FreeBSD配置防火墙并开启SSH服务的完整教程

1. 配置 FreeBSD 防火墙：从零开始设置网络防护

首先讲解防火墙的整体配置流程。核心配置文件是 /etc/rc.conf，使用编辑器打开该文件，在末尾追加以下配置项：

firewall_enable="yes"                # 开启防火墙
net.inet.ip.fw.verbose=1            # 启用防火墙日志功能
net.inet.ip.fw.verbose_limit=5      # 日志条目数量限制
natd_enable="YES"                   # 开启防火墙NAT功能
natd_interface="rl0"                # 指定公网接口
natd_flags="-dynamic -m"
firewall_script="/etc/ipfw.rules"   # 自定义防火墙规则路径

保存操作同样重要——按下 Esc 键，输入冒号，然后回车，即可完成写入。

2. 添加 IPFW 防火墙规则：精细管控内外网流量

规则文件指向 /etc/ipfw.rules，创建或编辑该文件，将下方脚本粘贴进去。注意，这套规则设计得相当详尽，全面覆盖了内外网通信、服务端口以及安全过滤策略。不过，在复制之前，有几个关键参数必须根据你的实际网络环境进行调整。

#!/bin/sh
################ Start of IPFW rules file ####################

# Flush out the list before we begin.
ipfw -q -f flush

# Set rules command prefix
cmd="ipfw -q add"
skip="skipto 800"
pif="rl0"   # 公网接口名称，务必改成你实际使用的网卡

##################################################################
# No restrictions on Inside LAN Interface for private network
# 修改 xl0 为你的内网接口名称
##################################################################
$cmd 005 allow all from any to any via xl0

##################################################################
# No restrictions on Loopback Interface
##################################################################
$cmd 010 allow all from any to any via lo0

##################################################################
# check if packet is inbound and nat address if it is
##################################################################
$cmd 014 divert natd ip from any to any in via $pif

##################################################################
# Allow the packet through if it has previous been added to the
# the "dynamic" rules table by a allow keep-state statement.
##################################################################
$cmd 015 check-state

##################################################################
# Interface facing Public Internet (Outbound Section)
# Check session start requests originating from behind the
# firewall on the private network or from this gateway server
# destined for the public Internet.
##################################################################
# Allow out access to my ISP's Domain name server.
# x.x.x.x 必须填你 ISP 的 DNS 服务器 IP
# 如果有多个 DNS，复制这几行即可
$cmd 020 $skip tcp from any to x.x.x.x 53 out via $pif setup keep-state
$cmd 030 $skip udp from any to x.x.x.x 67 out via $pif keep-state
$cmd 040 $skip tcp from any to any 80 out via $pif setup keep-state
$cmd 050 $skip tcp from any to any 443 out via $pif setup keep-state
$cmd 060 $skip tcp from any to any 25 out via $pif setup keep-state
$cmd 061 $skip tcp from any to any 110 out via $pif setup keep-state
$cmd 070 $skip tcp from me to any out via $pif setup keep-state uid root
$cmd 080 $skip icmp from any to any out via $pif keep-state
$cmd 090 $skip tcp from any to any 37 out via $pif setup keep-state
$cmd 100 $skip tcp from any to any 119 out via $pif setup keep-state
$cmd 110 $skip tcp from any to any 22 out via $pif setup keep-state
$cmd 120 $skip tcp from any to any 43 out via $pif setup keep-state
$cmd 130 $skip udp from any to any 123 out via $pif keep-state

##################################################################
# Interface facing Public Internet (Inbound Section)
# Check packets originating from the public Internet
# destined for this gateway server or the private network.
##################################################################
# Deny all inbound traffic from non-routable reserved address spaces
$cmd 300 deny all from 192.168.0.0/16   to any in via $pif
$cmd 301 deny all from 172.16.0.0/12    to any in via $pif
$cmd 302 deny all from 10.0.0.0/8       to any in via $pif
$cmd 303 deny all from 127.0.0.0/8      to any in via $pif
$cmd 304 deny all from 0.0.0.0/8        to any in via $pif
$cmd 305 deny all from 169.254.0.0/16   to any in via $pif
$cmd 306 deny all from 192.0.2.0/24     to any in via $pif
$cmd 307 deny all from 204.152.64.0/23  to any in via $pif
$cmd 308 deny all from 224.0.0.0/3      to any in via $pif

$cmd 315 deny tcp from any to any 113 in via $pif
$cmd 320 deny tcp from any to any 137 in via $pif
$cmd 321 deny tcp from any to any 138 in via $pif
$cmd 322 deny tcp from any to any 139 in via $pif
$cmd 323 deny tcp from any to any 81  in via $pif

$cmd 330 deny all from any to any frag in via $pif
$cmd 332 deny tcp from any to any established in via $pif

$cmd 360 allow udp from x.x.x.x to any 68 in via $pif keep-state
$cmd 370 allow tcp from any to me 80 in via $pif setup limit src-addr 2
$cmd 380 allow tcp from any to me 22 in via $pif setup limit src-addr 2
$cmd 390 allow tcp from any to me 23 in via $pif setup limit src-addr 2

$cmd 400 deny log all from any to any in via $pif
$cmd 450 deny log all from any to any out via $pif

$cmd 800 divert natd ip from any to any out via $pif
$cmd 801 allow ip from any to any

$cmd 999 deny log all from any to any

################ End of IPFW rules file ############################

需要特别留意的地方：

如果你的内网地址是 192.168.21.173（即落在 192.168.0.0/16 网段内），那么 $cmd 300 这一行必须注释掉，否则本机也将无法访问外网——这是典型的“拦截了所有私有地址却忘记放行自身”的错误。

$cmd 380 这行负责开放 SSH 默认端口 22，便于远程安全管理服务器。

3. 重启网络服务，使防火墙规则立即生效

规则编辑完成后，接下来就是激活配置。请按顺序执行以下命令：

/etc/netstart               # 重启网络
/etc/rc.d/ipfw start        # 开启防火墙
ipfw disable firewall       # 关闭防火墙（如果需要）
ipfw enable firewall        # 重新开启
/etc/rc.d/ipfw restart      # 重启防火墙
sh /etc/ipfw.rules          # 手动加载自定义规则

如需彻底关闭防火墙，可使用 ipfw disable firewall，但在生产环境中建议始终保持开启，确保系统安全。

4. 开启 SSH 服务，实现远程安全登录

防火墙配置完成后，接下来配置 SSH 服务。整个流程分为三步：

第一步：编辑 /etc/inetd.conf，找到下面这行，去掉行首的 # 注释符号（若已被注释）：

ssh    stream  tcp    nowait  root    /usr/sbin/sshd    sshd -i -4

第二步：编辑 /etc/rc.conf，追加以下内容：

sshd_enable="yes"

第三步：编辑 SSH 配置文件 /etc/ssh/sshd_config，设置以下参数确保远程连接可用：

PermitRootLogin yes              # 允许 root 登录
PasswordAuthentication yes       # 使用密码验证
PermitEmptyPasswords no          # 不允许空密码登录

最后启动或重启 SSH 守护进程：

/etc/rc.d/sshd start
/etc/rc.d/sshd restart

至此，所有配置完成。现在可以使用 Putty 等 SSH 客户端工具尝试连接，验证是否能够正常远程管理 FreeBSD 服务器。

扩展阅读：IPFW 规则加载的两种常用方式

两种方法均可正常工作，取决于个人习惯。第一种是直接设置 firewall_type 变量，使其指向一个只包含规则的文本文件（不包含 ipfw 命令选项）。例如：

firewall_type="open"        # 允许所有流量
firewall_type="client"      # 只保护本机
firewall_type="simple"      # 保护整个网络
firewall_type="closed"      # 禁止除回环外的所有 IP 流量
firewall_type="UNKNOWN"     # 不加载规则
firewall_type="/path/to/file"  # 绝对路径

第二种方式就是本文采用的方法：使用 firewall_script 变量指向一个可执行的 Shell 脚本，系统启动时会自动运行该脚本加载规则。系统自带的示例规则文件位于 /etc/rc.firewall 和 /etc/rc.firewall6，可作为学习参考。