善用 Linux 核心內建 IP 偽裝 (IP Masquerade) 打造輕量級防火牆

為什麼需要 IP 偽裝？

撥號/寬頻上網時，ISP 分配給你一個公網 IP，這就像把家門鑰匙掛在門口——任何掃描到該 IP 的駭客都能嘗試入侵。Linux 核心內建的 IP Masquerade (IP 偽裝/NAT) 機制，能將內網機器的私有 IP (如 192.168.x.x、10.x.x.x、172.16-31.x.x) 「藏」在 Linux 閘道器後方，對外僅暴露閘道器的單一公網 IP，極大縮小攻擊面。除極少數高階 APT 攻擊外，能抵擋絕大多數自動化掃描與入侵嘗試。

核心原理：網絡地址轉換 (NAT)

1. 出向：內網主機 (192.168.1.25) 發送封包 → Linux 閘道器攔截 → 將源 IP 替換為公網 IP (207.176.253.15) → 發往 Internet。
2. 回向：Server 回覆封包到公網 IP → 閘道器查表 → 將目的 IP 還原為 192.168.1.25 → 轉發給內網主機。
3. 連接追蹤：核心維護連接狀態表，自動處理多主機並發、端口映射、超時清理，不會混淆。

實戰部署：雙網卡 Linux 閘道器配置 (基於 2.4 核心 ipchains / 2.2 核心 ipfwadm)

環境假設

• eth0 (外網/公網)：207.175.253.15 /24，網關 207.175.253.254
• eth1 (內網/私網)：192.168.1.254 /24，內網段 192.168.1.0/24

步驟 1：網卡與路由初始化 (置於 /etc/rc.d/rc.inet1 或同類啟動腳本)

# 外網卡
IPADDR="207.175.253.15"
NETMASK="255.255.255.0"
NETWORK="207.175.253.0"
BROADCAST="207.175.253.255"
GATEWAY="207.175.253.254"
/sbin/ifconfig eth0 ${IPADDR} broadcast ${BROADCAST} netmask ${NETMASK}
/sbin/route add -net ${NETWORK} netmask ${NETMASK} eth0

# 內網卡
/sbin/ifconfig eth1 192.168.1.254 broadcast 192.168.1.255 netmask 255.255.255.0
/sbin/route add -net 192.168.1.0 netmask 255.255.255.0 eth1

步驟 2：啟用 IP 轉發 (核心參數)

echo 1 > /proc/sys/net/ipv4/ip_forward

永久生效請修改 /etc/sysctl.conf：net.ipv4.ip_forward = 1。

步驟 3：配置 IP Masquerade 規則 (以 ipfwadm 為例，ipchains/iptables 邏輯同理)

/sbin/ipfwadm -F -p deny                    # 默認拒絕 FORWARD 鏈
/sbin/ipfwadm -F -a m -S 192.168.1.0/24 -D 0.0.0.0/0  # 允許內網段 MASQ 出去
/sbin/ipfwadm -M -s 600 30 120               # 連接超時: TCP有限/TCP無限/UDP (秒)

關鍵解讀：-F 操作 FORWARD 鏈，-a m 追加 MASQUERADE 規則，-S 源網段，-D 目標 (0.0.0.0/0 代表任意)。

進階話題與避坑指南

特殊協議模組

FTP、IRC、RealAudio、CU-SeeMe 等協議在封包內攜帶 IP/端口資訊，需額外載入核心模組 (如 ip_masq_ftp.o) 輔助 NAT 解析，否則數據連接會失敗。

WinModem (軟猫) 的陷阱

廉價軟猫移除硬體控制器，由 CPU 模擬調制解調，Linux 支援極差且佔用大量 CPU。**務必購買帶跳線可設定 COM1~COM4 的硬體猫** (查閱 相容列表)。即插即用猫在舊 BIOS (如 1994 AMI BIOS) 上可能導致 IRQ 衝突甚至無法開機。

多條線路負載均衡 (EQL/ISDN) 的誤區

• EQL 只能分流出向封包；回向封包仍走單一 IP，除非 ISP 為多線分配同一 IP (極罕見/昂貴)。
• ISDN 由 ISP 端處理多通道綁定，用戶端無感知。
• 實測：單條 56k + IP Masquerade 服務 6 用戶辦公完全夠用；只有大文件下載時才覺得慢。優化單線 + 閘道器分流遠勝硬堆多線。

總結

一台退役的 486、裝上雙網卡、跑 Linux + IP Masquerade，即可化身企業級 NAT 閘道器：零成本、極低功耗、穩定如磐石。這正是 Linux「化腐朽為神奇」的經典實踐。