linux下的橋式防火墻（原創(chuàng)）

gentoo

由于本人水平有限，不足之處敬請(qǐng)指出。歡迎轉(zhuǎn)載，請(qǐng)指明出處。本文檔只說(shuō)明具體實(shí)現(xiàn)過(guò)程，相關(guān)的概念，請(qǐng)找我老師：google。
      概要：通過(guò)網(wǎng)橋的方式實(shí)現(xiàn)對(duì)包過(guò)濾，最大的好處是完全工作在前三層，直接對(duì)mac地址操作，與ip無(wú)關(guān)。linux下要實(shí)現(xiàn)橋式防火墻需要兩個(gè)工具：brctl 和 ebtables，其中brctl實(shí)現(xiàn)網(wǎng)絡(luò)（網(wǎng)卡）橋接，也就是建網(wǎng)橋。ebtables負(fù)責(zé)對(duì)kernel建過(guò)濾策略（iptables的功能）。
      實(shí)現(xiàn)：
      1。重新編譯kernel支持bridge和ebtables。2.6的kernel直接支持，2.4的需要下載相關(guān)的patch，可以到http://ebtables.sourceforge.net/上下載ebtables_kernel相應(yīng)的版本。編譯時(shí)要選擇networking support——》networking options中802。1d ethernet bridging，和 Network packet filtering (replaces ipchains) －－》Bridged IP/ARP packets filtering－－》Bridge: Netfilter Configuration  --->;相關(guān)ebt的選項(xiàng)。
      2。從http://bridge.sourceforge.net/download.html 下載bride-utils,http://ebtables.sourceforge.net/下載ebtables 編譯安裝�，F(xiàn)在已經(jīng)可以測(cè)試kernel做好沒(méi)有，執(zhí)行brctl，和ebtables看有沒(méi)有報(bào)錯(cuò)。否則要重做kernel。
      3。建網(wǎng)橋：首先需要兩張網(wǎng)卡（廢話），假設(shè)為eth0,eth1.不要給上任何的IP激活網(wǎng)卡，如果已經(jīng)有ip可以用：ifconfig ethx down
然后：ifconfig ethx 0.0.0.0 up把網(wǎng)卡都起來(lái)。
執(zhí)行：#brctl addbr testbr        */其中testbr是網(wǎng)橋的名字。
         #brctl stp testbr off       */網(wǎng)絡(luò)中只有一個(gè)橋，不需要stp
         #brctl addif testbr eth0
         #brctl addif testbr eth1  */把eth0加入橋中。
         #ifconfig testbr up          */起動(dòng)網(wǎng)橋。
恭喜你!到這里網(wǎng)橋已經(jīng)建好，可以做簡(jiǎn)單的測(cè)試，分別在兩張網(wǎng)卡上接臺(tái)pc，ip設(shè)為同一網(wǎng)段的，已經(jīng)可以互通（不需要啟動(dòng)ip轉(zhuǎn)發(fā)）。現(xiàn)在可以對(duì)網(wǎng)卡和網(wǎng)橋加IP地址：ifconfig eth0 x.x.x.x netmask x.x.x.x
其實(shí)是可以不加的，只為管理或ip轉(zhuǎn)發(fā)的需要。所以又叫透明式防火墻。
       4。建策略：可以通過(guò)ebtables加上策略。如果曾經(jīng)用過(guò)iptables比較容易理解，看看man ebtables的說(shuō)明和ebtables上的文檔。這里我只引用文檔上的sample：
ebtables -P FORWARD DROP
ebtables -A FORWARD -p IPV4 -s xxxxx -j ACCEPT
ebtables -A FORWARD -p ARP -j ACCEPT
ebtables -A FORWARD -p LENGTH -j ACCEPT
完成以后只有xxxxx 的mac地址可以通過(guò)網(wǎng)橋，跟ip無(wú)任何關(guān)系。
      ebtables完成的功能可以是非常的強(qiáng)大，我也只是只菜鳥(niǎo)，那位有興趣的可以交流交流。（發(fā)站內(nèi)短信）
                                      2004.04.21

jacket_82

我是個(gè)菜鳥(niǎo)，不太明白，如果說(shuō)的太可笑請(qǐng)不要介意。
據(jù)描述，這似乎是在兩臺(tái)機(jī)器上建立連接，而使得別的機(jī)器無(wú)法與之相連。那么，這樣會(huì)影響到這臺(tái)機(jī)器登入INTERNET瀏覽網(wǎng)頁(yè)嗎？
具體這樣的配置被應(yīng)用到哪些地方呢？

感謝大蝦慷慨給予指教

QQ：26544325

gentoo

應(yīng)該是兩臺(tái)（或多臺(tái)）機(jī)器（或網(wǎng)絡(luò)）通過(guò)一臺(tái)機(jī)器連接。

maldinihjw

辛苦，終于等來(lái)了~下去慢慢看

gentoo

沉得真快。

platinum

收了，回去慢慢看

yongpeng

Good