在Linux系统下配置企业级防火墙
大概配置如图所示：
iptables的四表五链:
四表：
filter
和主机自身有关，主要负责过滤流入自己的数据包和自己流出的数据包，它是iptables默认的表。
filter表在这3个检查点进行检查：
INPUT
负责过滤目标IP地址是自己本机的数据包
FORWARD
负责过滤目标地址不是本机的数据包，但是防火墙的转发机制要开启（在/etc/sysctl.conf里，把 net.ipv4.ip_forward=1）如果不开启会把流经forwad检查点的包丢弃掉
nat
和主机本身无关，负责将源IP地址进行转换，转换成公网IP，因为私网IP是不能与公网直接进行通信的。
还负责将目标地址、端口转换。
prerouting: 用于包在到达防火墙的时候，改变它的目标地址。DNAT 目标地址转换
output:用于改变防火墙本机产生的包的目标地址。
postrouting: 用于包在离开防火墙的时候，改变它的源地址。SNAT 源地址转换
raw
mangle
五链：
PREROUTING
INPUT
OUTPUT
POSTROUTING
FORWARD
具体如下图所示：
开始配置企业级防火墙
规则如下：
1、实现 相关的 SNAT 功能。
代理内部的客户机上网， 但是 限制 连接，下午 14:00 – 18:00 之间 不允许 访问 www.taobao.com www.jd.com 网站。
2、实现 DNAT 功能 。将内部服务器 172.16.100.99 映射 到 网关，允许 外部主机访问 172.16.100.99 提供的 web 服务
3、内部 的 10.1.1.0 网段主机， 只能 通过网关访问 172.16.100.99 的web 服务， 但是 管理员 10.1.1.10 不受限制，并绑定MAC ，每个IP只能产生 3 个连接
4、网关主机本身，仅允许 内部 IP 访问自己的 web服务，仅允许 10.1.1.10 ssh 连接自己。
5、防御 外部 主机，主动 连接 内部主机， 仅仅让外部主机能够 访问 172.16.100.99 的 web 服务。
（1）
清空防火墙规则
iptables -F
iptables -X
iptables -Z
iptables -t nat -F
iptables -t nat -X
iptables -t nat -Z
(2)
设置防火墙全局规则
iptables -t filter -P INPUT DROP
iptables -t filter -P OUTPUT ACCEPT
iptables -t filter -P FORWARD ACCEPT
（3）实现内部客户机上网
iptables -t nat -A POSTROUTING -o ens33 -j MASQUERADE
（4）内部的 10.1.1.0网段主机，只能通过网关访问 172.16.100.99的web 服务，但是管理员10.1.1.10不受限制，并绑定MAC，每个IP只能产生 3 个连接
iptables -t filter -A FORWARD -i ens39 -d 172.16.100.99 -m mac --mac-source 00:0c:29:0a:51:d1 -s 10.1.1.10 -p tcp --dport 80 -j ACCEPT
iptables -t filter -A FORWARD -i ens39 -d 172.16.100.99 -p tcp ! --dport 80 -j DROP
iptables -t filter -A INPUT -s 10.1.1.10 -m mac --mac-source 00:0c:29:0a:51:d1 -p tcp --dport 22 -m connlimit ! --connlimit-above 3 -j ACCEPT
（5）网关主机本身，仅允许内部 IP访问自己的 web服务，仅允许 10.1.1.10 ssh 连接自己。
iptables -t filter -A INPUT -i ens39 -p tcp --dport 80 -j ACCEPT
iptables -t filter -A INPUT -i ens38 -p tcp --dport 80 -j ACCEPT
（6）防御外部主机，动连接内部主机，仅仅让外部主机能够 访问 172.16.100.99 的 web 服务。
iptables -t nat -A PREROUTING -i ens33 -d 192.168.72.125 -p tcp --dport 80 -j DNAT --to 172.16.100.99
（7）每天9：00到12：00，下午2：00-18：00禁止访问淘宝网，京东网。
iptables -t filter -A FORWARD -o ens33 -m string --algo kmp --string "taobao" -m time --timestart 1:00 --timestop 4:00 -j DROP
iptables -t filter -A FORWARD -o ens33 -m string --algo kmp --string "jd" -m time --timestart 6:00 --timestop 10:00 -j DROP
初次写博客，如有问题，请多多担待！！！！
