云南龙网

  1. 首页 > 云知道 > >

79 FreeBSD连载：设置和使用ipfilter

云知道

设置和使用ipfilter虽然ipfw/natd已经是相当强大的网络地址转换及防火墙系统，然而它还是有一定的缺点存在 。其中最重要的一个缺点是natd是使用守护进程的方法来进行地址转换，因为它没有运行在内核中，而是通过divert socket来和内核通信，这种方式虽然比较灵活，但效率显然要低一些 。
另外，natd的功能还不能满足有些要求，natd能做静态地址转换和使用一个伪装地址为多个内部地址服务，但其不能从一个给定的地址池中，为内部地址自动分配IP地址 。毕竟natd是一个较早的网络地址转换工具，当前的发展已经比较迟缓 。但是由于ipfw是FreeBSD系统的一部分，并且过滤和地址转换是由不同的部分来完成的，结构清晰，因此对于大部分情况都很适合，因此一般仍应使用ipfw/natd 。
如果ipfw/natd不能满足使用者的需要，能避免ipfw/natd缺点的另一个网络地址转换和数据包过滤的工具是ipfilter 。虽然FreeBSD是其支持的主要系统，但它其实是一个支持多平台的独立软件，不仅能运行在FreeBSD上，也能运行在其他多种Unix系统中 。由于它被包括进FreeBSD基本系统中，因此在FreeBSD下配置ipfilter同样也非常轻松 。
ipfilter的网址为http://cheops.anu.edu.au/~avalon/，FreeBSD 3.0之前它不包括在FreeBSD的基本系统中，需要手工设置 。
由于ipfilter与ipfw同为在内核级对IP数据包进行处理的系统，因此他们相互冲突，不能同时并存在一个内核内，否则内核的TCP/IP功能就不能正常执行 。为了使用ipfilter，就需要重新定制内核，删除所有IPFIREWALL的设置，而添加IPFILTER的设置 。
#optionsIPFIREWALL#optionsIPDIVERToptionsIPFILTERoptionsIPFILTER_LOG选项IPFILTER为支持IPFILTER的基本代码，IPFILTER_LOG为支持IPFILTER的统计记录能力 。需要增加这些选项，并注释IPFIREWALL、IPDIVERT及其相关选项 。此后，就可以重新定制、安装新内核 。然而在重新启动之前，还需要在rc.conf中设置firewall_enable的值为NO，当系统内核不存在IPFIREALL功能又设置了firewall_enable的时候，启动文件就会自动载入支持这个功能的可加载模块ipfw.ko，载入ipfw.ko之后的系统内核就等同于使用IPFIREWALL内核选项的系统，与ipfilter发生冲突 。然而ipfilter仍然需要设置gateway_enable，以打开系统内核的数据包转发功能 。
使用新内核启动系统之后，如果本地计算机的网络功能正常，此时再使用ipfw就会报告错误 。这就能使用ipfilter来设置包过滤和网络地址转换了 。
设置地址转换
为了在ipfilter下设置网络地址转换，首先要创建一个地址转换设置文件，例如/etc/ipflter.nat 。与ipfw/natd的相似，最基本的用法为使用一个外部地址来转换所有内部地址，此时必须进行端口转换，因此ipfilter.nat中应该包含的NAT规则为：
map fxp1 192.168.3.0/24 -> 202.102.245.60/32 portmap tcp/udp 10000:65000
这个设置中，首先使用map关键字指明是进行地址转换的设置，此后的fxp1为连接外部网络的网络界面，在这个网络界面上执行数据包的IP地址和端口地址转换，第三个参数为进行转换的内部地址的范围，此后跟随的一个->符号表示进行地址转换，第五个参数为要转换为的外部地址，当指定子网掩码长度为32时就表示这只是一个主机而非子网范围，后面portmap关键字对tcp/udp协议进行端口转换，其使用的映射端口范围为在10000到65000之间，也可以对tcp或udp协议分别指定转换端口的范围 。
如果使用者拥有的不仅是一个主机，而是一个具备多个合法IP地址的子网，这样就能设置使用地址池，为内部向外连接的计算机动态分配合法的外部IP地址，这样的设置更为简单，因为不需要指定portmap进行地址转换 。

推荐阅读


上一篇：信用卡还花呗怎么操作

下一篇：诺基亚8皇帝版多少钱？诺基亚8国行版发布时间