linux下的橋式防火墻（原創(chuàng)）

gentoo

由于本人水平有限，不足之處敬請指出。歡迎轉(zhuǎn)載，請指明出處。本文檔只說明具體實現(xiàn)過程，相關的概念，請找我老師：google。
      概要：通過網(wǎng)橋的方式實現(xiàn)對包過濾，最大的好處是完全工作在前三層，直接對mac地址操作，與ip無關。linux下要實現(xiàn)橋式防火墻需要兩個工具：brctl 和 ebtables，其中brctl實現(xiàn)網(wǎng)絡（網(wǎng)卡）橋接，也就是建網(wǎng)橋。ebtables負責對kernel建過濾策略（iptables的功能）。
      實現(xiàn)：
      1。重新編譯kernel支持bridge和ebtables。2.6的kernel直接支持，2.4的需要下載相關的patch，可以到http://ebtables.sourceforge.net/上下載ebtables_kernel相應的版本。編譯時要選擇networking support——》networking options中802。1d ethernet bridging，和 Network packet filtering (replaces ipchains) －－》Bridged IP/ARP packets filtering－－》Bridge: Netfilter Configuration  --->;相關ebt的選項。
      2。從http://bridge.sourceforge.net/download.html 下載bride-utils,http://ebtables.sourceforge.net/下載ebtables 編譯安裝�，F(xiàn)在已經(jīng)可以測試kernel做好沒有，執(zhí)行brctl，和ebtables看有沒有報錯。否則要重做kernel。
      3。建網(wǎng)橋：首先需要兩張網(wǎng)卡（廢話），假設為eth0,eth1.不要給上任何的IP激活網(wǎng)卡，如果已經(jīng)有ip可以用：ifconfig ethx down
然后：ifconfig ethx 0.0.0.0 up把網(wǎng)卡都起來。
執(zhí)行：#brctl addbr testbr        */其中testbr是網(wǎng)橋的名字。
         #brctl stp testbr off       */網(wǎng)絡中只有一個橋，不需要stp
         #brctl addif testbr eth0
         #brctl addif testbr eth1  */把eth0加入橋中。
         #ifconfig testbr up          */起動網(wǎng)橋。
恭喜你!到這里網(wǎng)橋已經(jīng)建好，可以做簡單的測試，分別在兩張網(wǎng)卡上接臺pc，ip設為同一網(wǎng)段的，已經(jīng)可以互通（不需要啟動ip轉(zhuǎn)發(fā)）。現(xiàn)在可以對網(wǎng)卡和網(wǎng)橋加IP地址：ifconfig eth0 x.x.x.x netmask x.x.x.x
其實是可以不加的，只為管理或ip轉(zhuǎn)發(fā)的需要。所以又叫透明式防火墻。
       4。建策略：可以通過ebtables加上策略。如果曾經(jīng)用過iptables比較容易理解，看看man ebtables的說明和ebtables上的文檔。這里我只引用文檔上的sample：
ebtables -P FORWARD DROP
ebtables -A FORWARD -p IPV4 -s xxxxx -j ACCEPT
ebtables -A FORWARD -p ARP -j ACCEPT
ebtables -A FORWARD -p LENGTH -j ACCEPT
完成以后只有xxxxx 的mac地址可以通過網(wǎng)橋，跟ip無任何關系。
      ebtables完成的功能可以是非常的強大，我也只是只菜鳥，那位有興趣的可以交流交流。（發(fā)站內(nèi)短信）
                                      2004.04.21

jacket_82

我是個菜鳥，不太明白，如果說的太可笑請不要介意。
據(jù)描述，這似乎是在兩臺機器上建立連接，而使得別的機器無法與之相連。那么，這樣會影響到這臺機器登入INTERNET瀏覽網(wǎng)頁嗎？
具體這樣的配置被應用到哪些地方呢？

感謝大蝦慷慨給予指教

QQ：26544325

gentoo

應該是兩臺（或多臺）機器（或網(wǎng)絡）通過一臺機器連接。

maldinihjw

辛苦，終于等來了~下去慢慢看

gentoo

沉得真快。

platinum

收了，回去慢慢看

yongpeng

Good