利用 FreeBSD 组建安全的网关
发布时间:2006-10-14 8:46:37   收集提供:gaoqian
FreeBSD上可以使用ipfw/natd来做NAT及firewall,也可以使用ipfilter来做NAT。 
以下介绍使用IP Filter来做NAT 
1、使用二块网卡。一块是Realtek 8139C,在内核认到为:rl0(对外),
一块是D-Link 530TX,在内核认到为:vr0(对外)。 
2、设置IP地址。在/etc/rc.conf中加上: 
ifconfig_rl0="inet 163.163.163.163 netmask 255.225.225.225" 
(安装FreeBSD时认到的网卡1,不用添加;163.163.163.163为ISP给你的静态IP地址。
拨号的我没试过。也不知到怎样做,如果哪位知道请告诉我一声。) 
ifconfig_vr0="inet 192.168.0.1 netmask 255.255.255.0" (设置第二块网卡的IP地址) 
3、修改/etc/rc.conf,改为: 
firewall_enable="NO" 
gateway_enable="YES" 
4、因为ipfw和ipfilter是不能共存的。所以如果要使用ipfilter,必须将内核中有关
ipfw的部份注释掉。 
#mkdir /root/kernels 
#cd /usr/src/i386/conf 
#cp GENERIC /root/kernels/mykernel 
#ln -s /root/kernels/mykernel 
先在内核的配置文件查找IPFIREWALL,执行: 
#grep -i IPFIREWALL /root/kernels/mykernel 
如果找到,就注释掉,做法如下: 
#options IPFIREWALL 
#options IPDIVERT 
如果找不到IPFIREWALL,可以直接添加: 
options IPFILTER 
options IPFILTER_LOG 
保存mykernel 
#config mykernel 
#cd /usr/src 
#make buildkernel KERNCONF=mykernel 
#make installkernel KERNCONF=mykernel 
#reboot 
重启进入FreeBSD,如果在开机信息里看到IP Filter 3.4.16 installed 表明内核
已经支持IP Filter。 
5、建立ipnat配置文件。 
#vi /etc/ipnat.conf 
加入: 
map rl0 192.168.0.0/24 -> 163.163.163.163/255.225.225.225 portmap tcp/udp 10000:65000 
map rl0 192.168.0.0/24 -> 163.163.163.163/255.225.225.225 
保存ipnat.conf 
6、设定开机自动执行ipnat。在/usr/local/etc/rc.d/目录下建立runipnat.sh 
#vi runipnat.sh 
加入内容如下: 
#!/bin/sh 
/sbin/ipnat -f /etc/ipnat.conf 
将runipnat.conf设为可执行。 
#chmod 755 runipnat.sh 
完成后,重新启动机器。 
OK!NAT已经做完了。接着就是你自已测试一下。 
ipnat -l  会列出目前ipnat的设定及状况 
ipnat -C 清除ipnat的设定 
ipfstat 监测数据的流量 
 
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50