aka_sec_salon_FW课件.pptVIP

..AKA..Security..Salon.. ..AKA Security Salon.. 防火墙设计与实现 For AKA Security Salon t0 w t0mmyw@ 2002-07 需求与作用 需求 Internet Intranet 安全 Internet 应用的扩展 Extranet安全 作用 中心遏制点 防止进攻者接近内部 限制内部用户 审计 包过滤 应用代理 复合型 如何部署 确定由外到内访问策略 确定由内到外访问策略 确定dial-in/dial-out访问策略 确定买产品还是自己来实现 三区分离 规则配置的基本准则 一切未被允许的就是禁止的。 防火墙应该禁止所有的信息流，然后对希望提供的服务逐个开放。 优点: 实用、安全。 缺点: 可靠性高于易用性。 一切未被禁止的就是允许的。 防火墙应该转发所有的信息流，然后逐个屏蔽有害的服务。 优点: 灵活 缺点：可靠性不高 包过滤增强 -- 状态检测 只有发起TCP连接的SYN包与规则库比较，如果允许，会话将被记录到状态连接表中。随后的数据包与状态连接表进行比较，如果会话在表中存在并且此包是会话的一部分，则允许通过。 优点： 提高性能 状态 NEW: This packet is trying to create a new connection RELATED: This packet is related to the existing connection, and is passing in the original direction, 如ftp数据通道 ESTABLISHED: This packet is part of an existing connection INVALID: This packet doesnt match any connection 透明代理 透明代理实质上属于DNAT的一种。内网主机需要访问外网主机时，不需要做任何设置，完全意识不到防火墙的存在，而完成内外网的通信。 基本原理： 防火墙截取内网主机与外网通信，由防火墙本身完成与外网主机通信，然后把结果传回给内网主机，在这个过程中，无论内网主机还是外网主机都意识不到它们其实是在和防火墙通信。而从外网只能看到防火墙，这就隐藏了内网网络，提高了安全性。 squid port: 3128 为什么要用NAT IP地址的缺乏 安全需要 管理方便、容易 NAT原理 Linux下Netfilter框架 netfilter是linux2.4内核实现数据包过滤/数据包处理/NAT等的功能框架。 可以在netfilter适当的位置上登记一些需要的处理函数，正式代码中已经登记了许多处理函数，如在NF_IP_FORWARD点上登记了转发的包过滤功能(包过滤等功能便是由这些正式登记的函数实现的)。我们也可以登记自己的处理函数，在功能上作扩展(如加入简单的IDS功能等)。 数据包的跑路 包过滤的实现 filter表不会对数据包进行修改，而只进行过滤。 它是通过钩子函数NF_IP_LOCAL_IN, NF_IP_FORWARD及NF_IP_LOCAL_OUT接入netfilter框架的。因此对于任何一个数据报只有一个地方对其进行过滤。 NAT的实现 NAT表格监听三个Netfilter钩子函数： NF_IP_PRE_ROUTING：实现对需要转发的数据报的源地址进行地址转换。 NF_IP_POST_ROUTING：对需要转发的数据包的目的地址进行地址转换。 NF_IP_LOCAL_OUT：对本地数据包的目的地址进行转换。 NAT表格不同于filter表格，因为只有新连接的第一个数据包将遍历表格，而随后的数据包将根据第一个数据报的结果进行同样的转换处理。（状态检测） NAT表格被用在源NAT,目的NAT，伪装(其是源NAT的一个特例)及透明代理(其是目的NAT的一个特例)。 Input , output , forward 所有来自于网络并且发给防火墙的数据包会遍历INPUT规则链。 所有被转发的数据包将仅仅遍历FORWARD规则链。 本地发出的数据包将遍历OUTPUT链。 iptables Netfilter --- kernelspace iptables --- userspace iptables只是管理内核包过滤的工具 用来管理核心包过滤表格（链）中的规则 netfilter及相应模块来执行规则 规则匹配 按规则链来进行匹配 使用src, dst, port, opt 等来匹配 使用 -j target 来动作 从头到