[绝对原创] shorewall 企业防火墙的完美实现

kensin

虽然兄弟是打破沙锅问到底，但xjdong兄不厌其烦，诲人不倦，再次表示感谢：）。

兄台若遇到什么问题，大家可以多多交流。

name0379

收藏起来慢慢看

adrianmak

shorewall 支持 host 的alias 嗎?
e.g.
web_01    192.168.103.10
mail_01  192.168.103.5
ftp_01   192.168.103.6

那麼在shorewall 的rules內可用web_01, mail_01, ftp_01等?泶鍵P，以後有什麼IP更改，只要修改 alias/ip 互換表就可以
不用每條rule 修改

faint

这个有点像屏蔽子网（Screened Subnet）的一个简化吧。shorewall没有用过，以前在Mandrake linux中好像也有这个，但网上一般介绍的都是用iptables，有机会看看:-)

我觉得在两个路由之间再加上一个防火墙（就是应用网关）才更好些.internet 服务器也可以放在两个路由器之间。

faint

最初由 kensin 发表
如果我是用ADSL进行接入，会有哪些不同呢？我试着画了一下我想像的网络拓朴图，请各位指教这样是否可行。

我设想的结构中，内部网由两个分开的网段组成，局域网A和局域网B，A网可以访问到B网，但B网不能访问A网的机器。另外，在两个网段内，分别有自己的DHCP服务器，以及文件服务器、打印服务器等。当然，它们并不对Internet提供相应的服务。

在下面的图中，211.111.111.1是ADSL Modem在拔号后被分配的IP地址，而192.168.1.1则是ADSL Modem本身的IP地址，ADSL Modem通过网线与Firewall的eth0相连。Firewall另有eth1和eth2，分别连到局域网A的交换机和局域网B的交换机上。

1. 
   
2. 
   
3.                                       ( Internet or ISP  )
   
4.                                           /
   
5.                                          /
   
6.                                       /\/
   
7.                                      /  
   
8.                                     /  
   
9.                                    (IP:211.111.111.1 /255.255.255.255)
   
10.                          (带路由功能的ADSL Modem)
    
11.                                     | (IP 192.168.1.1/255.255.255.252)
    
12.                                     |
    
13.                                     |
    
14.                                     |     
    
15.                                     | (192.168.1.2/255.255.255.252)
    
16.                                |----------|
    
17.                                | Firewall |
    
18.                                |----------|
    
19.                    (10.1.1.1/24)/        \(10.1.2.1/24)
    
20.                                /          \
    
21.                               /            \
    
22.                              /              \  
    
23.              (局域网 A) ____/                \_____ (局域网 B)  
    
24.                 |----------|                  |----------|   
    
25.                 | 交换机A  |                  | 交换机B  |
    
26.                 |----------|                  |----------|
    
27.                  /                              /
    
28.                 /                              /
    
29.                /                              /
    
30.           |--------|                    |--------|
    
31.           |局域网A |                    |局域网A |
    
32.           | DHCP   |                    | DHCP   |
    
33.           |服务器  |                    |服务器  |
    
34.           |--------|                    |--------|   
    

复制代码

在这样的结构上，配置会有哪些不同呢？

本着举一反三的学习精神，请楼主和各位朋友一起探讨。

我种结构其实是很简单的吧。你简化一下。就是一个双宿主机网关（Dual Homed Gateway）

这种配置是用一台装有两个网络适配器的双宿主机做防火墙。双宿主机用两个网络适配器分别连接两个网络，又称堡垒主机。堡垒主机上运行着防火墙软件（通常是代理服务器），可以转发应用程序，提供服务等。双宿主机网关有一个致命弱点，一旦入侵者侵入堡垒主机并使该主机只具有路由器功能，则任何网上用户均可以随便访问有保护的内部网络

faint

其实你这个就在防火墙上多加了一个网卡。局域网A和B其实是一样的，或者说是平等的。

xjdong

最初由 adrianmak 发表
shorewall 支持 host 的alias 嗎?
e.g.
web_01    192.168.103.10
mail_01  192.168.103.5
ftp_01   192.168.103.6

那麼在shorewall 的rules內可用web_01, mail_01, ftp_01等?泶鍵P，以後有什麼IP更改，只要修改 alias/ip 互換表就可以
不用每條rule 修改

shorewall 中有个 params 文件，这个文件就可以用来解决你这类的问题的。

xjdong

最初由 faint 发表
我种结构其实是很简单的吧。你简化一下。就是一个双宿主机网关（Dual Homed Gateway）

这种配置是用一台装有两个网络适配器的双宿主机做防火墙。双宿主机用两个网络适配器分别连接两个网络，又称堡垒主机。堡垒主机上运行着防火墙软件（通常是代理服务器），可以转发应用程序，提供服务等。双宿主机网关有一个致命弱点，一旦入侵者侵入堡垒主机并使该主机只具有路由器功能，则任何网上用户均可以随便访问有保护的内部网络

其实你这个配置是很好实现的，你的要求是：

1： LAN_a 可以访问 LAN_b
2： LAN_b 不可以访问 LAN_a
3： 同时 LAN_a and LAN_b 都不对 Internet 提供服务

可以这样配置：

policy:

lanA   lanB    ACCEPT

rules:

ACCEPT  lanB:X.X.X.X   lanA    all    -     -

如果你希望 LANB中的某台机器可以访问  LANA就在rules上配置如上就可以啦!

cyberdna

我的pptpd已经调试通过，但拨号上来只能访问防火墙本身，我想要的是能够对局域网都能访问，照着说明做了但一直不成功，不知道错在那里，请xjdong帮我看看。下面是配置文件

1. 
   
2. #------------interface----------
   
3. net　　eth1　　　　　　detect
   
4. loc　　eth0　　　　　　detect
   
5. vpn　　ppp+　　　　　　-
   
6. 
   
7. #----------zones--------------
   
8. net　　Net　　　　　　Internet
   
9. loc　　Local　　　　　LocalNetworks
   
10. vpn　　VPN　　　　　　RemoteUsers
    
11. 
    
12. #----------masq---------------------
    
13. eth1　192.168.100.235/32#PPTP的ip地址
    
14. 
    
15. #----------rules--------------------
    
16. ACCEPT　　　　　fw　　　　　　　loc　　　　　　all
    
17. ACCEPT　　　　　net　　　　　　 loc　　　　　　all
    
18. 
    
19. #----------policy------------------
    
20. all　　　　　　all　　　　　　ACCEPT
    
21. 
    
22. #---------tunnels------------------
    
23. pptpserver     net     0.0.0.0/0
    

复制代码

以上没有考虑什么安全，通了以后再设置。

xjdong

你可以先看看这个文档，有详细说明！http://www.shorewall.net/PPTP.htm#ServerFW