSD安裝包中。在rc.conf中含有語句“firewall_enable=YES”時，系統會動態地裝載內核模塊。

第一步：為IPFW而編譯FreeBSD內核

這一步是可選的。如果你不想啟用NAT功能，你就沒有必要將IPFW編譯到FreeBSD內核中。然而一些老的版本可能沒有編譯IPFW。下面我們介紹將IPFW編譯進入內核中去的方法。

如果你得到如下的一個錯誤消息：“ipfw: getsockopt(IP_FW_GET): Protocol not available ”，即協議不可使用，那你就必須編譯內核的源代碼。

另一個可選項是打開默認的內核配置文件/usr/src/sys/i386/conf，并找到IPFIREWALL選項：

# grep IPFIREWALL /usr/src/sys/i386/conf

第二步：編譯并安裝帶有IPFW的定制內核

首先是復制默認的內核文件：

# cd /usr/src/sys/i386/conf# cp GENERIC IPFWKERNEL

然后增加IPFW支持：

# vi IPFWKERNEL

添加下面的指令：

options IPFIREWALL # required for IPFWoptions IPFIREWALL_VERBOSE # optional; loggingoptions IPFIREWALL_VERBOSE_LIMIT=10 # optional; don't get too many log entriesoptions IPDIVERT # needed for natd

保存并關閉文件。編譯內核，鍵入如下的命令：

# cd /usr/src# make buildkernel KERNCONF=IPFWKERNEL

安裝新的內核：

# make installkernel KERNCONF=IPFWKERNEL

現在重新啟動系統：

# reboot

第三步：啟用IPFW

首先打開/etc/rc.conf文件：

# vi /etc/rc.conf

然后，添加如下的設置：

firewall_enable="YES"firewall_script="YES"firewall_script="/usr/local/etc/ipfw.rules"

保存并關閉文件。

第四步：編寫防火墻規則腳本

你需要將防火墻規則放到一個被稱為/usr/local/etc/ipfw.rule的腳本中：

# vi /usr/local/etc/ipfw.rule

添加如下的代碼：

IPF="ipfw -q add"ipfw -q -f flush#loopback$IPF 10 allow all from any to any via lo0$IPF 20 deny all from any to 127.0.0.0/8$IPF 30 deny all from 127.0.0.0/8 to any$IPF 40 deny tcp from any to any frag# statefull$IPF 50 check-state$IPF 60 allow tcp from any to any established$IPF 70 allow all from any to any out keep-state$IPF 80 allow icmp from any to any# open port ftp (21,22), ssh (22), mail (25)# http (80), dns (53) etc$IPF 110 allow tcp from any to any 21 in$IPF 120 allow tcp from any to any 21 out$IPF 130 allow tcp from any to any 22 in$IPF 140 allow tcp from any to any 22 out$IPF 150 allow tcp from any to any 25 in$IPF 160 allow tcp from any to any 25 out$IPF 170 allow udp from any to any 53 in$IPF 175 allow tcp from any to any 53 in$IPF 180 allow udp from any to any 53 out$IPF 185 allow tcp from any to any 53 out$IPF 200 allow tcp from any to any 80 in$IPF 210 allow tcp from any to any 80 out# deny and log everything$IPF 500 deny log all from any to any

保存并關閉文件。

第五步：啟動防火墻

你可以重新啟動服務器，或者通過在命令行輸入如下的命令，可以重新加載這些規則：