Firewall防火墙规则事例

用易-小卢

防火墙规则事例
# \+ X9 O! c- J' g! \
我先从 input 链表开始，这里是对所有访问路由的数据进行过滤和处理：

从 input 链表的第一条开始执行，这里一共有三条规则：
' H2 D  C% c: @9 u' k
4 ~8 Y+ [' o! k0 ;;; 接受你信任的 IP 地址访问(src-address=填写信任 IP,默认允许任何地址)chain=input src-address=192.168.100.2 action=accept

, Z- {. u. y, |8 F+ ~  V5 p
- b' k' f% b5 M4 B7 ]2 ^+ h1 ;;; 丢弃非法连接
7 j: _/ g" L% a5 mchain=input connection-state=invalid action=drop
$ b& ?% S0 Z4 k: U* b! j2 ;;; 丢弃任何访问数据
: }0 U: s$ y9 pchain=input action=drop
% F! L, U* C! Q7 `7 ]
下面是 forward 链表

forward 链表，一共有 7 条规则，包括两个跳转到自定义链表 ICMP 和 virus 链表：

0 ;;; 接受已建立连接的数据
chain=forward connection-state=established action=accept
5 ~; H3 t& u; p1 ;;; 接受相关数据
. `: C, U$ G# Jchain=forward connection-state=related action=accept
2 ;;; 丢弃非法数据包
9 `8 }9 G7 u1 ~  r2 w
chain=forward connection-state=invalid action=drop
3 ;;; 限制每个主机 TCP 连接数为 80 条
chain=forward protocol=tcp connection-limit=80,32 action=drop
4 ;;; 丢弃掉所有非单播数据
3 t* g0 N5 Q0 y* S* Y6 pchain=forward src-address-type=!unicast action=drop
; ]5 R9 O5 r8 }+ Z, f% E" n. w1 H5 ;;; 跳转到 ICMP 链表
% L6 J/ Y0 Y9 Vchain=forward protocol=icmp action=jump jump-target=ICMP
7 s- C5 ^3 ^. V$ p" W9 x6 ;;; 跳转到病毒链表
chain=forward action=jump jump-target=virus
# b0 b+ \: B  u  l5 ~+ n9 U% t5 z
forward 工作过程如下：  

在自定义链表 ICMP 中，是定义所有 ICMP（Internet 控制报文协议），ICMP 经常被认为是 IP 层的一个组成部分。它传 递差错报文以及其他需要注意的信息。ICMP 报文通常被 IP 层或更高层协议（TCP 或 UDP）使用。例如：ping、traceroute、 trace TTL 等。我们通过 ICMP 链表来过滤所有的 ICMP 协议：
3 I7 c3 q9 ?7 q- A7 R
* S0 M9 R% s! H+ {( @* e. ?ICMP 链表操作过程：

0 ;;; Ping 应答限制为每秒 5 个包
chain=ICMP protocol=icmp icmp-options=0:0-255 limit=5,5 action=accept
1 ;;; Traceroute 限制为每秒 5 个包
, G' Z' a9 t/ I  j$ L
) @% U/ m4 g" Z* {chain=ICMP protocol=icmp icmp-options=3:3 limit=5,5 action=accept
2 ;;; MTU 线路探测限制为每秒 5 个包
chain=ICMP protocol=icmp icmp-options=3:4 limit=5,5 action=accept
3 ;;; Ping 请求限制为每秒 5 个包
chain=ICMP protocol=icmp icmp-options=8:0-255 limit=5,5 action=accept
4 ;;; Trace TTL 限制为每秒 5 个包
chain=ICMP protocol=icmp icmp-options=11:0-255 limit=5,5 action=accept
5 ;;; 丢弃掉任何 ICMP 数据
chain=ICMP protocol=icmp action=drop

ICMP 类型：代码值
: Z0 }+ ]# C% E* ]" D
1 F( @6 O0 l" I8 Y! Q通过指令保护你的路由器和相连接私有网络，你需要通过配置防火墙丢弃或拒绝 ICMP 协议的传输。然而一些ICMP 数据包则需要用来维护网络和故障判断用。
# R9 r2 A2 n6 a7 Z* Z+ w4 m
下面是 ICMP 类型列表：通常下面的 ICMP 传输建议被允许通过

Ping
$ k4 H! C0 v- R" L* K1 K2 h
o 8:0 – 回应请求
% i" L1 C' U0 G/ q; ^8 m
( @1 {% y/ Y  \! Qo 0:0 – 回应答复

Trace
3 `& {4 B( \  t! y6 D$ S9 z
& a4 L; r7 D6 ao 11:0 – TTL 超出

6 x7 `& p0 K  u$ fo 3:3 – 端口不可到达

路径 MTU 探测

: m& k. z2 \* m, e# W% F7 S! do 3:4 – 分段存储 Fragmentation-DF-Set

一般 ICMP 过滤建议：

-- 允许 ping—ICMP 回应请求向外发送和回应答复进入

  U* o* {+ h: p4 g; y-- 允许 traceroute—TTL 超出和端口不可到达信息进入

-- 允许路径 MTU—ICMP Fragmentation-DF-Set 信息进入

$ ~. k9 R$ F9 w# [: X-- 阻止其他任何数据
! b/ J3 H3 o' R. T
在 virus 链表中过滤常见的病毒，我可以根据需要在该链表中添加新的病毒对他们做过滤：

阻止不必要的 IP 广播：
/ `9 Z9 g  G0 `& p, o* S+ ?+ ~
add chain=forward src-address=0.0.0.0/8 action=drop add chain=forward dst-address=0.0.0.0/8 action=drop add chain=forward src-address=127.0.0.0/8 action=drop add chain=forward dst-address=127.0.0.0/8 action=drop add chain=forward src-address=224.0.0.0/3 action=drop add chain=forward dst-address=224.0.0.0/3 action=drop
$ Z! ^, E; `2 m5 Q) Z" h  \
8 \, \( u( p5 J+ ?0 u; F: l建立新的跳转数据链（chains）：add chain=forward protocol=tcp action=jump jump-target=tcp add chain=forward protocol=udp action=jump jump-target=udp add chain=forward protocol=icmp action=jump jump-target=icmp
5 Q9 r8 K2 \! ~, V1 n6 M+ O- c


% z1 T" r# o/ [建立 tcp-chain 并拒绝一些 tcp 端口：

3 d, p( a! f5 S) \; Nadd chain=tcp protocol=tcp dst-port=69 action=drop comment="deny TFTP"
# v; i& E! H+ u" @add chain=tcp protocol=tcp dst-port=111 action=drop comment="deny RPC portmapper" add chain=tcp protocol=tcp dst-port=135 action=drop comment="deny RPC portmapper" add chain=tcp protocol=tcp dst-port=137-139 action=drop comment="deny NBT"
' n4 U% ~* a3 {6 U4 uadd chain=tcp protocol=tcp dst-port=445 action=drop comment="deny cifs" add chain=tcp protocol=tcp dst-port=2049 action=drop comment="deny NFS"
add chain=tcp protocol=tcp dst-port=12345-12346 action=drop comment="deny NetBus" add chain=tcp protocol=tcp dst-port=20034 action=drop comment="deny NetBus"
% a7 R. R1 W( w! D  S  {8 badd chain=tcp protocol=tcp dst-port=3133 action=drop comment="deny BackOriffice" add chain=tcp protocol=tcp dst-port=67-68 action=drop comment="deny DHCP"
) I$ d0 k4 \- ^" Y5 _
" l' t: {! f. {& Q7 G  [& J在 udp-chain 中拒绝非法的 udp 端口 Deny udp ports in udp chain:add chain=udp protocol=udp dst-port=69 action=drop comment="deny TFTP"
add chain=udp protocol=udp dst-port=111 action=drop comment="deny PRC portmapper" add chain=udp protocol=udp dst-port=135 action=drop comment="deny PRC portmapper" add chain=udp protocol=udp dst-port=137-139 action=drop comment="deny NBT"
add chain=udp protocol=udp dst-port=2049 action=drop comment="deny NFS"
- o% V4 F+ @8 ]8 i: [8 W' W) @( H
add chain=udp protocol=udp dst-port=3133 action=drop comment="deny BackOriffice"
' {7 o$ `5 Y( B, \" u/ A


  L/ r2 Y2 G  B4 a! Y在 icmp-chain 允许相应需要的 icmp 连接：add chain=icmp protocol=icmp icmp-options=0:0 action=accept comment="drop invalid connections"
add chain=icmp protocol=icmp icmp-options=3:0 action=accept \
, K' X( x# C3 R( K. u6 C  U- G! Hcomment="allow established connections"
add chain=icmp protocol=icmp icmp-options=3:1 action=accept \
comment="allow already established connections"
& F, r! w. E) M/ {4 E, X) _$ Jadd chain=icmp protocol=icmp icmp-options=4:0 action=accept \
) D2 z, [1 S% ]9 z) y# U( K$ p3 M! icomment="allow source quench"
( U! e- ]+ L+ U2 i9 g0 G" d8 jadd chain=icmp protocol=icmp icmp-options=8:0 action=accept \
5 n/ e! l! s2 }9 i+ Ocomment="allow echo request"
add chain=icmp protocol=icmp icmp-options=11:0 action=accept \
comment="allow time exceed"
& ]' T# J) C6 L  d1 R/ v  badd chain=icmp protocol=icmp icmp-options=12:0 action=accept \
comment="allow parameter bad"
add chain=icmp action=drop comment="deny all other types"

/ E2 K# t5 [3 ^; K5 L8 f