如何配置服务器gateway防火墙

配置服务器Gateway防火墙可按以下步骤操作，需根据服务器操作系统选择对应工具：

一、基础网络配置

1. 设置网络接口

   • 为服务器配置内外网IP地址、子网掩码及网关（Linux示例）：

     # 配置内网接口（ens33）  
     ip addr add 192.168.1.1/24 dev ens33  
     # 配置外网接口（ens38）  
     ip addr add 公网IP/24 dev ens38  
     

   • 启用IP转发（Linux内核参数）：

     echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf  
     sysctl -p  
     

2. 配置NAT（可选）

   • 允许内网共享外网IP（Linux）：

     iptables -t nat -A POSTROUTING -o ens38 -j MASQUERADE  
     

二、防火墙规则配置

Linux系统（以iptables为例）

1. 设置默认策略

   • 拒绝所有未明确允许的流量：

     iptables -P INPUT DROP  
     iptables -P FORWARD DROP  
     iptables -P OUTPUT ACCEPT  
     

2. 允许必要服务

   • 开放SSH（22端口）、HTTP（80端口）、HTTPS（443端口）：

     iptables -A INPUT -p tcp --dport 22 -j ACCEPT  
     iptables -A INPUT -p tcp --dport 80 -j ACCEPT  
     iptables -A INPUT -p tcp --dport 443 -j ACCEPT  
     

3. 限制特定IP或端口

   • 仅允许特定IP访问SSH：

     iptables -A INPUT -p tcp -s 信任IP --dport 22 -j ACCEPT  
     

   • 拒绝ICMP请求（禁ping）：

     iptables -A INPUT -p icmp -j DROP  
     

4. 保存规则

   iptables-save > /etc/iptables/rules.v4  
   

Windows服务器

1. 通过图形界面配置

   • 打开“高级安全Windows防火墙”：
     • 入站规则：添加允许SSH（22端口）、HTTP/HTTPS的规则，拒绝其他未授权流量。
     • 出站规则：默认允许，按需限制特定IP或端口。

2. 命令行配置（PowerShell）

   • 示例：开放HTTP端口

     New-NetFirewallRule -DisplayName "HTTP" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow  
     

三、高级配置（可选）

1. 端口转发

   • 将外部请求转发到内网服务（Linux）：

     # 将公网80端口转发到内网192.168.1.100的80端口  
     iptables -t nat -A PREROUTING -i ens38 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80  
     iptables -A FORWARD -j ACCEPT  
     

2. 日志与监控

   • 记录被拒绝的连接（Linux）：

     iptables -A INPUT -j LOG --log-prefix "Firewall-Dropped: "  
     

   • 查看日志：tail -f /var/log/syslog（Ubuntu）或/var/log/messages（CentOS）。

四、安全加固

• 定期更新防火墙规则：根据业务需求调整端口和服务。
• 最小权限原则：仅开放必要的端口，关闭默认未使用端口（如3306数据库端口仅允许可信IP）。
• 结合入侵检测系统（IDS）：如部署Snort监控异常流量。

五、验证配置

• 使用ping测试网络连通性，telnet或nc测试端口是否开放。
• 通过iptables -L -n（Linux）或“高级安全Windows防火墙”界面查看规则是否生效。

注意：配置前建议备份现有规则，测试环境优先验证规则正确性，避免影响生产环境。