ipfw配置

1.要先編譯kernel
首先先在 kernel 檔中加入下列內容
options IPFIREWALL
options IPFIREWALL_FORWARD
options IPFIREWALL_DEFAULT_TO_ACCEPT
options IPFIREWALL_VERBOSE
options IPFIREWALL_VERBOSE_LIMIT=10
options IPDIVERT
options DUMMYNET
然後再去編譯 kernel 檔(編譯方法請參考實用設定教學中的編譯kernel教學)
2.編輯 /etc/rc.conf
gateway_enable="YES" //設定本主機可做為gateway
firewall_enable="YES" //這四行是防火牆的設定
firewall_type="simple"
firewall_quiet="YES"
tcp_extensions="YES"
natd_interface="rl0" //定義natd所使用的網路卡，也就是使用真IP的網路卡，中間的rl0是網路卡的
natd_enable="YES" 代號，請注意自己的設備再填上。
3.修改 /etc/rc.firewall 檔
先備份舊的rc.firewall
cp rc.firewall re.firewallbak
再移除舊的
rm rc.firewall
再來建立
vi rc.firewall
rc.firewall 內容如下
#!/bin/sh
/sbin/ipfw -f flush //先清除所有的規則
=============== 設定 nat ===============
# 這一行是允許 natd 可以在本機做任何存取動作通行
/sbin/ipfw add divert natd all from any to any via rl0
# 再把其他的通通放行 (注意!!必須放在最後一行)
/sbin/ipfw add pass all from any to any
=============== 封鎖ip設定 ===============
#下面一行設定是指禁止IP為11.22.33.44的電腦連線到主機
# all ，是指 /etc/services 檔案中所記載的各項服務名稱。
/sbin/ipfw add deny all from 11.22.33.44 to any
=============== 實用設定 ===============
=============== 讓別人ping不到 ===============
加入下列這行
ipfw add 001 deny icmp from any to 主機的真實ip via rl0
防火牆規則,加上,編號第001號(最優先處理),拒絕icmp 封包(ping 用的封包),
從任何地方連到 主機的真實ip,將此規則使用於網路卡 rl0 這樣就可以了

=============== 限制使用者只能上某些網站 ===============
此設定是限制192.168.1.~254 整個網域,server ip 是設192.168.1.254
#!/bin/sh
/sbin/ipfw -f flush
/sbin/ipfw add pass all from 127.0.0.1 to 127.0.0.1 //設定server本機可以跟server本機通訊
/sbin/ipfw add divert natd all from any to any via rl0 //設定nat可以任何通行
/sbin/ipfw add pass all from 127.0.0.1 to any //讓本機可以通行到任何地方
/sbin/ipfw add pass all from 192.168.1.255 to any //如果有設dhcp一定要設這行
/sbin/ipfw add pass all from 192.168.1.1/24 to 192.168.1.254 //讓內部ip全部可以連上本機
/sbin/ipfw add pass all from 192.168.1.1/24 to 168.95.1.1 //開放hinet dns給使用者
#開放所有通行給該ip
/sbin/ipfw add pass all from 192.168.1.1 to any
/sbin/ipfw add pass all from 192.168.1.2 to any
/sbin/ipfw add pass all from 192.168.1.3 to any
#只開放kimo給其他使用者流覽(如果開放其他ip請自行發揮)
/sbin/ipfw add pass all from 192.168.1.1/24 to 202.1.237.21 //www.kimo.com.tw的ip
/sbin/ipfw add pass all from 192.168.1.1/24 to 202.1.237.22 //kimo的圖都在這ip，也必須開放

/sbin/ipfw add deny all from 192.168.1.1/24 to any //把其他上面未允許的通訊全部擋掉

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有