网络系统管理应用与开发 作者 孙建华 王宇 刘总路 林强 第05章.pptVIP

第5章 防 火 墙 5.1 防 火 墙 的 作 用 5.2 iptables的安装和调试 5.3 防火墙的配置策略 5.4 Netfilter/Iptables/NAT 5.5 综合应用实例 本章提要 ? Linux防火墙的基本概念 ? 实验网络环境的构建 ? 使用iptables配置防火墙 ? netfilter/iptables/NAT综合应用实例 5.1 防 火 墙 的 作 用 防火墙是网络安全防范措施的统称。防火墙通过特定的硬件和软件系统在两个网络之间执行访问控制策略，从而达到保护网络之间通信安全的目的。 5.1.1 Linux防火墙的基本技术 1．Linux防火墙概述 Linux防火墙有三种典型的软件工具： （1）基于Linux 2.0内核的防火墙管理工具—ipwadm； （2）基于Linux 2.2内核的防火墙链—ipchains； （3）基于Linux 2.4内核的防火墙框架—netfilter及配置工具iptables（IPv4）和ip6tables。 2．包过滤型防火墙 包过滤型防火墙的规则是由一组接收和禁止规则列表组成，规则列表中定义了数据包是否可以通过网络接口。 3．输入包过滤 （1）远程源地址过滤 （2）本地目的地址过滤 （3）远程源端口过滤 （4）本地目的地址过滤 （5）输入包的TCP连接状态过滤 （6）对刺探和扫描的过滤 （7）针对拒绝服务攻击（DOS攻击）的过滤 ? 优化对外提供服务的主机 ? 优化路由及网络结构 ? 追踪攻击数据包 ? 采取有效的防范手段 （8）过滤输入数据包 ? 源路由数据包 ? 数据包分段 4．输出包过滤 （1）本地源地址过滤 （2）远程目的地址过滤 （3）本地源端口过滤 （4）远程目的地址过滤 （5）TCP连接状态过滤 5.1.2 Linux防火墙管理工具 1．netfilter ? 为每种网络协议（IPv4和IPv6等）定义一套挂钩函数（IPv4定义了5个挂钩函数），这些挂钩函数在数据包流过协议栈的几个关键点被调用。 ? 内核的任何模块可以对每种协议的一个或多个挂钩进行注册，实现挂接。 ? 那些排队的数据包被传递给用户空间进行异步处理。 2．netfilter的配置工具iptables ? 数据包过滤 ? 网络地址转换 ? 数据包处理 5.2 iptables的安装和调试 5.2.1 内核配置 使用iptables做防火墙，必须将这种类型的功能支持编译到Linux内核中。在规范的内核源代码中，激活了缺省的网络选项。 5.2.2 iptables应用规则 1．iptables规则 2．iptables工具的应用方法 （1）iptables的调用语法 （2）索引 3．基于状态的匹配 5.2.3 配置实例 1．初始化 例7：禁止欺骗的IP地址和不正常的IP地址。这些脚本主要针对欺骗的数据包，非法地址的数据包，不让用户把数据包送往非法目的地址等。 （1）禁止声称来自ethl的数据包。 （2）禁止声称来自C类私有地址以及到C类私有地址的数据包。 （3）禁止声称来自回环地址的数据包 （4）禁止伪造的广播数据包。 例8：认证。 （1）允许用户作为输出认证请求 （2）作为认证服务器，接受进来的认证请求数据包 （3）作为认证服务器，拒绝进来的认证请求数据包 例9：HTTP超文本传输协议。 （1）访问远端的服务器 （2）允许对内部WWW服务器访问的参考配置 例10：HTTP代理的参考配置 2．iptables脚本实例 编写一个shell脚本，把要求的各种规则设置其中，当需要时启动运行。 5.2.4 使用iptables实现NAT 5.3 防火墙的配置策略 5.3.1 系统的硬件 1．HOST_IPFW配置 2．HOST_1配置 3．HOST_2配置 5.3.2 网络系统的软件 （1）HOST_IPFW配置 （2）HOST_1配置 （3）HOST_2配置 5.3.3 网络环境的基本配置与测试 1．计算机与网络硬件安装、设置和连接无误 2．正确安装系统软件和应用软件 3．正确设置网络的有关参数，如主机名、静态IP地址等 4．用ping测试网络的基本连通性。 5．用arp、netstat、traceroute等命令对网络进行测试，并排除配置问题和其他故障。 6．安装、配置实验用的各种服务器，如