使用iptables建置Linux 防火墙(5)

　　虽然 iptables 为了扩充防火墙功能，而必须采用比较复杂的过滤流程，但在实际应用时，同一规则炼下的规则设定还是有先后顺序的关系，因此在设定规则时还是必须注意其中的逻辑。

　　肆、订定校园网络安全政策

　　在实际设定防火墙之前，我们必须根据校园网络的安全需求，先拟定一份安全政策，拟定安全政策前必须搜集以下资料：

　　1. 找出需要过滤保护的服务器

　　2. 条列出被保护的服务器将提供何种网络服务

　　3. 一般工作站，需要何种等级的保护

　　4. 了解网络架构与服务器摆放位置

　　根据这些数据，我们可以决定安全政策，以石牌国小为例：

　　1. 校内使用 NAT 虚拟网络，IP 数量需要两组 C，所有 IP 均需作 IP 伪装

　　2. 校园内安全需求不高，服务器与工作站摆在同一网段，不需采用 DMZ 设计

　　3. 由于服务器功能经常扩充，所有服务器均采用一对一对应，不使用 port 转送功能

　　4. 所有工作站均能自由使用网络资源，不限制只能看网页

　　5. 服务器提供之服务包含：dns、web、mail、ftp、wam、webmin、ssh、rdp、pcaw，不提供 proxy 及其它网络服务

　　6. 为增进校园网络之安全性，采用正面表列方式进行封包过滤（定义想放行之封包，其余封包一律阻挡）

　　还有一些网络安全须注意的事项，则是每所学校都应防范的，没有等差之别，例如：联机被绑架、阻断式攻击、连接端口扫描......等。

　　伍、iptables 指令

　　语法：

　　iptables [-t table] command [match] [-j target/jump]

　　-t 参数用来指定规则表，内建的规则表有三个，分别是：nat、mangle 和 filter，当未指定规则表时，则一律视为是 filter。各个规则表的功能如下：

　　nat 此规则表拥有 Prerouting 和 postrouting 两个规则炼，主要功能为进行一对一、一对多、多对多等网址转译工作（SNAT、DNAT），由于转译工作的特性，需进行目的地网址转译的封包，就不需要进行来源网址转译，反之亦然，因此为了提升改写封包的效率，在防火墙运作时，每个封包只会经过这个规则表一次。如果我们把封包过滤的规则定义在这个数据表里，将会造成无法对同一封包进行多次比对，因此这个规则表除了作网址转译外，请不要做其它用途。