如何伪装你的IP(五)

# 送出伪装网关的设定，更新以及设定拒绝的策略(policy)。事实上预设的策略没什么关系，因为原先就希望拒绝以及记录所有规则

　　ipfwadm -O -f
　　ipfwadm -O - deny
　　# 本地界面，允许任何来源送出至区域网络
　　ipfwadm -O -a accept -V 192.168.255.1 - 0.0.0.0/0 -D 192.168.0.0/16
　　# 远端界面送出至区域网络，stuffed routing ，拒绝
　　ipfwadm -O -a deny -V your.static. .addre - 0.0.0.0/0 -D 192.168.0.0/16 -o
　　# 区域网络的机器从远端界面送出，stuffed masquerading，拒绝
　　ipfwadm -O -a deny -V your.static. .addre - 192.168.0.0/16 -D 0.0.0.0/0 -o
　　# 区域网络的机器从远端界面送出，stuffed masquerading，拒绝
　　ipfwadm -O -a deny -V your.static. .addre - 0.0.0.0/0 -D 192.168.0.0/16 -o
　　# 任何其它远端界面送出的东西都是允许的
　　ipfwadm -O -a accept -V your.static. .addre - your.static. .addre /32 -D
0.0.0.0/0
　　# 回授(loo ack)界面是允许的
　　ipfwadm -O -a accept -V 127.0.0.1 - 0.0.0.0/0 -D 0.0.0.0/0
　　# 捕捉所有规则，任何其它的送出方式都会被拒绝并记录。可惜没有记录用的选项但这可以代替
　　ipfwadm -O -a deny - 0.0.0.0/0 -D 0.0.0.0/0 -o 　　# 伪装网关的转送设定，更新以及设定拒绝的策略(policy)。事实上预设的策略没什么关系，因为原先就
希望拒绝以及记录所有规则
　　ipfwadm -F -f
　　ipfwadm -F - deny
　　# 伪装区域网络的机器从本地界面送出至任何地方的资料
　　ipfwadm -F -a masquerade -W 0 - 192.168.0.0/16 -D 0.0.0.0/0
　　# 捕捉所有规则，任何其它的转送方式都会被拒绝并记录。可惜没有
　　# 记录用的选项但这可以代替
　　ipfwadm -F -a deny - 0.0.0.0/0 -D 0.0.0.0/0 -o 　　你可以使用 -I, -O 或是 -F 来控制到某特定节点的流量。记得这些规则集是由上往下扫描的而 -a 代表”附加(a end)”到目前现有的规则集中所以任何限制必须在全域(global)规则之前出现。 　　例如: 　　使用 -I 规则。可能是速度最快的但是它只能阻止区域网络里的机器，防火墙本身仍然可以存取“禁止”的节点。当然你可能想允许这样的组合。
　　# 拒绝并记录本地界面，区域网络里的机器通往 204.50.10.13
　　ipfwadm -I -a reject -V 192.168.255.1 - 192.168.0.0/16 -D 204.50.10.13/32 -o
　　# 本地界面，区域网络里的机器，允许通往任何地方
　　ipfwadm -I -a accept -V 192.168.255.1 - 192.168.0.0/16 -D 0.0.0.0/0 　　使用 -O 规则。最慢，因为封包首先经过伪装但这个规则阻止防火墙存取禁止的节点。 　　# 拒绝并记录送出至 204.50.10.13 的资料
　　ipfwadm -O -a reject -V your.static. .addre - your.static. .addre /32 -D
　　204.50.10.13/32 -o
　　# 允许任何其它远端界面送出的东西
　　ipfwadm -O -a accept -V your.static. .addre - your.static. .addre /32 -D
0.0.0.0/0 　　# 使用 -F 规则。可能比 -I 慢而这仍然只能阻止伪装的机器（例如
　　# 内部的机器），防火墙仍然可以取得禁止的节点。 　　# 拒绝并记录 界面送出从区域网络到 204.50.10.13 的资料。
　　ipfwadm -F -a reject -W 0 - 192.168.0.0/16 -D 204.50.10.13/32 -o
　　# 伪装本地界面从区域网络送出至任何地方的资料。
　　ipfwadm -F -a masquerade -W 0 - 192.168.0.0/16 -D 0.0.0.0/0 　　不需要有个特定的规则来允许 192.168.0.0/16 通往 204.50.11.0 , 这涵盖於全域规则中。 　　有一种以上的方法可以对界面设定上述规则。例如可以使用 -W eth0来取代 -V 192.168.255.1 ，可以使用 -W 0 来取代 -V your.static. .addre 。个人的选择最重要。