Firewall防火墙规则事例

用易-小卢

防火墙规则事例
1 ]" T& L8 c9 v- {$ ?) z
我先从 input 链表开始，这里是对所有访问路由的数据进行过滤和处理：

从 input 链表的第一条开始执行，这里一共有三条规则：
3 M# u, @9 e: E5 w# C3 l
) L2 [9 Y  h  Z3 e/ M2 ?' n2 I4 o0 ;;; 接受你信任的 IP 地址访问(src-address=填写信任 IP,默认允许任何地址)chain=input src-address=192.168.100.2 action=accept
( z9 X% P3 G; W& _+ g

1 ;;; 丢弃非法连接
6 a8 @2 c) L) H  s) Z, dchain=input connection-state=invalid action=drop
$ A! G) S8 B# X2 ;;; 丢弃任何访问数据
chain=input action=drop

) r. k- q' Q( C: |下面是 forward 链表

forward 链表，一共有 7 条规则，包括两个跳转到自定义链表 ICMP 和 virus 链表：
6 i/ E( @! h* t  _
# P/ v9 s& h5 G7 k  l" t0 ;;; 接受已建立连接的数据
$ l+ Z2 I" L0 pchain=forward connection-state=established action=accept
1 ;;; 接受相关数据
0 _0 z4 b  Q8 rchain=forward connection-state=related action=accept
/ v' q1 G5 f& w! O2 ;;; 丢弃非法数据包

" ?) w/ u" I  N3 W$ |chain=forward connection-state=invalid action=drop
3 ;;; 限制每个主机 TCP 连接数为 80 条
chain=forward protocol=tcp connection-limit=80,32 action=drop
& Z8 q4 ~5 f' R  c1 b9 |4 ;;; 丢弃掉所有非单播数据
chain=forward src-address-type=!unicast action=drop
6 d3 w. Y/ Q8 @# G4 r1 g5 ;;; 跳转到 ICMP 链表
chain=forward protocol=icmp action=jump jump-target=ICMP
  X  O/ t& [- S$ `+ U. j6 ;;; 跳转到病毒链表
, F4 M: t; U/ U; N) r* uchain=forward action=jump jump-target=virus
9 a8 `" S. _4 i& ]0 ~
forward 工作过程如下：  

在自定义链表 ICMP 中，是定义所有 ICMP（Internet 控制报文协议），ICMP 经常被认为是 IP 层的一个组成部分。它传 递差错报文以及其他需要注意的信息。ICMP 报文通常被 IP 层或更高层协议（TCP 或 UDP）使用。例如：ping、traceroute、 trace TTL 等。我们通过 ICMP 链表来过滤所有的 ICMP 协议：

& }: @+ m( d' V7 D3 ~* k/ ZICMP 链表操作过程：

  M% K8 u$ x3 F- c  F2 y0 ;;; Ping 应答限制为每秒 5 个包
$ Y4 Q8 U) O* ochain=ICMP protocol=icmp icmp-options=0:0-255 limit=5,5 action=accept
1 ;;; Traceroute 限制为每秒 5 个包

chain=ICMP protocol=icmp icmp-options=3:3 limit=5,5 action=accept
2 ;;; MTU 线路探测限制为每秒 5 个包
chain=ICMP protocol=icmp icmp-options=3:4 limit=5,5 action=accept
3 ;;; Ping 请求限制为每秒 5 个包
chain=ICMP protocol=icmp icmp-options=8:0-255 limit=5,5 action=accept
4 ;;; Trace TTL 限制为每秒 5 个包
, h( ]; t# i' U) q8 t7 L% M! y  Ychain=ICMP protocol=icmp icmp-options=11:0-255 limit=5,5 action=accept
7 ^1 H( t7 N- p& D' B5 ;;; 丢弃掉任何 ICMP 数据
chain=ICMP protocol=icmp action=drop

ICMP 类型：代码值

; A0 H5 S* f. u8 n; p; h3 F通过指令保护你的路由器和相连接私有网络，你需要通过配置防火墙丢弃或拒绝 ICMP 协议的传输。然而一些ICMP 数据包则需要用来维护网络和故障判断用。

' B8 w8 ^* C5 R" t下面是 ICMP 类型列表：通常下面的 ICMP 传输建议被允许通过
" t6 c. ]- T, s* j6 n( ~& K
Ping
; m5 I9 R( n, {# ~
o 8:0 – 回应请求

o 0:0 – 回应答复

8 O6 j+ m+ a5 E% w  \( `Trace

o 11:0 – TTL 超出

o 3:3 – 端口不可到达

路径 MTU 探测

' X/ _+ t7 h7 u% ?+ S  ?, Yo 3:4 – 分段存储 Fragmentation-DF-Set

一般 ICMP 过滤建议：
& O/ q+ N* a3 b/ x5 t+ n
  i, G  m8 j; o. c# X; Q3 c# i8 i/ k-- 允许 ping—ICMP 回应请求向外发送和回应答复进入

8 Q9 _0 S- c& _- W' o5 y-- 允许 traceroute—TTL 超出和端口不可到达信息进入
  P' V1 A2 H* \1 `7 Z
4 Z! x( l9 g9 H9 u-- 允许路径 MTU—ICMP Fragmentation-DF-Set 信息进入

- p5 m# {% Z5 \  t9 b-- 阻止其他任何数据

在 virus 链表中过滤常见的病毒，我可以根据需要在该链表中添加新的病毒对他们做过滤：

阻止不必要的 IP 广播：
( z# i4 j+ Q. Y5 E& F; X, i
$ w. l% ]* i/ K$ ?! I% q* X. N! vadd chain=forward src-address=0.0.0.0/8 action=drop add chain=forward dst-address=0.0.0.0/8 action=drop add chain=forward src-address=127.0.0.0/8 action=drop add chain=forward dst-address=127.0.0.0/8 action=drop add chain=forward src-address=224.0.0.0/3 action=drop add chain=forward dst-address=224.0.0.0/3 action=drop

建立新的跳转数据链（chains）：add chain=forward protocol=tcp action=jump jump-target=tcp add chain=forward protocol=udp action=jump jump-target=udp add chain=forward protocol=icmp action=jump jump-target=icmp



# C: U* b9 F7 s1 ^, X建立 tcp-chain 并拒绝一些 tcp 端口：

0 l1 B( i+ w7 Q9 Zadd chain=tcp protocol=tcp dst-port=69 action=drop comment="deny TFTP"
add chain=tcp protocol=tcp dst-port=111 action=drop comment="deny RPC portmapper" add chain=tcp protocol=tcp dst-port=135 action=drop comment="deny RPC portmapper" add chain=tcp protocol=tcp dst-port=137-139 action=drop comment="deny NBT"
add chain=tcp protocol=tcp dst-port=445 action=drop comment="deny cifs" add chain=tcp protocol=tcp dst-port=2049 action=drop comment="deny NFS"
add chain=tcp protocol=tcp dst-port=12345-12346 action=drop comment="deny NetBus" add chain=tcp protocol=tcp dst-port=20034 action=drop comment="deny NetBus"
add chain=tcp protocol=tcp dst-port=3133 action=drop comment="deny BackOriffice" add chain=tcp protocol=tcp dst-port=67-68 action=drop comment="deny DHCP"

在 udp-chain 中拒绝非法的 udp 端口 Deny udp ports in udp chain:add chain=udp protocol=udp dst-port=69 action=drop comment="deny TFTP"
add chain=udp protocol=udp dst-port=111 action=drop comment="deny PRC portmapper" add chain=udp protocol=udp dst-port=135 action=drop comment="deny PRC portmapper" add chain=udp protocol=udp dst-port=137-139 action=drop comment="deny NBT"
add chain=udp protocol=udp dst-port=2049 action=drop comment="deny NFS"
) b( K/ S* Z5 s9 K% i4 j
add chain=udp protocol=udp dst-port=3133 action=drop comment="deny BackOriffice"
7 s+ L: v4 Q* n% J5 F

9 |& Q' k& N4 ?% b# M
在 icmp-chain 允许相应需要的 icmp 连接：add chain=icmp protocol=icmp icmp-options=0:0 action=accept comment="drop invalid connections"
add chain=icmp protocol=icmp icmp-options=3:0 action=accept \
comment="allow established connections"
- z- O+ ?$ q; o) tadd chain=icmp protocol=icmp icmp-options=3:1 action=accept \
: Z- d1 ]0 z: @3 Q& }comment="allow already established connections"
+ d/ [  H4 X) n1 R/ d6 Eadd chain=icmp protocol=icmp icmp-options=4:0 action=accept \
8 k7 U9 {. h; Z! Tcomment="allow source quench"
% \( V6 O( c8 Uadd chain=icmp protocol=icmp icmp-options=8:0 action=accept \
comment="allow echo request"
) |4 s/ c" b9 T1 q) O& O+ Vadd chain=icmp protocol=icmp icmp-options=11:0 action=accept \
# X2 m1 ?# k5 icomment="allow time exceed"
add chain=icmp protocol=icmp icmp-options=12:0 action=accept \
& r. T$ r6 H3 |8 Q1 [1 Pcomment="allow parameter bad"
- v+ ~/ R4 V4 T( ~! ?' h3 ]add chain=icmp action=drop comment="deny all other types"