自已写的一个简单的网站防火墙!

tonybeo

# --------------------+++++ TONYBEO +++++-------iptables-v1.2.6a --------------------
# 存于/etc/sysconfig/iptables.conf
# 自已写的多提意见!呵!写的匆忙不知道有没有漏雨!大家帮我看看
# 在防火墙下的局域网内建有WEB\FTP\WEBMIN服务器,可通过外网访问
# 管理员可以通过WEBMIN管理网站
# eth0:211.93.111.33
# eth1:172.16.0.1
# 172.16.0.2 -172.16.0.255 in lan
*mangle
REROUTING ACCEPT [0]
:OUTPUT ACCEPT [0]
COMMIT
#

# Completed on Thu Mar 27 10:05:10 2003
# Generated by iptables-save v1.2.6a on Thu Mar 27 10:05:10 2003
*nat
:OUTPUT ACCEPT [0]
REROUTING ACCEPT [0]
OSTROUTING ACCEPT [0]
[0] -A PREROUTING -i eth0 -p tcp -d 211.93.111.33 --dport 8021 -j DNAT --to-destination 172.16.0.2:21  
[0] -A PREROUTING -i eth0 -p tcp -d 211.93.111.33 --dport 8080 -j DNAT --to-destination 172.16.0.3:80
[0] -A PREROUTING -i eth0 -p tcp -d 211.93.111.33 --dport 11111 -j DNAT --to-destination 172.16.0.3:10000  
[0] -A PREROUTING -i eth0 -p tcp -d 211.93.111.33 --dport 11112 -j DNAT --to-destination 172.16.0.2:10000
[0] -A POSTROUTING -s 172.16.0.0/24 -j MASQUERADE
COMMIT
#

# Completed on Thu Mar 27 10:05:10 2003
# Generated by iptables-save v1.2.6a on Thu Mar 27 10:05:10 2003
*filter
:FORWARD DROP [0]
:INPUT DROP [0]
:OUTPUT ACCEPT [0]
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -i eth0 --dport 22 -j ACCEPT
-A INPUT -p tcp -i eth0 --dport 11111 -j ACCEPT
-A INPUT -p tcp -i eth0 --dport 11112 -j ACCEPT
-A INPUT -p tcp -i eth0 --dport 8021 -j ACCEPT
-A INPUT -p tcp -i eth0 --dport 8021 -j LOG
-A INPUT -p tcp -i eth0 --dport 8080 -j ACCEPT
-A INPUT -p tcp -i eth1 --dport 8080 -j ACCEPT
-A INPUT -m state -i eth0 --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state -i eth1 --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -s 211.93.111.30 -p icmp -m icmp --icmp-type 8 -j ACCEPT
COMMIT
# Completed on Thu Mar 27 10:05:10 2003
#----------++++++ TONYBEO ++++++--------------iptables-v1.2.6a -------------

wind

不错，值得学习

cwwhy

能不能 FTP  data transfer啊!  搞不定,郁闷!!!

tonybeo

可以啊!讲一讲你是如何做的可以吗?

cwwhy

先谢谢了啊, 我用两张网卡,一个对内,一个对外.我作网关,五台机器通过我的机器上网.

我只是设了一个ip 转发:
iptables -t nat -A POSTROUTING -j SNAT -o eth0 --to xxxx(我的对外地址) -s
         192.168.0.1/24(对内地址) -d 0.0.0.0/0

然后他们能上网了,可不能连外面的ftp服务器.qq也不能发文件.

tonybeo

FTP服务好象默认是不开的所以要在引导时加上!
etho 1 > /proc/sys/net/ipv4/ip_forward
modprobe iptable_nat
modprobe ip_table
modprobe ip_nat_table
modprobe ip_conntrack
modprobe ip_conntrack_ftp
iptables -t nat -A POSTROUTING -j SNAT -o eth0 --to xxxx -s
192.168.0.1/24 -d 0.0.0.0/0
最好做和引导程序!