4、走进真实世界：构建实用的包过滤网关

走进真实世界：构建实用的包过滤网关

1. 从单机到网关

在之前的基础上，我们现在要从单机的包过滤配置迈向更常见的场景——包过滤网关。网关就像一个防火墙，它不仅要在不同网络之间转发数据包，还要提高所处理网络流量的信噪比。在深入配置细节之前，我们先了解一些理论知识，这能避免很多常见的配置错误。

1.1 网关配置的常见误区

在单机配置中，流量要么通过规则流向外部，要么被过滤规则阻挡，我们可以轻松决定允许哪些外部流量进入。但设置网关时，情况就不同了。网关通常有多个网络接口，连接着不同的网络。这时，我们很容易认为使用类似下面的规则就能让流量从一个网络到另一个网络：

pass in proto tcp on re1 from re1:network to re0:network port $ports keep state

然而，这个规则只能让流量进入网关本身，而不能保证它能到达目标网络。要让数据包继续前进，还需要一个匹配的规则：

pass out proto tcp on re0 from re1:network to re0:network port $ports keep state

但这个规则也有局限性，它只能让目的地直接连接到 re0 网络的数据包通过。对于基本的网关配置，我们可能更倾向于使用不指定接口的规则，例如：

pass proto tc