配置linux下的防火墻路由器和代理服務(wù)器-資料下載頁(yè)
2025-05-16 08:20本頁(yè)面
【正文】 。 允許子網(wǎng)A內(nèi)的主機(jī)對(duì)外發(fā)出請(qǐng)求后返回的TCP數(shù)據(jù)包進(jìn)入子網(wǎng)A；l l 只允許子網(wǎng)A外的客戶(hù)機(jī)連接子網(wǎng)A內(nèi)的客戶(hù)機(jī)的22號(hào)TCP端口，也就是只允許子網(wǎng)A外的主機(jī)對(duì)子網(wǎng)A內(nèi)的主機(jī)進(jìn)行SSH連接；l l 禁止子網(wǎng)A外的主機(jī)ping子網(wǎng)A內(nèi)的主機(jī)，也就是禁止子網(wǎng)A外的ICMP包進(jìn)入子網(wǎng)A。實(shí)驗(yàn)內(nèi)容：用ipchains配置hostA的防火墻，檢測(cè)配置。實(shí)驗(yàn)步驟：u u 配置防火墻1. 1. 登錄到hostA，清空所有鏈中的規(guī)則：ipchains –F2. 2. 添加默認(rèn)策略，允許所有數(shù)據(jù)包通過(guò)：ipchains –P input acceptipchains –P output acceptipchains –P forward accept3. 3. 允許來(lái)自子網(wǎng)A內(nèi)的數(shù)據(jù)包通過(guò)：ipchains –A input –I eth1 –s –j acceptipchains –A input –I eth0 –s –j deny4. 4. 允許子網(wǎng)A外的主機(jī)對(duì)A內(nèi)的主機(jī)進(jìn)行SSH連接，而禁止所有其他的初始化連接：5. ipchains –A input –I eth0 –d ! 22 –p tcp –y –j deny6. 5. 禁止子網(wǎng)A外的主機(jī)ping子網(wǎng)A內(nèi)的主機(jī)：7. ipchains –A input –I eth0 –d –p icmp –j deny8. 6. 查看配置：ipchains –L inputu u 檢測(cè)配置1. 1. 登錄到子網(wǎng)A內(nèi)的一臺(tái)主機(jī)，連接B中的主機(jī)和hostC,檢測(cè)是否能夠連通（不要用ping）。2. 2. 登錄到子網(wǎng)B內(nèi)的一臺(tái)主機(jī)，用SSH命令連接子網(wǎng)A內(nèi)的一臺(tái)開(kāi)有SSH服務(wù)的主機(jī)，看看能否連通: ssh –u root 3. 3. 嘗試連接子網(wǎng)A內(nèi)的主機(jī)的其他服務(wù)端口，看看能否連通。4. 4. 用ping命令檢測(cè)A內(nèi)的主機(jī)。任務(wù)三 配置NAT實(shí)驗(yàn)要求：重新配置hostA和hostB上的路由規(guī)則和防火墻規(guī)則，啟用IP Masquade功能。在hostA上對(duì)子網(wǎng)A內(nèi)的IP地址進(jìn)行偽裝，實(shí)現(xiàn)NAT,使子網(wǎng)A內(nèi)的主機(jī)能夠訪(fǎng)問(wèn)外部網(wǎng)絡(luò)。實(shí)驗(yàn)內(nèi)容：配置路由；配置IP Masquade；檢測(cè)配置。實(shí)驗(yàn)步驟：u u 配置路由1. 1. 登錄到子網(wǎng)hostB,刪除到A的路由：route del –net netmask gw dev eth02. 2. 登錄到子網(wǎng)A中的主機(jī)。測(cè)試一下現(xiàn)在能否連通B內(nèi)的主機(jī)。u u 配置IP Masquade1. 1. 登錄到hostA，保持前面配置好的路由和防火墻規(guī)則不變。2. 2. 配置IP Masquade：ipchains –A forward –I eth0 –s –j MASQ3. 3. 登錄到A內(nèi)的一臺(tái)主機(jī)，用ssh命令連接B內(nèi)開(kāi)放了ssh服務(wù)的主機(jī)，看是否能連接上：ssh –u root 4. 4. 登錄后，用netstat查看一下網(wǎng)絡(luò)連接?？梢钥吹剑簿褪亲泳W(wǎng)A的網(wǎng)關(guān)的外部Ip地址，而不是子網(wǎng)A的主機(jī)本身的IP地址：netstat –at|grep ssh任務(wù)四 配置透明代理實(shí)驗(yàn)要求：在hostC上設(shè)置防火墻規(guī)則，把來(lái)自子網(wǎng)A和B中的客戶(hù)機(jī)的發(fā)往Internet的端口為80的數(shù)據(jù)包，重定向到hostC的Squid的端口，實(shí)現(xiàn)透明代理。實(shí)驗(yàn)步驟：5. 1. 登錄到hostC，配置防火墻規(guī)則：ipchains –P input accecpt ipchains –P output accecpt ipchains –P forward deny ipchains –A input –p tcp –s –d –j redirect 3128 ipchains –A input –p tcp –s –d –j redirect 31286. 2. 登錄到A內(nèi)的一臺(tái)主機(jī)，啟動(dòng)瀏覽器，不設(shè)置代理服務(wù)器，看能否直接連入Internet。任務(wù)五 Squid代理服務(wù)器19. 1. 安裝squid ：＃rpm –Uvh 軟件包名20. 2. 啟動(dòng)服務(wù)：service squid start，然后配置瀏覽器使用localhost作為Proxy并且把端口設(shè)定為3128。21. 3. 嘗試訪(fǎng)問(wèn)一些主頁(yè)。22. 4. 兩個(gè)同學(xué)一組將對(duì)方的主機(jī)當(dāng)作Proxy。這樣子應(yīng)該不能工作。squid返回的頁(yè)面在/var/log/squid/。23. 5. 編輯/etc/squid/。在文件中查找第二次出現(xiàn)Remend minimum configuration的地方。將會(huì)看到缺省的存取控制列表（acl）。在CONNECT method CONNECT 行的下面添加一個(gè)對(duì)于本地網(wǎng)絡(luò)的存取訪(fǎng)問(wèn)列表項(xiàng)目： acl example src 。對(duì)于這個(gè)配置可以把它作為參考以應(yīng)用到其他的任何地方。src是該acl的源IP地址。24. 6. 在文件中查找INSERT YOUR RULE(S) HERE，在localhost acl的上面增加如下的內(nèi)容：_access allow example。重新啟動(dòng)squid。 您的鄰居將能夠訪(fǎng)問(wèn)您的Web緩存了。25. 7. 拒絕訪(fǎng)問(wèn)一些URL。返回到acl的部分，在新添加行的下面添加：acl otherguys 192 .(指定你同組同學(xué)的IP地址)26. 8. 。返回到剛才添加allow的地方，在其下面增加如下行： _access deny otherguys再次重新啟動(dòng)squid，再次檢查這些相關(guān)的域，非常不幸，訪(fǎng)問(wèn)沒(méi)有被拒絕。27. 9. 再次打開(kāi)配置文件，將添加的拒絕規(guī)則放在example的允許規(guī)則之前。也就是說(shuō)，在otherguys拒絕規(guī)則之前的example允許規(guī)則使得訪(fǎng)問(wèn)被允許，但是拒絕沒(méi)有被生效。在移動(dòng)規(guī)則以后，重新啟動(dòng)squid。這回它將禁止訪(fǎng)問(wèn)在任何上面禁止訪(fǎng)問(wèn)的域內(nèi)的站點(diǎn)了。十五. 五. 思考題：7. 1. 能不能使子網(wǎng)A內(nèi)的主機(jī)向hostC發(fā)出的數(shù)據(jù)包，通過(guò)子網(wǎng)B的網(wǎng)關(guān)hostB到達(dá)hostC？這種路由該如何設(shè)置？8. 2. 在hostA上是否可以配置雙向的IP Masquade，使子網(wǎng)A內(nèi)的數(shù)據(jù)包發(fā)往子網(wǎng)B時(shí)對(duì)其進(jìn)行轉(zhuǎn)換；同時(shí)使子網(wǎng)B內(nèi)的發(fā)往子網(wǎng)A內(nèi)的主機(jī)的數(shù)據(jù)包經(jīng)過(guò)hostA時(shí)，也對(duì)其他進(jìn)行地址轉(zhuǎn)換？如何設(shè)置？9. 3. 在客戶(hù)端用ftp從Internet上下載文件能夠使用Squid嗎，如何設(shè)置？
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1