何设定防火墙IP Firewall

IP Firewall 可以有效的增进系统的安全，但是除非你对 IP Firewall 有　
相当的了解，否则你可能把你的机器弄的无法上网路。　


警告 !!　绝对不要从远端连线设定 IPFW，一定要从 console !!　
　　　　 不然设定错误，你的连线可能会被中断 !!　

你必须在 kernel config file 中加入 options IPFIREWALL 及 options　
IPFIREWALL_VERBOSE，再重新编译 kernel。　

在你开始以前，请先 man ipfw。　

1. 编辑 /etc/sysconfig，把 firewall=NO 改成 firewall=YES　
2. 修改 /etc/rc.firewall　
　 你可以参照里面的□例，如果看不懂的话，请 man ipfw　
　 以下是一个简单的例子：　

echo "IP Firewall Rules ...."　
# true to enable, false to disable　
　
if true; then　
　　　　# basic information　
　　　　net="140.113.139.0"　
　　　　mask="255.255.255.0"　
　　　　mask_b="255.255.0.0"　
　　　　myip="140.113.139.1"　
　
　　　　# flush all rules　
　　　　# FreeBSD-2.2 1996/Sep 以後的版本，请使用 ipfw -f flush (见後 PS)　
　　　　/sbin/ipfw flush　
　
　　　　# Allow all connections at last　
　　　　# IPFW default rule : "65535 deny all from any to any"　
　　　　/sbin/ipfw add 65000 pass all from any to any　
　
　　　　# Allow all connections (the latest match 65000) 本行最後才 match !　
　　　　/sbin/ipfw add 65000 pass all from any to any　
　
　　　　# Allow all localhost connections (first match) 本行最先 match !　
　　　　/sbin/ipfw add 1000 pass all from 127.0.0.1 to 127.0.0.1　
　　　　/sbin/ipfw add 1010 pass all from ${myip} to a　
　
　　　　# Friendly sites (fully access rights)　
　　　　# 这些 host 最好用 IP，或是要纪录在 /etc/hosts 中　
　　　　/sbin/ipfw add 1100 pass all from Friend1 to any　
　　　　/sbin/ipfw add 1120 pass all from Server to any　
　　　　/sbin/ipfw add 1130 pass all from FreeBSD.csie.nctu.edu.tw to any　
　
　　　　# deny everything (asshole host)　
　　　　/sbin/ipfw add 2000 deny all from 123.123.123.123:${mask} to any　
　
　　　　# deny remote syslogging to get ride of security problem　
　　　　/sbin/ipfw add 3000 deny udp from any to any 514　
　
　　　　# deny users out of campus from doing "rusers", "rwall"　
　　　　/sbin/ipfw add 4000 pass udp from ${net}:${mask_b} to any 1034,1035　
　　　　/sbin/ipfw add 4010 deny udp from any to any 1034,1035　
　
　　　　# deny most hosts from tcpspray me　
　　　　/sbin/ipfw add 5000 deny tcp from any to any 9　
　　　　/sbin/ipfw add 5010 deny udp from any to any 9　
fi　
　
3. 执行 sh /etc/rc.firewall，然後测试各种网路连线看看　

後记：　
IPFW 一启动後，内定是『拒绝所有连线』!!!　
(IPFW 内定 rule : 65535 deny all from any to any)　
这点要特别注意，因此如果你下了 ipfw flush 指令，你立刻跟网路隔绝，　
连 localhost 也无法连接。　
因此通常我们会在最後一个 rule (如 65534) 允许所有连线，然後把 deny　
的 rules 都放在前面。　

如果你在系统启动之後修改了 /etc/rc.firewall，只要用　
sh /etc/rc.firewall 就可以载入新的 rules。　
如果你在远端控制，要注意新加的 rule 不要把自己给 ban 掉了啊。　

PS. 在 1996/Sep 以後的 ipfw 在执行 ipfw flush 时会询问使用者以求　
　　确认 (因为 ipfw flush 会导致连线中断)，因此你在撰写 /etc/　
　　rc.firewall 时请使用 ipfw -f flush。　
　　你可以打 ipfw -h 看看你的 ipfw 有没有支援 -f 的选项

• 相关搜索：在百度中搜索“何设定防火墙IP Firewall ”    在Google中搜索“何设定防火墙IP Firewall ”

网站说明：

• 遇需下载的资料,为了达到最快的下载速度，推荐使用网际快车(FlashGet),迅雷下载本站资料。
• 如果您发现该资料不能下载，请查看常见问题或通知管理员，谢谢！
• 如果您发现该资料有不良信息，请点击这里进行举报，谢谢支持！
• 如果您有好的资料程希望能与大家分享，我们愿意和您一起宣传！投稿请点击这里。
• [100免费网]对所提供下载的资料不拥有任何权利，其版权归该资料的合法拥有者所有。