实现一个网桥式防火墙

　　原作者： David Whitmarsh .+>z`;Q  
　　编译：ideal $=lR^n>Y  
　　 ] mJWKBN  
　　传统防火墙和网桥式防火墙有什么区别呢？通常一个防火墙象一个路由器一样工作：内部系统被设置为将防火墙看做是通向外部网络的网关，并且外部的路由器被设置为将防火墙看做是连往内部被保护的网络的网关。一个网桥则是一个联结一个或多个网段的设备，在各个网段之间转发数据，而网络中其他设备并不会感觉到存在一个网桥。换句话说，一个路由器将两个网络连接在一起，在两者之间传输数据；一个网桥则更象一段网线，将一个网络的两个部分连接在一起。一个网桥防火墙则象网桥一样工作，而不被两端设备发现，但是同样具有过滤通过它的数据包的功能。 #aZRbwa3  
　　 oF3G3tU,  
　　为什么会需要实现网桥式防火墙呢？一般有以下几个原因： 3 C 7"  
　　 on^0Cos  
　　* 你可以在网络中添加一个防火墙而不需要修改网络中任何设备的参数。 R]{k["  
　　* 你可能希望保护网络的某一个部分而却没有权利控制外部路由的参数信息。 Rwk/7-x?E  
　　 -`.3j;  
　　我遇到的问题 R]Z&K&J  
　　 r|$oc1\..  
　　我的办公室是一个ADSL连接到Demon互联网，同时有16个IP地址的子网可供使用。因为英国ISP的特殊原因，线路和路由器是由英国电信公司安装和拥有，因此我们有权利配置外部路由器来指定谁是内部网络的网关，这样我只有两种选择： m Xs7/e  
　　 fo uZEQF  
　　* 直接将每台主机和ADSL路由器相连接，并且独立地为每台主机使用iptables来设置防火墙规则。 '_t!1^ D  
　　* 另外一种选择是使用NAT功能的防火墙来带动内部网络访问互联网。 =JauX0Q (  
　　 Zie#aZt  
　　第一种方法是不可接受的，因为这样将大大增加出错和系统管理开销。第二种方法也优缺点，虽然大多数应用都能被NAT方式支持，但是也有例外，例如视频流和VPN等等。一个网桥防火墙则能解决这些问题，防火墙能架设在ADSL路由器和内部网络之间来保护网络，但同时不需要修改配置。最后一个障碍是在标准的Linux内核中完全旁路了iptables，因此你能使用网桥或者是iptables防火墙，但是不能同时使用该功能。 Ctd\s}$5uf  
　　 t_cm l4Yt  
　　解决方案 s>b] +~'X  
　　 W3)e}rXp  
　　幸运的是，有一个项目专门实现支持iptables的网桥，因此任何穿过网桥的数据包可以被递交给iptables规则进行过滤处理。结果是防火墙可以是完全透明于网络的，不需要特殊的路由功能。就互联网而言，防火墙并不存在，除了特定的连接被阻塞。网桥软件是一个内核补丁来支持已有的网桥代码可以连同iptables一起工作。方便的是开发者已经制作了RPM形式的支持网桥防火墙的内核。但不方便的是相关文档太少，因此该文章就是帮助那些希望实现网桥式防火墙的人们。 jTWNHU&  
　　 _\pCP)\  
　　桥接和路由 - 是如何工作的 8d! 3.bV=B  
　　 w ~tzyIQ  
　　简单的说，Linux网桥实现一般是在具有一个或多个网络接口的设备上实现的，通过检测多个网段的活动性，桥接代码学习到哪个MAC地址从哪个接口可以到达，并且使用该信息来判断是否要中继一个数据包到另外一个网段。网桥接口本身是没有分配IP地址的，但是整个网桥被配置作为防火墙的单个接口。 JoM 6zs/I  
　　　 _b L=l J  
　　从上图可以看到，在桥接情况下目的地址为桥设备本身的数据需要经过filter表的INPUT规则链和mangle表的PREROUTING规则链；从桥设备自身发出的数据需要经过filter表的OUTPUT规则链和mangle表的PREROUTING规则链；而流经桥设备的数据则要分别经过mangle表的PREROUTING规则链和filter表的FORWARD规则链和mangle表的POSTROUTING规则链。 gQL 4Z>N  
　　 1RoFG)43  
　　网络拓朴  
t
#P  
　　 #@ f1d  
　　我分配得到的静态IP地址范围为xxx.xxx.xxx.48-63，也就是子网掩码为255.255.255.240。我决定将整个IP分割为两个网段：xx.xxx.xxx.48-56用于防火墙以外，这包括ADSL路由器自身的IP地址 (xxx.xxx.xxx.49)；xxx.xxx.xxx.57-62用在防火墙之后部分。需要注意的是这并不是真正的子网划分，因为它们是有网桥而不是路由器连接的。 i"J W  
　　 9dRW?{<  
　　防火墙规则 u* y9'{c-  
　　 xhvc?  
　　防火墙规则定义如下： HgmB9M#x}  
　　 &(M!k22L  
　　#!/bin/sh Mt4@_ m&  
　　# =q^yMD  
　　# rc.firewall - Initial SIMPLE IP Firewall test script for 2.4.x lHh:w5"{M  
　　# I]l3%&Iq  
　　# Author: David Whitmarsh {Zu'm6q  
　　# (c) 2001, 2002 Sparkle Computer Co ltd. mi-Ge~3Ti  
　　# based on rc.firewall by Oskar Andreasson ]4Gv0l.|*  
　　# parts (c) of BoingWorld.com, use at your own risk, gGc.w[L  
　　# do whatever you please with k+Ye>l* x[  
　　# it as long as you don't distribute this without due credits to x]`9e~9  
　　# BoingWorld.com and Sparkle Computer Co Ltd M/[jj+Hh  
　　# Om GeR  
　　 RI:cMq?  
　　########### Xj~!o  
　　# Configuration options, these will speed you up getting this script to 4 F`}{   
　　# work with your own setup. h6WVkQ%  
　　 7N @Bv
]E  
　　# Ba39#+/$  
　　# your LAN's IP range and localhost IP. /24 means to only use the first 24 2=1%dY-w  
　　# bits of the 32 bit IP adress. the same as netmask 255.255.255.0 # O`;]Ams  
　　# hJ^O|*;  
　　# BR_IP is used to access the firewall accross the network (dP 0wa{A  
　　# For maxium security don't set one up - but then you must do lDhJsm,E%1  
　　# everything directly on the firewall. SnieBWrs  
　　 [|`FV"vG[  
　　BR_IP=xxx.xxx.xxx.57 nrpb%k<7  
　　BR_IFACE=br0 rN?C?R  
　　 W`^QIut{v  
　　LAN_BCAST_ADDRESS=xxx.xxx.xxx.63 L/Kn(B  
　　INTERNAL_ADDRESS_RANGE=xxx.xxx.xxx.56/29 tD{^ 1<W  
　　 !g4)iaflb  
　　INET_IFACE=eth1 6Ue.k k`S  
　　LAN_IFACE=eth0 kX?~IcOQ  
　　 L>`] J-  
　　LO_IFACE=lo dT*% dO  
　　LO_IP=127.0.0.1 KODcBj7{  
　　 GyX\WSeU  
　　IPTABLES=/sbin/iptables $V `W7;k$  
　　 X&P>e:4;  
　　######### a\^k3jl?O  
　　# Load all required IPTables modules ~@~f1ZZ  
　　# DvAyxK  
　　 (wj tF  
　　# ]5 !Aux  
　　# Needed to initially load modules a[!NY d  
　　# *Ub0w6F!'b  
　　/sbin/depmod -a vc`IF;:W  
　　 3AtS;c
 
　　# KvCLq)? QU  
　　# Adds some iptables targets like LOG, REJECT Tj u%P1  
　　# ;17j[32i%y  
　　/sbin/modprobe ipt_LOG JZ
j$  
　　/sbin/modprobe ipt_REJECT QuiTxyw  
　　 '3.~
YqA  
　　# u)R
|R  
　　# Support for connection tracking of FTP and IRC. wO{5Hk>;S  
　　# G .NXW.g#  
　　/sbin/modprobe ip_conntrack_ftp D|/~{KN  
　　/sbin/modprobe ip_conntrack_irc ,-tOA9pS  
　　 KFk#3X t  
　　# P} ~4w.  
　　# Take down the interfaces before setting up the bridge FIVsVOLg`  
　　# SL-dxL<  
　　 e?:7D_1%8  
　　ifdown $INET_IFACE Aw-WB<B.  
　　ifdown $LAN_IFACE sDy=$]
J  
　　ifconfig $INET_IFACE 0.0.0.0 y# QGn9b`  
　　ifconfig $LAN_IFACE 0.0.0.0 2fWpwnR  
　　 'ML=.[.u;  
　　# Clean up for a restart [z%! M5~  
　　 qqU H>EV&  
　　$IPTABLES -F |2%V;>SG  
　　$IPTABLES -X +uC59H\a  
　　# $YEdvl  
　　# Set default policies for the INPUT, FORWARD and OUTPUT chains xVwX yLtW/  
　　# rk^ n4t  
　　 tJ9hc>Aj7-  
　　$IPTABLES -P INPUT DROP >J'!FU]p  
　　$IPTABLES -P OUTPUT ACCEPT BC'0y7$S  
　　$IPTABLES -P FORWARD DROP z[ e  
　　 E;m8yE  
　　# Our interfaces don't have IP addresses so we have to start with the mangle sb@%B)*x  
　　# PREROUTING table )6?"}ty  
　　 u<>DNbHm,  
　　$IPTABLES -t mangle -P PREROUTING DROP _+*nwcGP  
　　 p]2BL!  
　　# Now we are pretty secure, let's start the bridge "(>Zk1$fe  
　　# This will create a new interface l 1l-"2 _  
　　 rBLJB?o}  
　　brctl addbr $BR_IFACE Y*\:_'Tc  
　　 PMdSN"C I  
　　# and add the interfaces to it XylC'~G  
　　brctl addif $BR_IFACE $INET_IFACE V Of0h=k]  
　　brctl addif $BR_IFACE $LAN_IFACE 0j'\]|`-1y  
　　 Vr$p7-Vxl  
　　# make us visible to the network again (optional) <Ji-@t8'  
　　if [ $BR_IP != ] ; then E`C,:xaf;/  
　　ifconfig $BR_IFACE $BR_IP 5%z W4~oC  
　　else #!f}=C r"  
　　# otherwise we must at least bring the interface up for the bridge to work. QyNQBxRa  
　　ifconfig $BR_IFACE up l=0 d@!  
　　fi uP?h) k] }  
　　 xvuh Ubs  
　　# Block obvious spoofs ;^{mAWwZ9  
　　 qr3YGvInE  
　　$IPTABLES -t mangle -A PREROUTING -s 192.168.0.0/16 -j DROP F'dR6 =3,V  
　　$IPTABLES -t mangle -A PREROUTING -s 10.0.0.0/8 -j DROP ,@k6'("  
　　$IPTABLES -t mangle -A PREROUTING -s 172.16.0.0/12 -j DROP Z.[Z]v%d5  
　　 \W7H\;W  
　　# Accept internal packets on the internal i/f iN ^kB0_C  
　　$IPTABLES -t mangle -A PREROUTING -i $LAN_IFACE -s $INTERNAL_ADDRESS_RANGE -j ACCEPT U4TO"=  
　　 pQW[:Xy0  
　　# Accept external packets on the external i/f KqYj;3a  
　　 .O@dKyA  
　　$IPTABLES -t mangle -A PREROUTING -i $INET_IFACE ! -s $INTERNAL_ADDRESS_RANGE -j ACCEPT o cUZ  
　　 m& %VU}  
　　# ,6~iM":g  
　　# Accept the packets we actually want to forward i&+(5  
　　# |5 ):nt  
　　 &!rLT_U:  
　　$IPTABLES -A FORWARD -p ALL -s $INTERNAL_ADDRESS_RANGE -j ACCEPT \Z(kn!Xva  
　　$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT /0j3Un  
　　$IPTABLES -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG --log-level 7 --log-prefix IPT FORWARD packet died: "3s-  
　　 gR2Sy@
4n  
　　# + !Yg<]p  
　　# Create separate chains for ICMP, TCP and UDP to traverse I/i1eKLl`  
　　# Wr[z7>  
　　 ?08BL<B  
　　$IPTABLES -N icmp_packets " FELaQ>  
　　# 4 `TPp  
　　# ICMP rules R&a,7Y  
　　# a9k]Un-wT  
　　 ( (h[kj  
　　$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 0 -j ACCEPT # echo reply #] neyS  
　　$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 3 -j ACCEPT # dest unreachable Q8UAJ-H:  
　　$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 5 -j ACCEPT # redirect >M" 7daV  
　　$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT # time exceeded 35-b%e--  
　　$IPTABLES -A FORWARD -p ICMP -j icmp_packets +X6O=$M?  
　　 ) LM"x]V$  
　　# ,/e(\8  
　　# UDP ports WuBt8L  
　　# <UHzLr%g  
　　$IPTABLES -N udpincoming_packets UU%-*  
　　 K^&<TpG x  
　　$IPTABLES -A udpincoming_packets -p UDP -s 0/0 --source-port 53 -j ACCEPT # DNS ^ ptj\
K  
　　$IPTABLES -A udpincoming_packets -p UDP -s 0/0 - V1vRPor5u