用 IPFW 为 FreeBSD 操作系统建立防火墙
Ipfirewall（即IPFW）是一个FreeBSD操作系统下的IP数据包过滤和通信记录工具。IPFW作为一个独立的运行时刻可装载模块，就包含在基本的FreeBSD安装包中。在rc.conf中含有语句“firewall_enable=YES”时，系统会动态地装载内核模块。[b]第一步：为IPFW而编译FreeBSD内核[/b]
这一步是可选的。如果你不想启用NAT功能，你就没有必要将IPFW编译到FreeBSD内核中。然而一些老的版本可能没有编译IPFW。下面我们介绍将IPFW编译进入内核中去的方法。
如果你得到如下的一个错误消息：“ipfw: getsockopt(IP_FW_GET): Protocol not available ”，即协议不可使用，那你就必须编译内核的源代码。
另一个可选项是打开默认的内核配置文件/usr/src/sys/i386/conf，并找到IPFIREWALL选项：
[table=400][tr][td]# grep IPFIREWALL /usr/src/sys/i386/conf[/td][/tr][/table][b]第二步：编译并安装带有IPFW的定制内核[/b]
首先是复制默认的内核文件：
[table=400][tr][td]# cd /usr/src/sys/i386/conf# cp GENERIC IPFWKERNEL[/td][/tr][/table]然后增加IPFW支持：
[table=400][tr][td]# vi IPFWKERNEL[/td][/tr][/table]添加下面的指令：
[table=400][tr][td]options IPFIREWALL # required for IPFWoptions IPFIREWALL_VERBOSE # optional; loggingoptions IPFIREWALL_VERBOSE_LIMIT=10 # optional; don't get too many log entriesoptions IPDIVERT # needed for natd[/td][/tr][/table]
保存并关闭文件。编译内核，键入如下的命令： [table=400][tr][td]# cd /usr/src# make buildkernel KERNCONF=IPFWKERNEL[/td][/tr][/table]安装新的内核：
[table=400][tr][td]# make installkernel KERNCONF=IPFWKERNEL[/td][/tr][/table]现在重新启动系统：
[table=400][tr][td]# reboot[/td][/tr][/table][b]第三步：启用IPFW[/b]
首先打开/etc/rc.conf文件：
[table=400][tr][td]# vi /etc/rc.conf[/td][/tr][/table]然后，添加如下的设置：
[table=400][tr][td]firewall_enable="YES"firewall_script="YES"firewall_script="/usr/local/etc/ipfw.rules"[/td][/tr][/table]
保存并关闭文件。 [b]第四步：编写防火墙规则脚本[/b]
你需要将防火墙规则放到一个被称为/usr/local/etc/ipfw.rule的脚本中：
[table=400][tr][td]# vi /usr/local/etc/ipfw.rule[/td][/tr][/table]添加如下的代码：
[table=400][tr][td]IPF="ipfw -q add"ipfw -q -f flush#loopback$IPF 10 allow all from any to any via lo0$IPF 20 deny all from any to 127.0.0.0/8$IPF 30 deny all from 127.0.0.0/8 to any$IPF 40 deny tcp from any to any frag# statefull$IPF 50 check-state$IPF 60 allow tcp from any to any established$IPF 70 allow all from any to any out keep-state$IPF 80 allow icmp from any to any# open port ftp (21,22), ssh (22), mail (25)# http (80), dns (53) etc$IPF 110 allow tcp from any to any 21 in$IPF 120 allow tcp from any to any 21 out$IPF 130 allow tcp from any to any 22 in$IPF 140 allow tcp from any to any 22 out$IPF 150 allow tcp from any to any 25 in$IPF 160 allow tcp from any to any 25 out$IPF 170 allow udp from any to any 53 in$IPF 175 allow tcp from any to any 53 in$IPF 180 allow udp from any to any 53 out$IPF 185 allow tcp from any to any 53 out$IPF 200 allow tcp from any to any 80 in$IPF 210 allow tcp from any to any 80 out# deny and log everything$IPF 500 deny log all from any to any[/td][/tr][/table]
保存并关闭文件。 [b]第五步：启动防火墙[/b]
你可以重新启动[url=http://server.chinahtml.com/][color=#006da3]服务器[/color][/url]，或者通过在命令行输入如下的命令，可以重新加载这些规则：
[table=400][tr][td]# sh /usr/local/etc/ipfw.rules[/td][/tr][/table]如果要依次列示所有的规则，需要键入下面的命令：
[table=400][tr][td]# ipfw list[/td][/tr][/table]
页:
[1]