在Linux系统下配置企业级防火墙（linux 配置防火墙）

在Linux系统下配置企业级防火墙

大概配置如图所示：

iptables的四表五链:

四表：

filter

和主机自身有关，主要负责过滤流入自己的数据包和自己流出的数据包，它是iptables默认的表。

filter表在这3个检查点进行检查：

INPUT

负责过滤目标IP地址是自己本机的数据包

FORWARD

负责过滤目标地址不是本机的数据包，但是防火墙的转发机制要开启（在/etc/sysctl.conf里，把 net.ipv4.ip_forward=1）如果不开启会把流经forwad检查点的包丢弃掉

nat

和主机本身无关，负责将源IP地址进行转换，转换成公网IP，因为私网IP是不能与公网直接进行通信的。

还负责将目标地址、端口转换。

prerouting: 用于包在到达防火墙的时候，改变它的目标地址。DNAT 目标地址转换

output:用于改变防火墙本机产生的包的目标地址。

postrouting: 用于包在离开防火墙的时候，改变它的源地址。SNAT 源地址转换

raw

mangle

五链：

PREROUTING

INPUT

OUTPUT

POSTROUTING

FORWARD

具体如下图所示：

开始配置企业级防火墙

规则如下：

1、实现 相关的 SNAT 功能。

代理内部的客户机上网， 但是 限制 连接，下午 14:00 – 18:00 之间 不允许 访问 www.taobao.com www.jd.com 网站。

2、实现 DNAT 功能 。将内部服务器 172.16.100.99 映射 到 网关，允许 外部主机访问 172.16.100.99 提供的 web 服务

3、内部 的 10.1.1.0 网段主机， 只能 通过网关访问 172.16.100.99 的web 服务， 但是 管理员 10.1.1.10 不受限制，并绑定MAC ，每个IP只能产生 3 个连接

4、网关主机本身，仅允许 内部 IP 访问自己的 web服务，仅允许 10.1.1.10 ssh 连接自己。

5、防御 外部 主机，主动 连接 内部主机， 仅仅让外部主机能够 访问 172.16.100.99 的 web 服务。

（1）
清空防火墙规则
iptables -F
iptables -X
iptables -Z
iptables -t nat -F
iptables -t nat -X
iptables -t nat -Z
(2)
设置防火墙全局规则
iptables -t filter -P INPUT DROP
iptables -t filter -P OUTPUT ACCEPT
iptables -t filter -P FORWARD ACCEPT
（3）实现内部客户机上网
iptables -t nat -A POSTROUTING -o ens33 -j MASQUERADE
（4）内部的 10.1.1.0网段主机，只能通过网关访问 172.16.100.99的web 服务，但是管理员10.1.1.10不受限制，并绑定MAC，每个IP只能产生 3 个连接 
iptables -t filter -A FORWARD -i ens39 -d 172.16.100.99 -m mac --mac-source 00:0c:29:0a:51:d1 -s 10.1.1.10 -p tcp --dport 80 -j ACCEPT
iptables -t filter -A FORWARD -i ens39 -d 172.16.100.99 -p tcp ! --dport 80 -j DROP
iptables -t filter -A INPUT -s 10.1.1.10 -m mac --mac-source 00:0c:29:0a:51:d1 -p tcp --dport 22 -m connlimit ! --connlimit-above 3 -j ACCEPT
（5）网关主机本身，仅允许内部 IP访问自己的 web服务，仅允许 10.1.1.10 ssh 连接自己。
 iptables -t filter -A INPUT -i ens39 -p tcp --dport 80 -j ACCEPT
iptables -t filter -A INPUT -i ens38 -p tcp --dport 80 -j ACCEPT
（6）防御外部主机，动连接内部主机，仅仅让外部主机能够 访问 172.16.100.99 的 web 服务。
iptables -t nat -A PREROUTING -i ens33 -d 192.168.72.125 -p tcp --dport 80 -j DNAT --to 172.16.100.99
（7）每天9：00到12：00，下午2：00-18：00禁止访问淘宝网，京东网。
iptables -t filter -A FORWARD -o ens33 -m string --algo kmp --string "taobao" -m time --timestart 1:00 --timestop 4:00 -j DROP
iptables -t filter -A FORWARD -o ens33 -m string --algo kmp --string "jd" -m time --timestart 6:00 --timestop 10:00 -j DROP
如有问题，请多多担待！！！！