Linux 代理服务器防火墙配置实战：基于 ipchains 的双网卡方案

两种防火墙策略对比

• 策略一（默认拒绝）：先全面禁止所有进出/转发包，再按需开放服务。安全性高，但需管理员精通每个服务所需端口，配置复杂，易遗漏导致业务中断。
• 策略二（默认放行）：先放行所有进出包，再针对危险包（IP 欺骗、广播包、ICMP 攻击等）及应用层服务（HTTP、Sendmail、POP3、FTP 等）做选择性拦截/启用。配置相对简单，适合快速部署基础防护。

本文采用策略二在生产环境部署。

环境拓扑

• 硬件：IBM Netfinity 3000
• 系统：RedHat Linux 6.2 + Squid 2.3
• 双网卡：eth0 (211.98.126.180，外网) / eth1 (192.168.0.1，内网)
• 客户端网段：192.168.0.xxx

部署步骤

1. 以 root 登录，在 /etc/rc.d/ 创建脚本 firewall.rules（内容略），执行 chmod 755 firewall.rules 赋予执行权限。
2. 编辑 /etc/rc.d/rc.local，追加一行 /etc/rc.d/firewall.rules，实现开机自动加载规则。

单网卡/拨号场景适配

若服务器仅单网卡通过 Modem 拨号，内网网卡通常为 eth0 (192.168.0.1)，外网接口为 ppp0。只需将脚本中 eth0 替换为 ppp0 即可复用规则。

配套加固建议

• 在 /etc/inetd.conf 禁用所有非必需服务，仅保留 FTP 与 Telnet。
• 配置 /etc/hosts.allow 与 /etc/hosts.deny，仅允许内网特定管理账号登录防火墙主机。

实测成果

该配置在作者环境稳定运行，并顺利解决了 Outlook Express 收发邮件的连通性问题。