配置 firewall 防火墙的地址伪装和端口转发实例

网关服务器和网站服务器都采用CentOS 7操作系统；
网关服务器安装3块千兆网卡，分别连接在Internet、企业内网、网站服务器。

要求如下：
网关服务器连接互联网卡ens33配置为公网IP地址，分配到firewall的external区域；连接内网网卡ens37地址为192.168.1.1，分配到firewall的trusted区域；连接服务器网卡ens38地址为192.168.2.1，分配到firewall的DMZ区域。
网站服务器和网关服务器都通过SSH来远程管理，为了安全，将SSH默认端口改为12345。
网站服务器开启https，过滤未加密的http流量。
网站服务器拒绝ping，网关服务器拒绝来自互联网上的ping。
内网用户需要通过网关服务器共享上网。
互联网用户需要访问网站服务器。
基本的环境配置：
网关服务器配置 网卡 ：

[root@localhost network-scripts]# ip a = ip addr 2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000 link/ether 00:0c:29:fc:60:4b brd ff:ff:ff:ff:ff:ff inet 100.0.0.1/8 brd 100.255.255.255 scope global ens33 valid_lft forever preferred_lft forever inet6 fe80::5f65:9c3d:d218:7cea/64 scope link valid_lft forever preferred_lft forever 3: ens36: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000 link/ether 00:0c:29:fc:60:55 brd ff:ff:ff:ff:ff:ff inet 192.168.1.1/24 brd 192.168.1.255 scope global ens36 valid_lft forever preferred_lft forever inet6 fe80::7456:2bbc:dc20:31bd/64 scope link valid_lft forever preferred_lft forever 4: ens37: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000 link/ether 00:0c:29:fc:60:5f brd ff:ff:ff:ff:ff:ff inet 192.168.2.1/24 brd 192.168.2.255 scope global ens37 valid_lft forever preferred_lft forever inet6 fe80::1e90:6601:56c2:c9ba/64 scope link valid_lft forever preferred_lft forever

启动网关服务器上的路由转发功能：

[root@localhost /]# vim /etc/sysctl.conf net.ipv4.ip_forward = 1 [root@localhost /]# sysctl -p net.ipv4.ip_forward = 1

配置 web 服务器的网卡：

[root@localhost /]# ip a 2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000 link/ether 00:0c:29:2f:24:4b brd ff:ff:ff:ff:ff:ff inet 192.168.2.10/24 brd 192.168.2.255 scope global ens33 valid_lft forever preferred_lft forever inet6 fe80::19de:d9a7:568a:f34f/64 scope link valid_lft forever preferred_lft forever [root@localhost /]# route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 0.0.0.0 192.168.2.1 0.0.0.0 UG 100 0 0 ens33

Internet 测试机网卡配置：

[root@localhost /]# ip a 2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000 link/ether 00:0c:29:45:66:64 brd ff:ff:ff:ff:ff:ff inet 100.0.0.10/8 brd 100.255.255.255 scope global ens33 valid_lft forever preferred_lft forever inet6 fe80::3ebc:8f75:cd28:e516/64 scope link tentative valid_lft forever preferred_lft forever

web 服务器环境搭建：

[root@localhost ~]# systemctl start firewalld #启动防火墙 [root@localhost ~]# yum -y install httpd mod_ssl #安装httpd和mod_ssl [root@localhost ~]# systemctl start httpd #启动httpd服务 [root@localhost ~]# systemctl enable httpd #设置为开机自启 [root@localhost ~]# vim /var/www/html/index.html #新建网站测试首页文件 <h1>test.com </h1> [root@localhost ~]# vim /etc/ssh/sshd_config #更改SSH的侦听端口（需关闭SELinux）： ................ Port 12345 ................ [root@localhost ~]# systemctl restart sshd

在网站服务器上配置firewalld防火墙：
1、设置默认区域为dmz区域：

[root@localhost ~]# firewall-cmd --set-default-zone=dmz success

2、为dmz区域打开https服务并添加tcp的12345端口：

[root@localhost ~]# firewall-cmd --zone=dmz --add-service=https --permanent success [root@localhost ~]# firewall-cmd --zone=dmz --add-port=12345/tcp --permanent success

3、禁止ping：

[root@localhost ~]# firewall-cmd --add-icmp-block=echo-request --zone=dmz --permanent success

4、因为已经更改了预定义SSH服务的默认端口，所以将预定义SSH服务移除：

[root@localhost ~]# firewall-cmd --zone=dmz --remove-service=ssh --permanent success

5、重新加载firewalld配置，并查看之前的配置：

[root@localhost ~]# firewall-cmd --reload success [root@localhost ~]# firewall-cmd --list-all dmz (active) target: default icmp-block-inversion: no interfaces: ens33 sources: services: https ports: 12345/tcp protocols: masquerade: no forward-ports: source-ports: icmp-blocks: echo-request rich rules: