1
分类： LINUX
2006-07-20 11:10:35
环境如下：
服务器一台，双网卡，eth0接交换机，eth1接外网线路，设置如下：
eth0:为C类网段，IP设置为192.168.0.1/255.255.255.0(不要设置默认网关、DNS参数)
eth1接外网，按照电信给的参数设置。(例子:IP为66.66.66.66，子网掩码255.255.0.0,默认网关66.66.66.1,DNS设202.102.29.3，同时向外网提供web、FTP、webmail服务)
以上参数在光盘安装AS4的时候就可以一次性设置好。
局域网机器200台，IP范围:192.168.0.10~192.168.0.210，子网掩码255.255.255.0，默认网关
192.168.0.1,DNS为202.102.29.3(当启动防火墙的MASQ转发以后，外网是透明的，可以直接访问到外网的DNS服务器)
在webmin中shorewall防火墙设置如下：
先将原来的设置全部删除
1。为每块网卡新建一个区域：
A.在网络区域(zones)里点"增加一个网络区域",填入如下：
区域ID wan
显示名称 internet
描述 internet-eth1
然后点“新建”
B.在网络区域(zones)里点"增加一个网络区域",填入如下：
区域ID lan
显示名称 ourlan
描述 lan-eth0
然后点“新建”
2。为每块网卡新建一个网卡界面：
A.回到网卡界面(interfaces)，点“新建一个网卡界面”，填入如下：
网卡：eth0
区域名:选中ourlan
广播地址:选择“自动”
然后点“新建”
B.回到网卡界面(interfaces)，点“新建一个网卡界面”，填入如下：
网卡：eth1
区域名:选中internet
广播地址:选择“自动”
然后点“新建”
3。为每块网卡建立默认策略，这里我们设置外网全部DROP(拒绝)，内网全部ACCEPT(接受)
A.回到默认策略(policy)，点”增加一个默认策略“，填入如下：
来源区域：选中”防火墙自身“
目标区域: 选中”任何“
策略： 选中”ACCEPT"
其他的不需要
点“保存”
B.再点”增加一个默认策略“，填入如下：
来源区域：选中”wan“
目标区域: 选中”任何“
策略： 选中”DROP"
其他的不需要
点“保存”
C.再点”增加一个默认策略“，填入如下：
来源区域：选中”lan“
目标区域: 选中”任何“
策略： 选中”ACCEPT"
其他的不需要
点“保存”
4.对外网开放web,ftp,mail服务
回到防火墙规则(rules)， 点”增加一个防火墙规则“，输入如下：
动作：ACCEPT
来源区域:选中“internet"
目标区域或端口号：选中”任何“
协议：选中”TCP"
来源端口:选中“任何”
目标端口：选中“端口集或范围”，在后面填入你希望开放的端口号，中间用，号隔开；我是这样输入：80,25,110,21,443
其他的都不用改，点“保存”
5.开启Masq转发，共享上网。
点"Masq转发",再点“新建Masq转发规则”，填入如下：
网卡输出:选择"eth1" (接外网的网卡号)
需要Masq的网络:选中“子网地址”，在后面填入:192.168.0.0/24 (是整个局域网网段)
点"保存"
6，完成
点“检查防火墙”，运行一下检查程序，如果它显示“.. 您现在的配置看上去没有问题”就OK了
然后点“应用配置”，shorewall就启动了。
你现在可以从局域网的机器上访问外部网站了。
由于这里设置了对内网是全部ACCEPT的，局域网的机器可以访问到服务器上所有正在运行的服务端口，比如22(ssh端口),10000(webmin
端口),3306(mysql数据库端口)等，这可能产生安全漏洞，你也可以把内网网卡设置成全部DROP，然后逐个开放需要的端口，操作与设置wan相
同。
如果需要，我们也可以设置只Masq某一个IP的机器可以上网，而其他的机器不能上网。办法是在Masq转发里添加规则，子网地址里填允许上网的机器的单个IP，比如192.168.0.22/24，而不是整个网段192.168.0.0/24
如果需要定时开放上网，比如只有上午8:00-12:00才允许上网，其他时间都不允许上网，有个笨办法：
将包含正常上网的规则的masq文件备份，然后建两个shell脚本，shell1负责删除/etc/shorewall/masq，并touch一个新的空的masq文件，shell2负责把备份的masq文件拷到/etc/shorewall目录下
然后crontab -e建两个定时执行的任务，一个在每天8点运行，执行shell2并重新启动shorewall，另一个在每天12点执行，执行shell1并重新启动shorewall。
这样就实现了定时上网的功能。
