suibing的博客

一.配置debian机器的双网卡IP，我设的是eth0为公网IP，eth1为内网IP，
vim /etc/network/interface
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
address 172.18.30.187
netmask 255.255.255.0
gateway 172.18.30.1

auto eth1
iface eth1 inet static
address 192.168.1.1
netmask 255.255.255.0

二、输入：echo 1 > /proc/sys/net/ipv4/ip_forward
当初学习的时候我记得是需要保存这一项的，不然重启后值会变成0。但忘了怎么保存了。再次郁闷，
后来我在/etc/sysct1.conf里添加了下面这一行:
net.ipv4.ip_forward = 1   重启后生效了。嘿嘿！！



三、输入： iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to 172.18.30.187



此时一个简单的路由器便成功了。

但是，一但系统重启，将不能转发。郁闷，GOOGLE了半天才找到了一个解决保存iptables的方法



四、保存iptables:iptables-save > /etc/network/iptables



五、在/etc/network/interface里的eth0配置下加入下面这一行，使系统启动时自动转入iptables



up /sbin/iptables-restore /etc/network/iptables

前两天刚把IPTABLES安装好并能工作，但是没有配置什么策略，最近学习了一些策略，特记录下来。
我做的策略方式是首先将INPUT默认设为drop，然后按需求开启;FORWARD也设成DROP；而OUTPUT呢，暂不做策略。
1、将默认策略设为drop
iptables -P INPUT DROP
2、开启ssh，我都是使用远程到服务器上去学习的，所以安装了ssh,并把ssh端口改为了6789
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -dport -j ACCEPT
TCP/IP 本身是双向的，也就是有出必有进，有进必有出。这个规则没考虑到这点问题。
-m state --state ESTABLISHED 扮演很重要角色，那就是允许连线出去后对方主机回应进来的封包。

3、现在可以使用ssh上去管理了。由于我的debian上建立了DNS还有samba还供学习用，所以为了这台服务器功能更多，我还得开启这些端口：
iptables -A INPUT -p tcp -m multiport -dport 139,445 -j ACCEPT
iptables -A INPUT -p tcp -m multiport -dport 137,138 -j ACCEPT
iptables -A INPUT -p tcp -dport 53 -j ACCEPT
iptables -A INPUT -p udp -dport 53 -j ACCEPT
iptables -A INPUT -p tcp -dport 88 -j ACCEPT(因为我的samba是与AD集成的需要krb5验证)
4、允许ping
iptables -A INPUT -p icmp -j ACCEPT