网络过滤 - 替别人问一个Iptables的问题
替别人问一个Iptables的问题
2004-04-23 15:18 pm来自：Linux文档
现载：Www.8s8s.coM
地址：无名
我现在配置一台Linux（9.0) 服务器，打算用iptables 作网关
我在/etc/rc.d/rc.local 加入如下规则：
touch /var/lock/subsys/local
WAN_INTERFACE="202.161.22.187" //外网卡地址 eth0
LOCAL="192.168.0.0/24" //局域网地址
LOCAL01="192.168.0.20" //登陆Linux 终端的机器
LOCAL_INTERFACE="192.168.0.252" //内网卡地址 eth1
echo "Starting iptables rules....."
echo "1" > /proc/sys/net/ipv4/ip_forward
iptables -F
iptalbes -F -t nat
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
######################onen prot 53(dns server) and prot 22(ssh server) #
iptables -I INPUT 1 -p udp --dport 53 -s $LOCAL -i $LOCAL_INTERFACE -j ACCEPT
iptables -I INPUT 1 -p tcp --dport 53 -s $LOCAL -i $LOCAL_INTERFACE -j ACCEPT
iptables -I INPUT 1 -p tcp --dport 22 -s $LOCAL01 -i $LOCAL_INTERFACE -j ACCEPT
iptables -I INPUT 1 -p tcp --dport 22 -s $LOCAL01 -i $LOCAL_INTERFACE -j ACCEPT
######################onen prot 53(dns server) and prot 22(ssh server) #
当我重新启动时，出现如下错误信息：
NET: 299 Massages suppressed.
Neighbour table overflow
然后整个整个网络就断了，后来我执行：#ifdown eth0
#ifup eth0
才不会出现这个情况。
【发表回复】【查看CU论坛原帖】【关闭】
gentoo 回复于：2003-10-08 10:41:59
你认为上面的脚本有用吗!
iptables -P FORWARD DROP 后FORWARD链不加任何规则
下面这句有用吗?
echo "1" > /proc/sys/net/ipv4/ip_forward
要看清楚INPUT 跟FORWARD 的概念.
好好先生 回复于：2003-10-08 10:45:48
我对iptables不熟悉.这是别人发到我的信箱里的,我贴到这儿了.谢谢帮忙.
yoyoho 回复于：2003-10-08 10:47:49
1．内核编译
一般来讲，透明代理所在机器往往是带动整个局域网联入互联网的入口，因此该机器往往需要配置防火墙规则以对内部网络进行防护。因此在编译内核时也许要考虑将防火墙支持选项编译进去。
rpm -q kernel-headers kernel-source make dev86 #检查RPM包，如果不齐的补齐。
cd /usr/src/linux-xxxx #进入内核所在目录
一般来说需要在使用make menuconfig命令配置时打开如下选项：
[*]Networking support
[*]Sysctl support
[*]Network packet filtering
[*]TCP/IP networking
[*]/proc filesystem support
[*] Kernel/User netlink socket
[*] Netlink device emulation
上面的部原本上几乎不用改，以下部份在IP: Netfilter Configuration
[*] Connection tracking (required for masq/NAT)
[*] FTP protocol support
[*] IP tables support (required for filtering/masq/NAT)
<*> limit match support
[*] MAC address match support
[*] Netfilter MARK match support
[*] Multiple port match support
[*] TOS match support
[*] Connection state match support
[*] Packet filtering
[*] REJECT target support
[*] Full NAT
[*] MASQUERADE target support
[*] REDIRECT target support
[*] Packet mangling
[*] TOS target support
[*] MARK target support
[*] LOG target support
然后make dep ; make clean ;make bzImage命令来编译内核。如果使用到了模块，还需要使用下面命令生成和安装模块make modules;make modules-install。
将System.map复制到/boot目录中，将 /usr/src/linux/arch/i386/boot/bzImage复制到 /boot目录中并改名为 vmlinuz-2.4.7-10。最后安装新内核并重新起动：lilo;shutdown -r now即可。
另:/etc/sysconfig/network 为:
NETWORKING=yes
HOSTNAME="gateway"
FORWARD_IPV4=true
GATEWAYDEV=eth1
2．iptables的设置
在/etc/rc.d/目录下用touch命令建立firewall文件，执行chmod u+x firewall以更改文件属性，编辑 /etc/rc.d/rc.local文件，在末尾加上/etc/rc.d/firewall以确保开机时能自动执行该脚本。 firewall文件内容为：
#!/bin/sh
echo "Enabling IP Forwarding..."
echo 1 > /proc/sys/net/ipv4/ip_forward
echo "Starting iptables rules..."
#Refresh all chains
/sbin/rmmod ipchains
/sbin/modprobe ip_tables
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprboe ip_nat_ftp
/sbin/iptables -F INPUT
/sbin/iptables -F FORWARD
/sbin/iptables -F POSTROUTING -t nat
/sbin/iptables -P FORWARD DROP
#/sbin/iptables -t nat -A POSTROUTING -o eth1 -s 192.168.1.0/24 -j MASQUERADE #eth1为接Internet的网卡
/sbin/iptables –t nat –A POSTROUTING –o ppp0 –j MASQUERADE #用于ppp0拨号
/sbin/iptables -A FORWARD -i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A FORWARD -s 192.168.1.0/24 -j ACCEPT
好好先生 回复于：2003-10-08 10:51:13
谢谢!