RHEL4/5让内部主机通过iptables+squid上网(Updating)

yimu1023

环境: rhel5.3使用Iptables最为防火墙兼NAT，并且还安装了一个squid为内部网页提供代理上网服务.

1 iptables启动NAT，仅允许内部方位外面的80和53端口

内部主机可以直接通过它上网(不适用网页代理)

2 iptables还对本身做了限制，仅仅使得它访问80和53端口

此时内部主机还可以使用网页代理访问外部的80端口

####################
#!/bin/bash
/etc/init.d/iptables stop
sudo /sbin/iptables -I INPUT -p tcp --dport 22 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p tcp --sport 22 -j ACCEPT
sudo /sbin/iptables -I INPUT -p tcp --dport 80 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p tcp --sport 80 -j ACCEPT
sudo /sbin/iptables -I INPUT -p tcp --dport 5901 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p tcp --sport 5901 -j ACCEPT

sudo /sbin/iptables -I OUTPUT -p tcp --dport 53 -j ACCEPT
sudo /sbin/iptables -I INPUT -p tcp --sport 53 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p udp --dport 53 -j ACCEPT
sudo /sbin/iptables -I INPUT -p udp --sport 53 -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p tcp --dport 80 -j ACCEPT
sudo /sbin/iptables -I INPUT -p tcp --sport 80 -j ACCEPT
#sudo /sbin/iptables -I OUTPUT -p tcp --dport 443 -j ACCEPT
#sudo /sbin/iptables -I INPUT -p tcp --sport 443 -j ACCEPT

##############
iptables -t nat -I POSTROUTING -s 192.168.168.0/24 -o eth0  -j MASQUERADE
#iptables -I FORWARD -p tcp -m multiport --dport 80,443 -m layer7 --l7proto qq -j DROP
#iptables -I FORWARD -p udp --dport 8000 -j DROP
iptables -A FORWARD -o eth1 -d 192.168.168.0/24 -j ACCEPT
iptables -A FORWARD -i eth1 -p tcp --dport 80 -s 192.168.168.0/24 -j ACCEPT
iptables -A FORWARD -i eth1 -p tcp --dport 53 -s 192.168.168.0/24 -j ACCEPT
iptables -A FORWARD -i eth1 -p udp --dport 53 -s 192.168.168.0/24 -j ACCEPT

#iptables -A FORWARD -i eth1 -p tcp --dport 443 -s 192.168.168.0/24 -j ACCEPT
iptables -A FORWARD -i eth1 -p icmp -s 192.168.168.0/24 -j ACCEPT


sudo /sbin/iptables -I INPUT -i lo -j ACCEPT
sudo /sbin/iptables -I OUTPUT -o lo -j ACCEPT
sudo /sbin/iptables -I INPUT -p icmp -j ACCEPT
sudo /sbin/iptables -I OUTPUT -p icmp -j ACCEPT
sudo /sbin/iptables -P INPUT DROP
sudo /sbin/iptables -P OUTPUT DROP
sudo /sbin/iptables -P FORWARD DROP


本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u3/103318/showart_2142263.html