亚洲成精品动漫久久精久,九九在线精品视频播放,黄色成人免费观看,三级成人影院,久碰久,四虎成人欧美精品在永久在线

掃一掃
關(guān)注微信公眾號

搭建基于netfilter/iptables的防火墻實(shí)驗(yàn)環(huán)境
2005-12-14   

防火墻作為一種網(wǎng)絡(luò)或系統(tǒng)之間強(qiáng)制實(shí)行訪問控制的機(jī)制,是確保網(wǎng)絡(luò)安全的重要手段。針對不同的需求和應(yīng)用環(huán)境,可以量身定制出不同的防火墻系統(tǒng)。防火墻大到可由若干路由器和堡壘主機(jī)構(gòu)成,也可小到僅僅是網(wǎng)絡(luò)操作系統(tǒng)上一個(gè)防火墻軟件包所提供的包過濾功能。 在眾多網(wǎng)絡(luò)防火墻產(chǎn)品中,Linux操作系統(tǒng)上的防火墻軟件特點(diǎn)顯著。首先是Linux操作系統(tǒng)作為一個(gè)類Unix網(wǎng)絡(luò)操作系統(tǒng),在系統(tǒng)的穩(wěn)定性、健壯性及價(jià)格的低廉性方面都獨(dú)具優(yōu)勢。更為重要的是,Linux不但本身的源代碼完全開放,而且系統(tǒng)包含了建立Internet網(wǎng)絡(luò)環(huán)境所需要的所有服務(wù)軟件包,如Apache Web服務(wù)器、DNS服務(wù)器、Mail服務(wù)器、Database服務(wù)器等。同樣,基于Linux的防火墻軟件不但具有強(qiáng)大的功能,而且大部分都是開放軟件。

隨著Internet的飛速發(fā)展,安全問題越來越重要。利用Linux構(gòu)建企業(yè)網(wǎng)深受中小企業(yè)的青睞,而利用Linux構(gòu)建企業(yè)網(wǎng)的防火墻系統(tǒng)也成為眾多中小企業(yè)的理想選擇。 Linux 內(nèi)核從1.1版本開始,就已經(jīng)具備包過濾功能。在2.0內(nèi)核中,開始采用Ipfwadm來操作內(nèi)核的包過濾規(guī)則。到2.2版本時(shí),Linux內(nèi)核采用了 Ipchains來控制內(nèi)核的包過濾規(guī)則。發(fā)展到2.4.x時(shí),Ipchains被一個(gè)全新的包過濾管理工具Iptables所替代。新發(fā)布的2.6版內(nèi)核也在安全方面進(jìn)行了改進(jìn)。因此,無論擁有哪個(gè)版本的Linux內(nèi)核,無論選擇哪個(gè)版本的Linux來構(gòu)建自己的企業(yè)網(wǎng),都可以利用現(xiàn)有的系統(tǒng)構(gòu)建出一個(gè)理想實(shí)用的防火墻。 防火墻系統(tǒng)可分為包過濾型、應(yīng)用級網(wǎng)關(guān)(也叫代理服務(wù)器型防火墻)和電路級網(wǎng)關(guān)三種基本類型。

Linux提供的防火墻軟件包內(nèi)置于Linux內(nèi)核中,是一種基于包過濾型的防火墻實(shí)現(xiàn)技術(shù)。其中心思想是根據(jù)網(wǎng)絡(luò)層IP包頭中的源地址、目的地址及包類型等信息來控制包的流向。更徹底的過濾則是檢查包中的源端口、目的端口以及連接狀態(tài)等信息。 Netfilter是Linux核心中一個(gè)通用架構(gòu),用于擴(kuò)展各種服務(wù)的結(jié)構(gòu)化底層服務(wù)。它提供一系列的表(tables),每個(gè)表由若干鏈(chains)組成,而每條鏈中可以由一條或數(shù)條規(guī)則(rule)組成。它可以和其它模塊(如iptables模塊和nat模塊)結(jié)合起來實(shí)現(xiàn)包過濾功能。Iptables是一個(gè)管理內(nèi)核包過濾的工具,可以加入、插入或刪除核心包過濾表格中的規(guī)則。實(shí)際上真正來執(zhí)行這些過濾規(guī)則的是Netfilter 。

硬件平臺:
① R.H linux9.0系統(tǒng)pc一臺(FireWall)三個(gè)8139 TP-LINK 網(wǎng)卡
Eth0(IP:218.197.93.115)
Eth1(IP:192.168.1.1)
Eth2(IP:192.168.2.1)
② R.H linux9.0系統(tǒng)pc一臺B(SERVER)一個(gè)8139 TP-LINK 網(wǎng)卡
C(IP:192.168.1.2)

③ 筆記本A一臺雙系統(tǒng)(windows Xp和R.H linux9.0)一個(gè)8139網(wǎng)卡,Cute-ftp軟件一套
A(IP:192.168.2.2)

④windows Xp系統(tǒng)pc一臺一個(gè)8139網(wǎng)卡,Cute-ftp軟件一套
B(IP:218.197.93.161)

⑤RJ45交叉線若干
實(shí)驗(yàn)?zāi)康模?/STRONG>

一> 實(shí)現(xiàn)FireWall的NAT功能讓A能訪問WAN(218.197.93.254)

二>在SERVER上開啟ftp,web服務(wù)(簡單的)使得A,B正常訪問C

三>開啟防火墻

1. 內(nèi)網(wǎng)可以訪問外網(wǎng)
內(nèi)網(wǎng)的用戶顯然需要自由地訪問外網(wǎng)。在這一策略中,防火墻需要進(jìn)行源地址轉(zhuǎn)換。

2. 內(nèi)網(wǎng)可以訪問DMZ
此策略是為了方便內(nèi)網(wǎng)用戶使用和管理DMZ中的服務(wù)器。

3. 外網(wǎng)不能訪問內(nèi)網(wǎng)
很顯然,內(nèi)網(wǎng)中存放的是內(nèi)部數(shù)據(jù),這些數(shù)據(jù)不允許外網(wǎng)的用戶進(jìn)行訪問。

4.外網(wǎng)可以訪問DMZ
DMZ中的服務(wù)器本身就是要給外界提供服務(wù)的,所以外網(wǎng)必須可以訪問DMZ。同時(shí),外網(wǎng)訪問DMZ需要由防火墻完成對外地址到服務(wù)器實(shí)際地址的轉(zhuǎn)換。

5.DMZ不能訪問內(nèi)網(wǎng)
很明顯,如果違背此策略,則當(dāng)入侵者攻陷DMZ時(shí),就可以進(jìn)一步進(jìn)攻到內(nèi)網(wǎng)的重要數(shù)據(jù)。

6.DMZ不能訪問外網(wǎng)
DMZ中的服務(wù)器專門用于給外界提供服務(wù)的,所以外網(wǎng)必須可以訪問DMZ,而DMZ中的服務(wù)器則不允許主動(dòng)訪問外網(wǎng)。

實(shí)驗(yàn)步驟:
一>實(shí)現(xiàn)路由功能:
首先來配置eth0。給這個(gè)網(wǎng)絡(luò)接口分配地址218.197.93.115,運(yùn)行下列命令:
# ifconfig eth0 218.197.93.115 netmask 255.255.255.0
為了使這個(gè)地址不再計(jì)算機(jī)重新啟動(dòng)后消失,編輯/etc/sysconfig/network-scripts/ifcfg-eth0文件,
DEVICE = eth0
ONBOOT = yes
BROADCAST = 218.197.93.255
NETWORK = 218.197.93.0
NETMASK = 255.255.255.0
IPADDR = 218.197.93.115
增加一條靜態(tài)路由:
# route add -net 218.197.93.0 netmask 255.255.255.0
接下來,配置eth1,eth1與192.168.1.0網(wǎng)段相連,分配給它的地址是192.168.1.1,使用ifconfig命令為它配置參數(shù):
# ifconfig eth1 192.168.1.1 netmask 255.255.255.0
編輯/etc/sysconfig/network-scripts/ifcfg-eth1文件,
DEVICE = eth1
ONBOOT = yes
BROADCAST = 192.168.1.255
NETWORK = 192.168.1.0
NETMASK = 255.255.255.0
IPADDR = 192.168.1.1
增加一條靜態(tài)路由:
# route add -net192.168.1.0 netmask 255.255.255.0
最后配置eth2,它連接192.168.2.0網(wǎng)段,分配的IP地址是192.168.2.1,執(zhí)行下列命令:
# ifconfig eth2 192.168.2.1 netmask 255.255.255.0
- 5 -
編輯/etc/sysconfig/network-scripts/ifcfg-eth2文件
DEVICE = eth2
ONBOOT = yes
BROADCAST = 192.168.2.255
NETWORK = 192.168.2.0
NETMASK = 255.255.255.0
IPADDR = 192.168.2.1
增加一條靜態(tài)路由:
# route add -net 192.168.2.0 netmask 255.255.255.0
這樣網(wǎng)絡(luò)中就有三條靜態(tài)路由記錄了:
# route Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface
218,197.93.115 *255.255.255.0U 0 0 0 eth0
192.168.1.0*255.255.255.0U 0 0 0 eth1
192.168.2.0*255.255.255.0U 0 0 0 eth2
還要為系統(tǒng)增加一條缺省路由,因?yàn)槿笔〉穆酚墒前阉械臄?shù)據(jù)包都發(fā)往它的上一級網(wǎng)關(guān),因此增加如下的缺省路由記錄:
# route add default gw 218.197.93.254
這樣系統(tǒng)的靜態(tài)路由表建立完成,它的內(nèi)容是
# route Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface
218,197.93.115 *255.255.255.0U 0 0 0 eth0
192.168.1.0*255.255.255.0U 0 0 0 eth1
192.168.2.0*255.255.255.0U 0 0 0 eth2
default218.197.93.254 0.0.0.0 UG 0 0 0 eth0

二>在C上開啟www,ftp服務(wù):
#service httpd start
#service vsftpd start

三>在防火墻上初始化設(shè)置
◆防火墻上初始化
#service iptables stop
#iptables -F
#iptables -t nat -F
#iptables -X
#iptables -t nat -X
#iptables -Z
#iptables -t nat -Z
#iptables -P INPUT DROP
#iptables -P OUTPUT DROP
#iptables -P FORWARD DROP
#iptables -t nat -P POSTROUTING DROP
#service iptables start
◆最后一步,要增加系統(tǒng)的IP轉(zhuǎn)發(fā)功能,執(zhí)行如下命令打開ip轉(zhuǎn)發(fā)功能:
echo 1 > /proc/sys/net/ipv4/ip_forward
四>在防火墻上實(shí)現(xiàn)端口地址映射:
◆允許A機(jī)器訪問WAN
iptables -A FORWARD -s 192.168.2.0/24 -i eth2 -j ACCEPT
◆A往C的包都允許
iptables -A FORWARD -s 192.168.2.0/24 -d 192.168.1.0/24 -i eth2 -j ACCEPT
◆WAN往A的包都不允許
iptables -t nat -A PREROUTING -s 0.0.0.0/0 -d 192.168.2.0/24 -i eth0 -j DROP
◆允許WAN向內(nèi)部發(fā)送已建立連接的包和相關(guān)連接的包。
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to 218.197.93.115
◆允許WAN發(fā)往www,ftp服務(wù)器的包并把對網(wǎng)關(guān)的www,ftp請求轉(zhuǎn)發(fā)到內(nèi)部的www,ftp服務(wù)器上。
#iptables -t nat -A PREROUTING -p tcp --dport 80 -d 218.197.93.115 -s 0.0.0.0/0 -i eth0 -j DNAT --to 192.168.1.2
#iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 192.168.1.2 -i eth0 --dport 80 -j ACCEPT
#iptables -A FORWARD -p tcp -d 0.0.0.0/0 -s 192.168.1.2 -i eth1 --sport 80 ! --syn -j ACCEPT
#iptables -t nat -A PREROUTING -p tcp --dport 20,21 -d 218.197.93.115 -s 0.0.0.0/0 -i eth0 -j DNAT --to 192.168.1.2
#iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 192.168.1.2 -i eth0 --dport 20,21 -j ACCEPT
#iptables -A FORWARD -p tcp -d 0.0.0.0/0 -s 192.168.1.2 -i eth1 --sport 20,21 ! --syn -j ACCEPT
#iptables -t nat -A PREROUTING -s 0.0.0.0/0 -d 192.168.1.0/24 -i eth0 -j DROP
C不能訪問A,B
iptables -A FORWARD -s 192.168.1.0/24 –d 0.0.0.0/0 -i eth1 -j DROP


熱詞搜索:

上一篇:如何鑒別硬件防火墻性能的差異
下一篇:簡釋iptables防火墻(1)

分享到: 收藏