項目11配置防火墻與代理服務器(編輯修改稿)
2025-02-09 04:44 本頁面
【文章內容簡介】 HEL4 ~] iptables F //2. 禁止 iptables防火墻轉發(fā)任何數據包 [rootRHEL4 ~] iptables P FORWARD DROP //3. 建立來自 Inter網絡的數據包的過濾規(guī)則 iptables A FORWARD –p tcp –d –p tcp dport 80 i eth0 j ACCEPT iptables A FORWARD –p tcp –d p tcp dport 53 i eth0 j ACCEPT iptables A FORWARD –p tcp –d p tcp dport 25 i eth0 j ACCEPT iptables A FORWARD –p tcp –d p tcp dport 110 i eth0 j ACCEPT //4. 接受來自內網的數據包通過 [rootRHEL4 ~] iptables A FORWARD –s –j ACCEPT //5. 對于所有的 ICMP數據包進行限制，允許每秒通過一個數據包，該限制的觸發(fā)條件是 10個包 [rootRHEL4 ~] iptables A FORWARD p icmp m limit limit 1/s limitburst 10 j ACCEPT 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 35 NAT ?NAT的基本知識 ?使用 iptables實現 NAT 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 36 NAT的基本知識 ? NAT的主要功能： （ 1）從 Intra傳出的數據包由 NAT將它們的專用地址轉換為公用地址。 （ 2）從 Inter傳入的數據包由 NAT將它們的公用地址轉換為專用地址。 （ 3）支持多重服務器和負載均衡。 （ 4）實現透明代理 。 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 37 NAT的基本知識 ? NAT的工作過程： （ 1）客戶機將數據包發(fā)給運行 NAT的計算機。 （ 2） NAT將數據包中的端口號和專用的 IP地址換成它自己的端口號和公用的 IP地址，然后將數據包發(fā)給外部網絡的目的主機，同時記錄一個跟蹤信息在映像表中，以便向客戶機發(fā)送回答信息。 （ 3）外部網絡發(fā)送回答信息給 NAT。 （ 4） NAT將所收到的數據包的端口號和公用 IP地址轉換為客戶機的端口號和內部網絡使用的專用 IP地址并轉發(fā)給客戶機。 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 38 NAT的基本知識 ? NAT的工作過程示意圖： 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 39 NAT的基本知識 ? NAT的分類： （ 1）源 NAT（ Source NAT， SNAT）。 SNAT指修改第一個包的源 IP地址。 SNAT會在包送出之前的最后一刻做好 PostRouting的動作。Linux中的 IP偽裝（ MASQUERADE）就是 SNAT的一種特殊形式。 （ 2）目的 NAT（ Destination NAT， DNAT）。 DNAT是指修改第一個包的目的 IP地址。 DNAT總是在包進入后立刻進行 PreRouting動作。端口轉發(fā)、負載均衡和透明代理均屬于 DNAT。 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 40 使用 Iptables實現 NAT ? 用戶根據規(guī)則所處理的信息包類型，使用 iptables命令設置 NAT規(guī)則： 要做源 IP地址轉換的數據包的規(guī)則被添加到POSTROUTING鏈中。 要做目的 IP地址轉換的數據包的規(guī)則被添加到PREROUTING鏈中。 直接從本地出去的數據包的規(guī)則被添加到 OUTPUT鏈中。 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 41 使用 Iptables實現 NAT ? 數據包穿越 NAT的工作流程示意圖： 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 42 使用 Iptables實現 NAT 【例 10】假設某企業(yè)網中 NAT服務器安裝了雙網卡， eth0連接外網， eth1連接內網， IP地址為 。企業(yè)內部網絡的客戶機都只有私有 IP地址。利用 NAT服務使企業(yè)內部網絡的計算機能夠連接Inter網絡 。 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 43 【例 10】的解決方案 1 ? 假設 eth0的 IP地址是靜態(tài)分配的。公網 IP地址池為 。此時應作 SNAT，iptables命令的 j參數的語法格式為： j SNAT tosource/to IP1[IP2]:[port1] [port2]] ? 配置步驟： 打開 Linux的內核轉發(fā)功能。 [rootRHEL4 ~] echo “ 1” /proc/sys//ipv4/ip_forward 實現 SNAT。 [rootRHEL4 ~] iptables –t nat –A POSTROUTING –p tcp –o eth0 –j SNAT to :1025:30000 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 44 【例 10】的解決方案 2 ? 假設連接外網的接口是利用 ADSL撥號連接的 ppp0。 此時應作 IP偽裝， iptables命令的 j參數的語法格式為： j MASQUERADE ? 配置步驟： 打開 Linux的內核轉發(fā)功能。 [rootRHEL4 ~] echo “ 1” /proc/sys//ipv4/ip_forward 實現 IP偽裝。 [rootRHEL4 ~] iptables –t nat –A POSTROUTING –o ppp0 j MASQUERADE 中國水利水電出版社 Linux網絡服務器配置管理項目實訓教程 45 使用 Iptables實現 NAT 【例 11】假設某企業(yè)網中 NAT服務器安裝了雙網卡， e
環(huán)評公示相關推薦
鄂ICP備17016276號-1