FreeBSD设置和使用ipfilter

• 关 键 词：
• freebsd系统
• internet
• loopback
• firewall
• 网络地址转换

　　这两句设置用于过滤可能会带来安全问题的短数据包或具备路由信息的数据包。

　　pass用于指定数据包可以通过，out与in相反，标识从网络界面向网络上或其他网络界面发送的数据包，而on fxp0或on lo0标识进行处理的网络界面。这里的设置允许内部网络界面、loopback网络界面可以自由发送和接收数据包。

　　为了安全起见，除了明确指定可以发送和接收的数据包之外，屏蔽其余的外部网络界面进行数据发送和接收。

　　上面的设置明确屏蔽具备内部网络地址的数据包被转发到外部网络去，由于ipfilter中地址转换和包过滤是在同一个系统中完成的，因此不必担心它们会发生冲突问题。

　　proto用于指定不同的协议，通常可以设置为tcp, udp和icmp。这两行设置允许TCP, UDP, ICMP协议的数据包可以向外发送出去，keep state用于标识建立TCP连接之后的数据包，或者ICMP、UDP的回应数据包，以允许回应数据包能发送回内部网络。

　　ftp中将打开额外的端口以进行数据传输，这两个设置允许对ftp数据端口的数据包能够进行转发。

　　对于其他tcp连接请求，防火墙回应一个RST数据包关闭连接，S/SA标识TCP数据包的标志，S为Syn， A为Ack，而S/SA表示对Syn和Ack中的Syn标志进行检查，这类数据包是用于设定连接的数据包。对UDP请求，防火墙回应网络不可达到的ICMP包。

　　上面的例子将屏蔽外部计算机发向网络内部的数据包，但允许内部向外的发起网络访问。如果要允许外部网络对内的访问，就必须增加其他pass in规则，以使得过滤规则能适应更复杂的情况。为了使上面的设置生效，必须将过滤规则加入到内核中去，这需要使用ipf命令。

【深 度 阅 读】 相 关 文 章

• 下载Flash播放插件
• 如何重装xp系统图解
• 如何利用路由器设置局域网
• 巧妙清除Windows 2000/XP登录密码