【文章內(nèi)容簡(jiǎn)介】 iptables提供了兩個(gè)很有用的工具來(lái)保存和恢復(fù)規(guī)則，這在規(guī)則集較為龐大的時(shí)候非常實(shí)用。它們分別是 iptablessave和 iptablesrestore。 iptablessave用來(lái)保存規(guī)則，它的用法比較簡(jiǎn)單，命令格式如下。 iptablessave [c] [t 表名 ] c：保存包和字節(jié)計(jì)數(shù)器的值。這可以使在重啟防火墻后不丟失對(duì)包和字節(jié)的統(tǒng)計(jì)。 t：用來(lái)選擇保存哪張表的規(guī)則，如果不跟 t參數(shù)則保存所有的表。 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 4 配置 iptables規(guī)則 當(dāng)使用 iptablessave命令后可以在屏幕上看到輸出結(jié)果，其中 *表示的是表的名字，它下面跟的是該表中的規(guī)則集。 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 4 配置 iptables規(guī)則 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 4 配置 iptables規(guī)則 可以使用重定向命令來(lái)保存這些規(guī)則集，如下所示。 [rootserver ～ ] iptables–save /etc/iptablessave iptablesrestore用來(lái)裝載由 iptablessave保存的規(guī)則集。其命令格式如下所示。 iptablesrestore [c] [n] c：如果加上 c參數(shù)，表示要求裝入包和字節(jié)計(jì)數(shù)器。 n：表示不要覆蓋已有的表或表內(nèi)的規(guī)則。默認(rèn)情況是清除所有已存在的規(guī)則。 使用重定向來(lái)恢復(fù)由 iptablessave保存的規(guī)則集，如下所示。 [rootserver ～ ] iptablesrestore /etc/iptablessave 所有的添加、刪除、修改規(guī)則都是臨時(shí)生效。當(dāng)重新啟動(dòng)系統(tǒng)后，恢復(fù)成原有的配置，如果想保持所做的修改在重新啟動(dòng)系統(tǒng)后依舊生效，可以使用以下命令來(lái)保存iptables的規(guī)則配置，如下所示。 [rootiptables /] iptablessave /etc/iptablessave [rootiptables /] service iptables save 將當(dāng)前規(guī)則保存在 /etc/sysconfig/iptables。 [ 確定 ] 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 5 從常用實(shí)例中掌握配置 iptables技巧 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 5 從常用實(shí)例中掌握配置 iptables技巧 【 例 912】 禁止員工訪問(wèn) IP地址為 。 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 5 從常用實(shí)例中掌握配置 iptables技巧 2．禁止用戶使用 軟件 員工上網(wǎng)聊天似乎已經(jīng)成為一種司空見(jiàn)慣的事情，大多數(shù)人對(duì)此習(xí)以為常?？墒窃诶习宓难劾锼麄儾⒉幌Ｍ吹竭@些。所以很多的網(wǎng)絡(luò)管理者在部署企業(yè)內(nèi)部網(wǎng)絡(luò)的時(shí)候都紛紛禁止使用 軟件，早期的 都采用 UDP協(xié)議進(jìn)行傳輸數(shù)據(jù)，而且所使用的端口通常是從 4 000開(kāi)始，目前新版本的 既可以使用TCP協(xié)議，也可以使用 UDP協(xié)議，而且端口號(hào)也有所改變，這使得封鎖 軟件的難度加大。不過(guò)只要知道 使用的服務(wù)器地址和端口號(hào)依舊可以進(jìn)行封鎖。 獲取 使用的服務(wù)器地址和端口號(hào)很容易，進(jìn)入 安裝目錄，在任意以號(hào)碼命名的目錄中找到 ，并用記事本或其他編輯器打開(kāi)，即可看到 使用的服務(wù)器地址和端口號(hào)，如圖 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 5 從常用實(shí)例中掌握配置 iptables技巧 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 6 使用日志監(jiān)控 iptables 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 6 使用日志監(jiān)控 iptables 可以先將 LOG功能的使用方式理解成以下這樣。 iptables [t 表名 ] 命令 匹配 j LOG 但是這并不完整， LOG目標(biāo)后面可以跟 5個(gè)選項(xiàng)來(lái)規(guī)范和完善 LOG功能，例如設(shè)置日志記錄的詳細(xì)程度，或者是否去跟蹤一個(gè)特定地址的數(shù)據(jù)包。當(dāng)然這5個(gè)選項(xiàng)并不是都需要寫出來(lái)，不過(guò)，我們還是先來(lái)看看它們分別是什么意思。 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 6 使用日志監(jiān)控 iptables 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 6 使用日志監(jiān)控 iptables 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 6 使用日志監(jiān)控 iptables 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 2．配置 SNAT SNAT功能是進(jìn)行源 IP地址轉(zhuǎn)換，也就是重寫數(shù)據(jù)包的源 IP地址。若網(wǎng)絡(luò)內(nèi)部主機(jī)采用共享方式，訪問(wèn) Inter連接時(shí)就需要用到 SNAT的功能，將本地的 IP地址替換為公網(wǎng)的合法 IP地址。 SNAT只能用在 nat表的 POSTROUTING鏈，并且只要連接的第一個(gè)符合條件的包被 SNAT進(jìn)行地址轉(zhuǎn)換，那么這個(gè)連接的其他所有的包都會(huì)自動(dòng)地完成地址替換工作，而且這個(gè)規(guī)則還會(huì)應(yīng)用于這個(gè)連接的其他數(shù)據(jù)包。 SNAT使用選項(xiàng)tosource，命令語(yǔ)法如下。 iptables t nat A POSTROUTING o 網(wǎng)絡(luò)接口 j SNAT tosource IP地址 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 【 例 913】 公司內(nèi)部主機(jī)使用 ，并且使用 Linux主機(jī)作為服務(wù)器連接互聯(lián)網(wǎng)，外網(wǎng)地址為固定地址 ，現(xiàn)需要修改相關(guān)設(shè)置保證內(nèi)網(wǎng)用戶能夠正常訪問(wèn) Inter，如圖 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） DNAT主要能夠完成以下幾個(gè)功能。 （ 1）發(fā)布內(nèi)網(wǎng)服務(wù)器。 iptables能夠接收外部的請(qǐng)求數(shù)據(jù)包，并轉(zhuǎn)發(fā)至內(nèi)部的應(yīng)用服務(wù)器，整個(gè)過(guò)程是透明的，訪問(wèn)者感覺(jué)像直接在與內(nèi)網(wǎng)服務(wù)器進(jìn)行通信一樣，如圖 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） （ 2）實(shí)現(xiàn)負(fù)載均衡。 如果內(nèi)部網(wǎng)絡(luò)存在多臺(tái)相同類型應(yīng)用的服務(wù)器，可以使用 DNAT，將外部的訪問(wèn)流量分配到多臺(tái) Server上，實(shí)現(xiàn)負(fù)載均衡，減輕服務(wù)器的負(fù)擔(dān)。 【 例 915】 公司內(nèi)部共有 3臺(tái)數(shù)據(jù)相同的 Web服務(wù)器， IP地址分別為 、 ，防火墻外部地址為，為了提高頁(yè)面的響應(yīng)速度，需要對(duì) Web服務(wù)進(jìn)行優(yōu)化。 [rootserver ～ ] iptables t nat A PREROUTING d p tcp dport 80 j DNAT –todestination 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 5．連接跟蹤 （ 1）什么是連接跟蹤。 通常，在 iptables防火墻的配置都是單向的，例如，防火墻僅在 INPUT鏈允許主機(jī)訪問(wèn) Google站點(diǎn)，這時(shí)，請(qǐng)求數(shù)據(jù)包能夠正常發(fā)送至 Google服務(wù)器，但是，當(dāng)服務(wù)器的回應(yīng)數(shù)據(jù)包抵達(dá)時(shí)，因?yàn)闆](méi)有配置允許的策略，則該數(shù)據(jù)包將會(huì)被丟棄，無(wú)法完成整個(gè)通信過(guò)程。所以，配置 iptables時(shí)需要配置出站、入站規(guī)則，這無(wú)疑增大了配置的復(fù)雜度。實(shí)際上，連接跟蹤能夠簡(jiǎn)化該操作。 連接跟蹤依靠數(shù)據(jù)包中的特殊標(biāo)記，對(duì)連接狀態(tài)“ state”進(jìn)行檢測(cè)， Netfilter能夠根據(jù)狀態(tài)決定數(shù)據(jù)包的關(guān)聯(lián)，或者分析每個(gè)進(jìn)程對(duì)應(yīng)數(shù)據(jù)包的關(guān)系，決定數(shù)據(jù)包的具體操作。連接跟蹤支持 TCP和 UDP通信，更加適用于數(shù)據(jù)包的交換。 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 7 實(shí)現(xiàn) NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換） 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 8 安裝、啟動(dòng)與停止 Squid服務(wù) 對(duì)于 Web用戶來(lái)說(shuō)， Squid是一個(gè)高性能的代理緩存服務(wù)器，可以加快內(nèi)部網(wǎng)瀏覽 Inter的速度，提高客戶機(jī)的訪問(wèn)命中率。 Squid將數(shù)據(jù)元緩存在內(nèi)存中，同時(shí)也緩存 DNS查尋的結(jié)果，除此之外，它還支持非模塊化的 DNS查詢，對(duì)失敗的請(qǐng)求進(jìn)行消極緩存。 Squid由一個(gè)主要的服務(wù)程序 Squid，一個(gè) DNS查詢程序dnsserver，幾個(gè)重寫請(qǐng)求和執(zhí)行認(rèn)證的程序，以及幾個(gè)管理工具組成。 Squid的另一個(gè)優(yōu)越性在于它使用訪問(wèn)控制清單（ ACL）和訪問(wèn)權(quán)限清單（ ARL）。 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 8 安裝、啟動(dòng)與停止 Squid服務(wù) 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 8 安裝、啟動(dòng)與停止 Squid服務(wù) 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 8 安裝、啟動(dòng)與停止 Squid服務(wù) 2．啟動(dòng)、停止 Squid服務(wù) 啟動(dòng)和重新啟動(dòng) Squid服務(wù)的命令和界面如下所示。 網(wǎng)絡(luò)服務(wù)器搭建、配置與管理 —— Linux版 任務(wù) 8 安裝、啟動(dòng)與停止 Squid服務(wù) 3．自動(dòng)加載 Squid服務(wù) （ 1）使用