ISP의 케이블 모뎀/라우터와 LAN 사이에 방화벽을 어떻게 설정합니까?

내 목표는 Snort를 사용하여 방화벽과 침입 방지 시스템을 설정하는 것입니다. Snort 방화벽과 함께 pfSense를 실행하는 물리적 네트워크 카드가 2개 이상 있는 예비 컴퓨터가 있지만 이번에는 직접 설정하려고 합니다. 지금까지 나는 SSH 로그인 기능이 있는 헤드리스 시스템으로 데비안 9를 성공적으로 설치했습니다(필요하다면 일시적으로 키보드와 화면을 추가할 수 있습니다).

Snort 없이 방화벽으로 시작하고 싶습니다.

다음 목표를 달성하는 방법: - IPS 케이블 모뎀 라우터와 LAN 사이에 방화벽을 설치하는 것이 가능합니까? ISP 라우터에 DHCP/NAT가 활성화되어 있지만 끌 수 없습니다. - 이중 NAT(pfSense를 사용하기 전에 사용했던)로 전환하지 않고도 중간에 배치할 수 있는 "플러그 앤 플레이" 방화벽을 구현하고 싶습니다. 예를 들어 가능하다면 다른 네트워크를 갖고 싶지 않습니다. 예를 들어 192.168.xx 하나와 10.xxx 하나입니다. - 방화벽은 헤드리스이며 SSH를 통해 로그인합니다.

      Internet
        WAN
         |
         |
      ISP Cable Modem & Router with DCHP
      gateway 192.168.0.1
         |
         |
       [eth0]
      Firewall
       [eth1]
         |                ________ Wireless AP
         |               /
         |_____ Switch__/_________ PC1
                        \
                         \________ ...

eth0과 eth1을 추가하여 br0(/etc/network/interfaces를 통해)에 브리지 설정을 시도했습니다. 브리지에 IP 주소가 있고 제대로 작동하고 있습니다. 스위치 뒤에 있는 장치에서 AP를 통해 인터넷에 계속 연결할 수 있습니다. 그래서 나는 브리지가 IP 주소에 신경 쓰지 않는다는 것을 이해합니다. 이는 최종 스노트(IPS)를 사용하여 방화벽을 구축하기에 충분하지 않은 것 같습니다. 나는 iptables와 "물리적 개발"에 대해 읽었습니다. 어쩌면 이중 NAT를 수행하고 라우팅을 설정해야 합니까? 문제는 무엇이 최선인지, 어떻게 해야 하는지에 대해 충분히 모른다는 것입니다. 물론 나는 (많은) 검색을 했고 aboutdebian.org에서 프록시/NAT 및 방화벽에 관한 기사를 찾았지만 대부분은 모뎀만 가질 수 있다고 가정하지만 DCHP를 끌 수는 없습니다. 구성된 곳은 닫을 수 없습니다. 항상 전체 255.255.255.0 범위입니다.