FreeBSD6.0 IPFW配置

joleon

FreeBSD6.0 IPFW配置


这是我freebsd服务器配置ipfw的步骤，权做笔记，也希望能够帮助到有需要的朋友



修改核心
  其实完全可以用不着修改内核，只要你不需要使用nat功能，我的本来不需要，也编译了内核，随便学习学习

请先检查 /usr/src/sys/i386/conf/ 目录存在，您可以在这个目录中看到一个名为 GENERIC 的文字文件，GENERIC 就是安装时用的一般核心
如果系统中没有 /usr/src/sys 这个目录，表示您在安装时并未安装 FreeBSD 的原始码，您可以使用 sysinstall 这个指令来执行安装的选单工具，并安装原始码。执行了 sysinstall 后，请选择 [Configure] -> [Distribution] -> [src] -> [sys]，即可安装核心的原始码cp GENERIC /root/MYKERNEL # ln -s /root/MYKERNEL


在 FreeBSD 4.2-STABLE 2001年2月以后的版本，我们可以使用新的方式来编译及安装新的核心：# cd /usr/src# make buildkernel KERNCONF=MYKERNEL# make installkernel KERNCONF=MYKERNEL
安装完成后，将编译过程中使用的档案删除：# rm -rf /usr/obj/usr/src/sys/MYKERNEL
最后我们就可以重新开机了，在重新开机之前，我们多下了几个 sync 这个指令。这个指令的用意是要求系统将所有暂存在内存内的数据都写入硬盘。# sync;sync;sync;reboot

还要配置rc.conf文件来运行我们的防火墙：
# vi /etc/rc.conf
加入如下内容：
gateway_enable="YES" # 启动网关
firewall_enable="YES" # 激活firewall防火墙
firewall_script="/etc/rc.firewall" # firewall防火墙的默认脚本
firewall_type="/etc/ipfw.conf" # firewall自定义脚本
firewall_quiet="NO" # 起用脚本时，是否显示规则信息。现在为“NO”假如你的防火墙脚本已经定型，那么就可以把这里设置成“YES”了。
firewall_logging_enable="YES" # 启用firewall的log记录。
设置完成后我们再编辑/etc/syslog.conf文件：
# ee /etc/syslog.conf
加入以下行：
!ipfw
*.*                 /var/log/ipfw.log



规则：
vi  /etc/ipfw.conf
我们添加一下规则：(注意 10.1.1.1是我们服务器的IP)
######### TCP ##########
add 00001 deny log ip from any to any ipopt rr
add 00002 deny log ip from any to any ipopt ts
add 00003 deny log ip from any to any ipopt ssrr
add 00004 deny log ip from any to any ipopt lsrr
add 00005 deny tcp from any to any in tcpflags syn,fin
# 这5行是过滤各种扫描包
add 10001 allow tcp from any to 10.1.1.1 80 in  # 向整个Internet开放http服务。
add 10002 allow tcp from any to 10.1.1.1 21 in  # 向整个Internet开放ftp服务。
add 10000 allow tcp from 1.2.3.4 to 10.1.1.1 22 in
# 向Internet的xx.xx.xx.xx这个IP开放SSH服务。也就是只信任这个IP的SSH登陆。
# 如果你登陆服务器的IP不固定，那么就要设为：add 10000 allow tcp from any to 10.1.1.1 22 in
add 19997 check-state
add 19998 allow tcp from any to any out keep-state setup
add 19999 allow tcp from any to any out #这三个组合起来是允许内部网络访问出去，如果想服务器自己不和Internet进行tcp连接出去，可以把19997和19998去掉。（不影响Internet对服务器的访问）
########## UDP ##########
add 20001 allow udp from any 53 to 10.1.1.1 # 允许其他DNS服务器的信息进入该服务器，因为自己要进行DNS解析嘛~
add 29999 allow udp from any to any out # 允许自己的UDP包往外发送。
########## ICMP #########
add 30000 allow icmp from any to any icmptypes 3
add 30001 allow icmp from any to any icmptypes 4
add 30002 allow icmp from any to any icmptypes 8 out
add 30003 allow icmp from any to any icmptypes 0 in
add 30004 allow icmp from any to any icmptypes 11 in
#允许自己ping别人的服务器。也允许内部网络用router命令进行路由跟踪。


本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u/20345/showart_144916.html