防火墙和代理服务器设置规划

防火墙和代理服务器设置规划

1.Firewall

设计目标：通过一个脚本实现内网对外发布服务器，benet局域网透明代理上网,允许VPN,SSH,DNS,DHCP,WWW,FTP,SNMP,POP3.POP3S,IMAP,IMAPS,SMTP通过，其它拒绝。

环境：iptables:200.0.0.1(外网卡)192.168.200.254(内网卡)

脚本设计原则：先拒绝后允许，先写明确条目，后宏观。一定注意顺序。

#vi MY_Firewall.sh

#!/bin/bash

#MY_Firewall.sh

#auth:ajian

#date:2007.5.15

#######################################################################

####

#Set variable

IPT="/sbin/iptables"

INET_DEV="eth0"

INET_IP="200.0.0.1"

LAN_DEV="eth1"

LAN_IP="192.168.200.254"

LAN_WWW1="192.168.200.1"

LAN_WWW2="192.168.200.2"

LAN_MAIL="192.168.200.3"

####################################################################### ####

# Needed to initially load modules

#/sbin/depmod -a

#Load module

/sbin/modprobe ip_conntrack

/sbin/modprobe ip_conntrack_ftp

/sbin/modprobe ipt_MASQUERADE

/sbin/modprobe ip_nat_ftp

/sbin/modprobe ip_gre

/sbin/modprobe iptable_filter

/sbin/modprobe ipt_state

/sbin/modprobe ip_tables

/sbin/modprobe ip_nat_irc

/sbin/modprobe ip_conntrack_irc

####################################################################### ####

#

# /proc set up.

##

# Required proc configuration

#

echo "1" > /proc/sys/net/ipv4/ip_forward

#######################################################################

####

#clear and flush rule

$IPT -F

$IPT -X

$IPT -t nat -X

$IPT -t nat -F

#Set default policy,all drop

$IPT -P INPUT DROP

$IPT -P FORWARD DROP

$IPT -P OUTPUT ACCEPT

$IPT -t nat -P PREROUTING ACCEPT

$IPT -t nat -P POSTROUTING ACCEPT

$IPT -t nat -P OUTPUT ACCEPT

###############################start set chain#####################################

####################################################################### ####

#1.set allowed ports (SSH,DNS,DHCP,WWW,FTP,SNMP,POP3.POP3S,IMAP,IMAPS,SMTP)

$IPT -A INPUT -p tcp -m multiport --dport 22,80,546,547 -i $INET_DEV -j ACCEPT

$IPT -A FORWARD -p tcp -m multiport --dport 20,21,22,995,143,993,465,3306,546,547 -j ACCEPT

$IPT -A INPUT -p udp -m multiport --dport 53,22,80,546,547 -i $INET_DEV -j ACCEPT

$IPT -A FORWARD -p udp -m multiport --dport 53,20,21,22,995,143,993,465,3306,546,547 -j ACCEPT

##$IPT -A OUTPUT -p tcp -m multiport --dport 53,22,80,546,547 -o $INET_DEV

-j ACCEPT

####################################################################### ####

#2.allow vpn access

$IPT -A INPUT -p tcp -m multiport --dport 1723,500,47 -i $INET_DEV -j ACCEPT $IPT -A FORWARD -p tcp -m multiport --dport 1723,500,47 -j ACCEPT

##$IPT -A OUTPUT -p tcp -m multiport --dport 1723,500,47 -i $INET_DEV -j ACCEPT

$IPT -A INPUT -p gre -j ACCEPT

$IPT -A FORWARD -p gre -j ACCEPT

##$IPT -A OUTPUT -p gre -j ACCEPT

################################# NAT ##########################################

#3.DNAT

$IPT -t nat -A PREROUTING -i $INET_DEV -p tcp --dport 80 -j DNAT --to $LAN_WWW1-$LAN_WWW2

$IPT -t nat -A PREROUTING -i $INET_DEV -p tcp --dport 110 -j DNAT --to $LAN_MAIL

$IPT -t nat -A PREROUTING -i $INET_DEV -p tcp --dport 25 -j DNAT --to $LAN_MAIL

# 4.Transparent Proxy

$IPT -t nat -A PREROUTING -i $LAN_DEV -p tcp --dport 80 -j REDIRECT --to-port 3128

# 5.SNAT or MASQUERADE

#------------------------------------------------------------------------

$IPT -t nat -A POSTROUTING -o $INET_DEV -j SNAT --to $INET_IP

#----------------------------------------------------------------------

--

#$IPT -t nat -A POSTROUTING -o $INET_DEV -j MASQUERADE

#######################################################################

####

#6.set the popular chains

#ESTABLISH

$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#LOOPBACK(It is important ,example vpn)

$IPT -A INPUT -d 127.0.0.1 -j ACCEPT

#$IPT -A OUTPUT -s 127.0.0.1 -j ACCEPT

#######################################################################

####

################################### END ########################################

完成脚本后将脚本放到/etc/rc.d下

#mv MY_Firewall.sh /etc/rc.d

#chmod u+x /etc/rc.d/MY_Firewall.sh //给与执行权限

#./MY_Firewall.sh可以执行或者 bash MY_Firewall.sh

2.SQUID

设计目标：A、代理Benet局域网上网，实现只允许192.168.200.0/24的网段代理，其它网段不允许。

A、控制客户端上网时间。

B、实现透明代理。

修改配置文件#vi /etc/squid/squid.conf

A、代理一个网段(53)

http_port 3128

acl mynetwork src 192.168.200.0/255.255.255.0

http_access allow mynetwork

http_access deny !mynetwork

B、控制客户端的上网时间：

acl allowed_clients src 192.168.200.0/255.255.255.0

acl regular_days time MTWHF 10:00-16:00 //MTWHF周一到周五

http_access allow allowed_clients regular_days

http_access deny !allowed_clients

C、实现透明代理的：(在http_port后添加)

httpd_accel_host virtual

httpd_accel_port 80

httpd_accel_with_proxy on

httpd_accel_use_host_header on

然后运行/etc/rc.d/init.d/squid reload 使设置生效。

注意：防火墙中要添加了这条(之前的脚本中已经加入了)

iptables -A PREROUTING -t nat -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

这样客户机访问外部网络的请求就重定向工作在3128端口的squid处理。就实现了透明代理，客户不会感觉在访问squid服务器，就像直接访问外部的网络。

最后：#squid –Z //创建缓存目录

#service squid restart //重启服务