怎么完全免费自建Linux防火墙的方法
防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。有用户问到，怎么在Linux系统中免费自己建立防火墙呢?
一、防火墙的类型和设计策略
在构造防火墙时，常采用两种方式，包过滤和应用代理服务。包过滤是指建立包过滤规则，根据这些规则及IP包头的信息，在网络层判定允许或拒绝包的通过。如允许或禁止FTP的使用，但不能禁止FTP特定的功能(例如Get和Put的使用)。应用代理服务是由位于内部网和外部网之间的代理服务器完成的，它工作在应用层，代理用户进、出网的各种服务请求，如FTP和Telenet等。
目前，防火墙一般采用双宿主机(Dual-homedFirewall)、屏蔽主机(ScreenedHostFirewall)和屏蔽子网(ScreenedSubnetFirewall)等结构。双宿主机结构是指承担代理服务任务的计算机至少有2个网络接口连接到内部网和外部网之间。屏蔽主机结构是指承担代理服务任务的计算机仅仅与内部网的主机相连。屏蔽子网结构是把额外的安全层添加到屏蔽主机的结构中，即添加了周边网络，进一步把内部网和外部网隔开。
防火墙规则用来定义哪些数据包或服务允许/拒绝通过，主要有2种策略。一种是先允许任何接入，然后指明拒绝的项;另一种是先拒绝任何接入，然后指明允许的项。一般地，我们会采用第2种策略。因为从逻辑的观点看，在防火墙中指定一个较小的规则列表允许通过防火墙，比指定一个较大的列表不允许通过防火墙更容易实现。从Internet的发展来看，新的协议和服务不断出现，在允许这些协议和服务通过防火墙之前，有时间审查安全漏洞。
二、基于Linux操作系统防火墙的实现
基于Linux操作系统的防火墙是利用其内核具有的包过滤能力建立的包过滤防火墙和包过滤与代理服务组成的复合型防火墙。下面，让我们来看看怎样配置一个双宿主机的基于Linux的防火墙。
由于Linux的内核各有不同，提供的包过滤的设置办法也不一样。IpFwadm是基于Unix中的ipfw，它只适用于Linux2.0.36以前的内核;对于Linux2.2以后的版本，使用的是Ipchains。IpFwadm和Ipchains的工作方式很相似。用它们配置的4个链中，有3个在Linux内核启动时进行定义，分别是：进入链(InputChains)、外出链(OutputChains)和转发链(ForwardChains)，另外还有一个用户自定义的链(UserDefinedChains)。进入链定义了流入包的过滤规则，外出链定义了流出包的过滤规则，转发链定义了转发包的过滤规则。
这些链决定怎样处理进入和外出的IP包，即当一个包从网卡上进来的时候，内核用进入链的规则决定了这个包的流向;如果允许通过，内核决定这个包下一步发往何处，如果是发往另一台机器，内核用转发链的规则决定了这个包的流向;当一个包发送出去之前，内核用外出链的规则决定了这个包的流向。某个特定的链中的每条规则都是用来判定IP包的，如果这个包与第一条规则不匹配，则接着检查下一条规则，当找到一条匹配的规则后，规则指定包的目标，目标可能是用户定义的链或者是Accept、Deny、Reject、Return、Masq和Redirect等。
其中，Accept指允许通过;Deny指拒绝;Reject指把收到的包丢弃，但给发送者产生一个ICMP回复;Return指停止规则处理，跳到链尾;Masq指对用户定义链和外出链起作用，使内核伪装此包;Redirect只对进入链和用户定义链起作用，使内核把此包改送到本地端口。为了让Masq和Redirect起作用，在编译内核时，我们可以分别选择Config_IP_Masquerading和Config_IP_Transparent_Proxy。
假设有一个局域网要连接到Internet上，公共网络地址为202.101.2.25。内部网的私有地址根据RFC1597中的规定，采用C类地址192.168.0.0～192.168.255.0。为了说明方便，我们以3台计算机为例。实际上，最多可扩充到254台计算机。
具体操作步骤如下：
1、在一台Linux主机上安装2块网卡ech0和ech1，给ech0网卡分配一个内部网的私有地址191.168.100.0，用来与Intranet相连;给ech1网卡分配一个公共网络地址202.101.2.25，用来与Internet相连。
2、Linux主机上设置进入、转发、外出和用户自定义链。本文采用先允许所有信息可流入和流出，还允许转发包，但禁止一些危险包，如IP欺骗包、广播包和ICMP服务类型攻击包等的设置策略。
具体设置如下：
(1)刷新所有规则
(2)设置初始规则
(3)设置本地环路规则
本地进程之间的包允许通过。
(4)禁止IP欺骗
(5)禁止广播包
(6)设置ech0转发规则
(7)设置ech1转发规则
将规则保存到/etc/rc.firewallrules文件中，用chmod赋予该文件执行权限，在/etc/rc.d.rc.local中加入一行/etc/rc.firewallrules，这样当系统启动时，这些规则就生效了。
通过以上各步骤的配置，我们可以建立一个基于Linux操作系统的包过滤防火墙。它具有配置简单、安全性高和抵御能力强等优点，特别是可利用闲置的计算机和免费的Linux操作系统实现投入最小化、产出最大化的防火墙的构建。另外，如果在包过滤的基础上再加上代理服务器，如TIS Firewall Toolkit 免费软件包，还可构建更加安全的复合型防火墙。
补充阅读：防火墙主要使用技巧
一、所有的防火墙文件规则必须更改。
尽管这种方法听起来很容易，但是由于防火墙没有内置的变动管理流程，因此文件更改对于许多企业来说都不是最佳的实践方法。如果防火墙管理员因为突发情况或者一些其他形式的业务中断做出更改，那么他撞到枪口上的可能性就会比较大。但是如果这种更改抵消了之前的协议更改，会导致宕机吗?这是一个相当高发的状况。
防火墙管理产品的中央控制台能全面可视所有的防火墙规则基础，因此团队的所有成员都必须达成共识，观察谁进行了何种更改。这样就能及时发现并修理故障，让整个协议管理更加简单和高效。
二、以最小的权限安装所有的访问规则。
另一个常见的安全问题是权限过度的规则设置。防火墙规则是由三个域构成的：即源(IP地址)，目的地(网络/子网络)和服务(应用软件或者其他目的地)。为了确保每个用户都有足够的端口来访问他们所需的系统，常用方法是在一个或者更多域内指定打来那个的目标对象。当你出于业务持续性的需要允许大范围的IP地址来访问大型企业的网络，这些规则就会变得权限过度释放，因此就会增加不安全因素。服务域的规则是开放65535个TCP端口的ANY。防火墙管理员真的就意味着为黑客开放了65535个攻击矢量?
三、根据法规协议和更改需求来校验每项防火墙的更改。
在防火墙操作中，日常工作都是以寻找问题，修正问题和安装新系统为中心的。在安装最新防火墙规则来解决问题，应用新产品和业务部门的过程中，我们经常会遗忘防火墙也是企业安全协议的物理执行者。每项规则都应该重新审核来确保它能符合安全协议和任何法规协议的内容和精神，而不仅是一篇法律条文。
四、当服务过期后从防火墙规则中删除无用的规则。
规则膨胀是防火墙经常会出现的安全问题，因为多数运作团队都没有删除规则的流程。业务部门擅长让你知道他们了解这些新规则，却从来不会让防火墙团队知道他们不再使用某些服务了。了解退役的服务器和网络以及应用软件更新周期对于达成规则共识是个好的开始。运行无用规则的报表是另外一步。黑客喜欢从来不删除规则的防火墙团队。
怎么完全免费自建Linux防火墙的方法相关文章：
