关于FreeBSD6.1的ipfw设置问题－－请教！

villain

自己在虚拟机里面装了FreeBSD6.1 安装设置了apache mysql 以及ssh，并且编译了内核，加了几个简单的防火墙设置：
options         IPFIREWALL
options         IPFIREWALL_VERBOSE
options         IPFIREWALL_VERBOSE_LIMIT=10
本来想加：
options         IPFIREWALL_DEFAULT_TO_ACCEPT

不过想想还是没加，自己慢慢研究比较有意思！

我的rc.conf

firewall_enable="YES"
firewall_script="/etc/ipfw.conf"
#firewall_script="/etc/rc.firewall"
#firewall_type="/etc/ipfw.rules"
firewall_quiet="NO"
firewall_logging="YES"
tcp_drop_synifn="NO"
tcp_restric_rst="YES"
tcpdrop_redirect="YES"
apache2_enable="YES"
mysql_enable="YES"

我的ipfw.conf

#!/bin/sh
# DNS
ipfw add allow udp from me 53 to any out
ipfw add allow udp from any to me 53 in
# DHCP
ipfw add allow udp from me 68 to any 67 out
ipfw add allow udp from any 67 to me 68 in
# ICMP
ipfw add allow icmp from me to any icmptypes 8 out
ipfw add allow icmp from any to me icmptypes 0 in
# TCP
ipfw add allow tcp from any to me 21,22,80,3306 in
ipfw add check-state
ipfw add allow tcp from me to any out keep-state setup
ipfw add allow tcp from me to any out

其他的都没什么大问题，就是最后三条有点不理解：
先说最后一条，我用ssh远程登录，如果没有最后一条可以加上
ipfw add allow tcp from me 22 to any out
这样ssh可以连上，不然连不上，不过我看了很多网上的ssh设置都是只有允许外面进来，没有出去的，但是考虑到端口通信，倒也还好理解，或者说我自己觉得还说的过去。

但是只放自己的22端口出去，那么80端口进来的时候没端口出去的话那客户端网站是打不开的，可是如果加了

ipfw add allow tcp from me to any out

那这样的话上面倒数第二和第三条的那两条的状态检查是不是会生效？！因为我不理解这两条的意思（刚刚接触这个ipfw，呵呵），我是担心要是允许了tcp me to any的话会不会系统有木马什么的主动出去而防火墙不做阻拦呢？一般的80通讯是先有进来，检查了之后再响应出去的吧，要是没有进来就直接可以出去的话不是很危险？！
那这个检查是怎么做呢？！请大家指点！谢谢！

[ 本帖最后由 villain 于 2006-9-13 13:55 编辑 ]

villain

怎么没人理啊？自己顶一下！！

villain

怎么都没人知道啊？！

pw东升

真想知道。

villain

可是就是没人知道，唉……

linuxbao3

这么久了，没人来看，我说一下吧，其实我从头到尾就没有看懂你的意思，可能是我的理解不够，希望你能表达的明了点。

villain

谢谢楼上，你这个命令我试过了，成功！
其实我就是想知道这两条命令是不是对数据的进出起检查作用！

北斗星君

额……
其实LZ真想用一下ipfw的话……不用重新编译内核的。
ipfw可以作为内核模块直接被加载的。所以，相拥ipfw编译内核有些多余，当然编译进内核效率会高点。

lsstarboy

看了N遍，终于看懂楼主的意思了：
如果没有最后一条，你的ssh肯定不能用。因为对任何一个连接，都要考虑进和出两个方面。
对于22端口，在倒数第四条已经可以进，但是你没做状态保持，所以还要考虑出怎么办。最后一条是说可以允许所有的tcp数据包出去，所以就匹配了出的数据。

你很可能觉得倒数第二条应该是可以出的，其实那是不行的。原因是：你加上了setup，也就是说必须是你机器对外主动连接才匹配，而外面连接你的ssh，你的计算机要返回数据，也就是out，但这个包不是setup包。所以肯定不匹配这条规则。

如果LZ对setup不清楚，建议再学一下tpc和ip的基础内容。