【文章內(nèi)容簡介】 iptables提供了兩個很有用的工具來保存和恢復規(guī)則，這在規(guī)則集較為龐大的時候非常實用。它們分別是 iptablessave和 iptablesrestore。 iptablessave用來保存規(guī)則，它的用法比較簡單，命令格式如下。 iptablessave [c] [t 表名 ] c：保存包和字節(jié)計數(shù)器的值。這可以使在重啟防火墻后不丟失對包和字節(jié)的統(tǒng)計。 t：用來選擇保存哪張表的規(guī)則，如果不跟 t參數(shù)則保存所有的表。 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 4 配置 iptables規(guī)則 當使用 iptablessave命令后可以在屏幕上看到輸出結果，其中 *表示的是表的名字，它下面跟的是該表中的規(guī)則集。 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 4 配置 iptables規(guī)則 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 4 配置 iptables規(guī)則 可以使用重定向命令來保存這些規(guī)則集，如下所示。 [rootserver ～ ] iptables–save /etc/iptablessave iptablesrestore用來裝載由 iptablessave保存的規(guī)則集。其命令格式如下所示。 iptablesrestore [c] [n] c：如果加上 c參數(shù)，表示要求裝入包和字節(jié)計數(shù)器。 n：表示不要覆蓋已有的表或表內(nèi)的規(guī)則。默認情況是清除所有已存在的規(guī)則。 使用重定向來恢復由 iptablessave保存的規(guī)則集，如下所示。 [rootserver ～ ] iptablesrestore /etc/iptablessave 所有的添加、刪除、修改規(guī)則都是臨時生效。當重新啟動系統(tǒng)后，恢復成原有的配置，如果想保持所做的修改在重新啟動系統(tǒng)后依舊生效，可以使用以下命令來保存iptables的規(guī)則配置，如下所示。 [rootiptables /] iptablessave /etc/iptablessave [rootiptables /] service iptables save 將當前規(guī)則保存在 /etc/sysconfig/iptables。 [ 確定 ] 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 5 從常用實例中掌握配置 iptables技巧 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 5 從常用實例中掌握配置 iptables技巧 【 例 912】 禁止員工訪問 IP地址為 。 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 5 從常用實例中掌握配置 iptables技巧 2．禁止用戶使用 軟件 員工上網(wǎng)聊天似乎已經(jīng)成為一種司空見慣的事情，大多數(shù)人對此習以為常。可是在老板的眼里他們并不希望看到這些。所以很多的網(wǎng)絡管理者在部署企業(yè)內(nèi)部網(wǎng)絡的時候都紛紛禁止使用 軟件，早期的 都采用 UDP協(xié)議進行傳輸數(shù)據(jù)，而且所使用的端口通常是從 4 000開始，目前新版本的 既可以使用TCP協(xié)議，也可以使用 UDP協(xié)議，而且端口號也有所改變，這使得封鎖 軟件的難度加大。不過只要知道 使用的服務器地址和端口號依舊可以進行封鎖。 獲取 使用的服務器地址和端口號很容易，進入 安裝目錄，在任意以號碼命名的目錄中找到 ，并用記事本或其他編輯器打開，即可看到 使用的服務器地址和端口號，如圖 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 5 從常用實例中掌握配置 iptables技巧 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 6 使用日志監(jiān)控 iptables 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 6 使用日志監(jiān)控 iptables 可以先將 LOG功能的使用方式理解成以下這樣。 iptables [t 表名 ] 命令 匹配 j LOG 但是這并不完整， LOG目標后面可以跟 5個選項來規(guī)范和完善 LOG功能，例如設置日志記錄的詳細程度，或者是否去跟蹤一個特定地址的數(shù)據(jù)包。當然這5個選項并不是都需要寫出來，不過，我們還是先來看看它們分別是什么意思。 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 6 使用日志監(jiān)控 iptables 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 6 使用日志監(jiān)控 iptables 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 6 使用日志監(jiān)控 iptables 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 2．配置 SNAT SNAT功能是進行源 IP地址轉(zhuǎn)換，也就是重寫數(shù)據(jù)包的源 IP地址。若網(wǎng)絡內(nèi)部主機采用共享方式，訪問 Inter連接時就需要用到 SNAT的功能，將本地的 IP地址替換為公網(wǎng)的合法 IP地址。 SNAT只能用在 nat表的 POSTROUTING鏈，并且只要連接的第一個符合條件的包被 SNAT進行地址轉(zhuǎn)換，那么這個連接的其他所有的包都會自動地完成地址替換工作，而且這個規(guī)則還會應用于這個連接的其他數(shù)據(jù)包。 SNAT使用選項tosource，命令語法如下。 iptables t nat A POSTROUTING o 網(wǎng)絡接口 j SNAT tosource IP地址 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 【 例 913】 公司內(nèi)部主機使用 ，并且使用 Linux主機作為服務器連接互聯(lián)網(wǎng)，外網(wǎng)地址為固定地址 ，現(xiàn)需要修改相關設置保證內(nèi)網(wǎng)用戶能夠正常訪問 Inter，如圖 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） DNAT主要能夠完成以下幾個功能。 （ 1）發(fā)布內(nèi)網(wǎng)服務器。 iptables能夠接收外部的請求數(shù)據(jù)包，并轉(zhuǎn)發(fā)至內(nèi)部的應用服務器，整個過程是透明的，訪問者感覺像直接在與內(nèi)網(wǎng)服務器進行通信一樣，如圖 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） （ 2）實現(xiàn)負載均衡。 如果內(nèi)部網(wǎng)絡存在多臺相同類型應用的服務器，可以使用 DNAT，將外部的訪問流量分配到多臺 Server上，實現(xiàn)負載均衡，減輕服務器的負擔。 【 例 915】 公司內(nèi)部共有 3臺數(shù)據(jù)相同的 Web服務器， IP地址分別為 、 ，防火墻外部地址為，為了提高頁面的響應速度，需要對 Web服務進行優(yōu)化。 [rootserver ～ ] iptables t nat A PREROUTING d p tcp dport 80 j DNAT –todestination 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 5．連接跟蹤 （ 1）什么是連接跟蹤。 通常，在 iptables防火墻的配置都是單向的，例如，防火墻僅在 INPUT鏈允許主機訪問 Google站點，這時，請求數(shù)據(jù)包能夠正常發(fā)送至 Google服務器，但是，當服務器的回應數(shù)據(jù)包抵達時，因為沒有配置允許的策略，則該數(shù)據(jù)包將會被丟棄，無法完成整個通信過程。所以，配置 iptables時需要配置出站、入站規(guī)則，這無疑增大了配置的復雜度。實際上，連接跟蹤能夠簡化該操作。 連接跟蹤依靠數(shù)據(jù)包中的特殊標記，對連接狀態(tài)“ state”進行檢測， Netfilter能夠根據(jù)狀態(tài)決定數(shù)據(jù)包的關聯(lián)，或者分析每個進程對應數(shù)據(jù)包的關系，決定數(shù)據(jù)包的具體操作。連接跟蹤支持 TCP和 UDP通信，更加適用于數(shù)據(jù)包的交換。 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 7 實現(xiàn) NAT（網(wǎng)絡地址轉(zhuǎn)換） 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 8 安裝、啟動與停止 Squid服務 對于 Web用戶來說， Squid是一個高性能的代理緩存服務器，可以加快內(nèi)部網(wǎng)瀏覽 Inter的速度，提高客戶機的訪問命中率。 Squid將數(shù)據(jù)元緩存在內(nèi)存中，同時也緩存 DNS查尋的結果，除此之外，它還支持非模塊化的 DNS查詢，對失敗的請求進行消極緩存。 Squid由一個主要的服務程序 Squid，一個 DNS查詢程序dnsserver，幾個重寫請求和執(zhí)行認證的程序，以及幾個管理工具組成。 Squid的另一個優(yōu)越性在于它使用訪問控制清單（ ACL）和訪問權限清單（ ARL）。 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 8 安裝、啟動與停止 Squid服務 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 8 安裝、啟動與停止 Squid服務 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 8 安裝、啟動與停止 Squid服務 2．啟動、停止 Squid服務 啟動和重新啟動 Squid服務的命令和界面如下所示。 網(wǎng)絡服務器搭建、配置與管理 —— Linux版 任務 8 安裝、啟動與停止 Squid服務 3．自動加載 Squid服務 （ 1）使用