利用Linux系统实现VLAN间的单臂路由及安全网关的功能

　　摘 要：为提高企业内部网络安全管理需要，作者从实践经验中总结出在企业已淘汰的普通计算机上安装Linux系统来实现VLAN间的单臂路由及安全网关的功能，既节省企业成本又能达到旧设备的有效利用。
　　
　　
　　1 基本网络示意图
　　图1
　　1.1 交换机上创建3个VLAN
　　（1）VLAN20为管理VLAN，用于交换机的远程管理；
　　（2）VLAN30包含eth1―eth10号端口，属于A部门；
　　（3）VLAN40包含eth11―eth20号端口，属于B部门；
　　1.2 交换机上配置Trunk端口
　　交换机24号端口的端口类型配置为Trunk端口，Trunk端口能够转发不同VLAN的数据。
　　1.3 各部门客户端
　　（1）A1客户端：IP：192.168.130.1/24
　　（2）A2客户端：IP：192.168.130.2/24
　　（3）B1客户端：IP：192.168.140.1/24
　　（4）B2客户端：IP：192.168.140.2/24
　　其中A部门网关地址是192.168.130.254，B部门网关地址是192.168.140.254，各部门客户端DNS设置为Internet上的DNS服务器地址（如：8.8.8.8和4.4.4.4）。
　　2 交换机配置
　　2.1 VLAN的作用
　　VLAN是把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。
　　2.2 在交换机上具体配置VLAN
　　在交换机的系统视图下输入下列命令行创建所需的VLAN和相应配置：
　　vlan 30
　　port Ethernet 0/1 to Ethernet 0/10
　　quit
　　vlan 40
　　port Ethernet 0/11 to Ethernet 0/20
　　quit
　　interface Ethernet 0/24
　　port link-type trunk
　　port trunk permit vlan all
　　quit
　　vlan 20
　　quit
　　interface vlan-interface 20
　　ip address 192.168.120.253 255.255.255.0
　　quit
　　ip route-static 0.0.0.0 0.0.0.0 192.168.120.254
　　user-interface vty 0 4
　　set authentication password simple 123456
　　user privilege level 0
　　quit
　　super password simple 321123
　　3 Linux系统的安装与配置
　　3.1 安装Linux系统
　　（1）准备一台淘汰的P4级别的台式计算机，内存512MB并安装两块使用性能及兼容性好的网卡。
　　（2）Linux系统可以选择免费的开源系统CentOS 6。从http：//www.centos.org网址上找minimal的iso镜像文件，保存到本地并刻录光盘，通过光驱引导安装Linux系统。
　　（3）升级Linux系统并安装vconfig组件
　　把安装好的Linux系统先连接到互联网上，再通过yum命令进行升级和安装组件：
　　yum -y update
　　yum -y install vconfig
　　3.2 配置Linux VLAN
　　（1）连接两个网卡
　　其中eth0接口连接到交换机的24号端口（trunk端口），eth1接口连接互联网。
　　（2）eth0接口配置
　　/etc/sysconfig/network-scripts/ifcfg-eth0是eth0接口的配置文件。
　　DEVICE=eth0
　　TYPE=Ethernet
　　BOOTPROTO=static
　　IPADDR=0.0.0.0
　　ONBOOT=yes
　　（3）给eth0物理接口添加VLAN
　　vconfig set_name_type VLAN_PLUS_VID
　　vconfig add eth0 20
　　vconfig add eth0 30
　　vconfig add eth0 40
　　ip address add 192.168.120.254/24 broadcast + dev vlan0020
　　ip address add 192.168.130.254/24 broadcast + dev vlan0030
　　ip address add 192.168.140.254/24 broadcast + dev vlan0040 　
ip link set dev vlan0020 up
　　ip link set dev vlan0030 up
　　ip link set dev vlan0040 up
　　为了便于系统下次启动时使用此配置，我们可以把上面的配置保存到脚本文件里，然后在系统启动时加载即可。
　　若想删除已经建立好的VLAN则使用vconfig rem [VLAN名称]命令。
　　（4）eth1接口配置
　　eth1的配置与eth0类似，根据图示配置参数即可。
　　3.3 打开Linux系统的包转发功能
　　/etc/sysctl.conf
　　net.ipv4.ip_forward = 1
　　3.4 配置接口的NAT功能
　　iptables -t nat -A POSTROUTING -s 192.168.130.0/24 -o eth1 -j MASQUERADE
　　iptables -t nat -A POSTROUTING -s 192.168.140.0/24 -o eth1 -j MASQUERADE
　　service iptables save
　　service iptables restart
　　3.5 添加默认路由
　　ip route add default via 202.99.224.1 dev eth1
　　3.6 配置Linux防火墙
　　防火墙配置之前清除原来的规则。
　　（1）防御外网接口的***
　　iptables -P INPUT DROP
　　iptables -P OUTPUT ACCEPT
　　iptables -P FORWARD ACCEPT
　　iptables -A INPUT -i lo -j ACCEPT
　　iptables -A INPUT -i eth1 -m state --state RELATED，ESTABLISHED -j ACCEPT
　　iptables -A INPUT -i eth1 -m state --state NEW，INVALID -j DROP
　　iptables -A INPUT -i eth0 -p tcp -m state --state NEW �m tcp --dport 22 -j ACCEPT
　　service iptables save
　　service iptables restart
　　（2）防御TCP洪水***和ICMP洪水***
　　编辑/etc/sysctl.conf文件修改下列两个值，若没有此属性则直接添加。
　　net.ipv4.tcp_syncookies=1
　　net.ipv4.icmp_echo_ignore_broadcasts=1
　　service iptables restart
　　通过以上配置不仅能够实现VLAN间的单臂路由及安全网关的功能，还可以做到DNAT、策略路由、流量控制等。总之、使用丰富的Linux系统功能使我们找到既经济又实用的解决安全网关的方案。

转载于:https://blog.51cto.com/5165807/2299423