linux下iptables網(wǎng)絡(luò)防火墻的研究及實(shí)現(xiàn)-文庫吧資料
2025-06-29 19:38本頁面
【正文】 希望在每次啟動系統(tǒng)時自動恢復(fù)該規(guī)則集，可以將上面指定的這條命令放到任何一個初始化shell腳本中，或如下的命令來保存規(guī)則：[rootlocal ~] service iptables save第四章 iptables實(shí)現(xiàn)NAT服務(wù) NAT服務(wù)概述1. 什么是NATNAT（Network Address Translation，網(wǎng)絡(luò)地址轉(zhuǎn)換）是一個根據(jù)RFC1631開發(fā)的IETF標(biāo)準(zhǔn)。所以如果用戶將沒有錯誤且有效的規(guī)則集添加到數(shù)據(jù)包過濾表，則時希望在重啟系統(tǒng)之后再次使用這些規(guī)則，必須將該規(guī)則集保存在文件中。 例：將filter表中的所有包計(jì)數(shù)器清零。 例：清除filter表中INPUT鏈中的全部規(guī)則。如果規(guī)則比較多，一條條刪除就會十分麻煩這時可以使用iptables提供的清除規(guī)則選項(xiàng)達(dá)到快速刪除所有規(guī)則的目的。 例：將INPUT、FORWARD和OUTPUT鏈的默認(rèn)策略設(shè)置為ACCEPT。[rootlocal ~] iptables I INPUT 3 s –j ACCEPT[rootlocal ~] iptables L INPUT（4）刪除規(guī)則 命令用法：iptables [t 表名] D 鏈名 匹配選項(xiàng) j 動作 或：iptables [t 表名] D 鏈名 規(guī)則號 命令功能：刪除指定的規(guī)則或指定編號的規(guī)則 例：刪除上例中被替換的第3條規(guī)則。（3）替換規(guī)則 命令用法：iptables [t 表名] R 鏈名 規(guī)則號 匹配選項(xiàng) j 動作 命令功能：將指定編號的規(guī)則替換為新的規(guī)則。[rootlocal ~] iptables I INPUT 3 s –j DROP[rootlocal ~] iptables L INPUT例:在第4條規(guī)則前插入一條規(guī)則，拒絕所有主機(jī)PING本機(jī)。若未指定規(guī)則號，則默認(rèn)為1，即插入在所有規(guī)則的前面。 例:向filter表的INPUT鏈添加一條規(guī)則。[rootlocal ~] iptables N mychain（3）刪除鏈命令用法：iptables X 鏈名命令功能：刪除指定的用戶自定義鏈例:刪除新建的mychain鏈。表33 iptables的主要目標(biāo)動作選項(xiàng) iptables命令的使用1. 對鏈的操作（1）查看鏈命令用法：iptables L [鏈]命令功能：列出指定表的全部鏈及其規(guī)則例:列出filter表的全部規(guī)則鏈。其形式為“j target/jump”，其中“target”是對包的處理動作，“jump”代表一個用戶自定義的鏈名，用于跳轉(zhuǎn)到該鏈進(jìn)行規(guī)則檢查。主要的匹配選項(xiàng)如表32所示。表31 iptables的主要命令選項(xiàng)3. 鏈名選項(xiàng)“鏈”指定要操作的鏈名，除使用系統(tǒng)定義的鏈名外，用戶也可自定義鏈名。2. 命令選項(xiàng)命令選項(xiàng)用來指定對鏈或規(guī)則的操作，包括插入、刪除、添加規(guī)則等。打開Linux內(nèi)核包轉(zhuǎn)發(fā)功能，可使用以下命令來實(shí)現(xiàn) [rootlocal ~] echo “1” /proc/sys/net/ipv4/ip_forward 上述命令只是一次性有效，為了讓主機(jī)每次開機(jī)后都自動激活I(lǐng)P數(shù)據(jù)包轉(zhuǎn)發(fā)功能，可以采用編輯配置文件/etc/，將其中的語句：=0 =1執(zhí)行如下命令： [rootlocal ~] sysctl p即可讓系統(tǒng)啟動后自動打開內(nèi)核的包轉(zhuǎn)發(fā)功能。若是防火墻主機(jī)本地進(jìn)程產(chǎn)生并準(zhǔn)備發(fā)出的包，則數(shù)據(jù)包被送往OUTPUT鏈進(jìn)行規(guī)則檢查。圖21 iptables數(shù)據(jù)包傳輸?shù)倪^程由圖可知，當(dāng)一個數(shù)據(jù)包進(jìn)入計(jì)算機(jī)的網(wǎng)絡(luò)接口時，數(shù)據(jù)首先進(jìn)入POSTROUTING鏈，然后內(nèi)核根據(jù)路由表決定數(shù)據(jù)包的目標(biāo)。（3）mangle表某些特殊應(yīng)用可能需要改寫數(shù)據(jù)包的一些傳輸特性，例如更改數(shù)據(jù)包的TTL和TOS等，mangle表主要用于對指定包的傳輸特性進(jìn)行修改。NAT表包含了PREROUTING鏈、OUTPUT鏈和POSTROUTING鏈。在filter表中只允許對數(shù)據(jù)包進(jìn)行接收、丟棄的操作，而無法對數(shù)據(jù)包進(jìn)行更改。（1）filter表filter表是iptables默認(rèn)的表，如果沒有指定使用哪個表，iptables默認(rèn)使用filter表來執(zhí)行所有的命令。216。216。216。圖13 “配置應(yīng)用程序”窗口選擇Firewall configuration選項(xiàng)，則會進(jìn)入防火墻配置窗口如圖14。由于系統(tǒng)的防火墻功能是使用iptables實(shí)現(xiàn)的，因此系統(tǒng)會根據(jù)用戶的設(shè)置在iptables中添加相應(yīng)的規(guī)則。 Linux防火墻的安裝、啟動和關(guān)閉iptables防火墻內(nèi)置于RedHat系統(tǒng)內(nèi)核中，所以它是隨系統(tǒng)的安裝而自動安裝的。（2）iptables組件iptables組件是一個用來指定netfilter規(guī)則和管理內(nèi)核包過濾的工具，用戶通過它來創(chuàng)建、刪除或插入鏈，并可以在鏈中插入、刪除和修改過濾規(guī)則。每條規(guī)則應(yīng)指定所要檢查的包的特征以及如何處理與這對應(yīng)的包，這被稱為目標(biāo)（target）。每個表中包含有若干條內(nèi)建的鏈（chains），用戶可在表中創(chuàng)建自定義的鏈。（1）netfilter組件netfilter是Linux內(nèi)核中的一個用于擴(kuò)展各種網(wǎng)絡(luò)服務(wù)的結(jié)構(gòu)化底層框架。 iptables只是防火墻與用戶之間的接口，真正起到防火墻作用的是Linux內(nèi)核中運(yùn)行的netfilter。216。216。216。 Linux包過濾防火墻的架構(gòu)iptables是一個免費(fèi)的包過濾防火墻，它伴隨著內(nèi)核的發(fā)展而逐漸演變，大致經(jīng)歷了下面4個階段： 216。應(yīng)用級網(wǎng)關(guān)比單一的包過濾更為可靠，而且會詳細(xì)地記錄所有的訪問狀態(tài)信息。（2）應(yīng)用級網(wǎng)關(guān)（Applicationlevel Gateway） 應(yīng)用級網(wǎng)關(guān)又稱代理服務(wù)器。包過濾防火墻的優(yōu)點(diǎn)是它對于用戶來說是透明的，處理速度快，而且由于工作在網(wǎng)絡(luò)層和傳輸層，與應(yīng)用層無關(guān)，因此不用改動客戶機(jī)和主機(jī)上的應(yīng)用程序，易于安裝和維護(hù)。（1）包過濾防火墻（Packet Filter） 包過濾防火墻通常安裝在路由器或者安裝了網(wǎng)絡(luò)操作系統(tǒng)的主機(jī)上。第五代防火墻1998年，NAI公司推出了一種自適應(yīng)代理(Adaptive proxy)技術(shù)，并在其產(chǎn)品Gauntlet Firewall for NT中得以實(shí)現(xiàn)，給代理類型的防火墻賦予了全新的意義，可以稱之為第五代防火墻。第四代防火墻1992年，USC信息科學(xué)院的BobBraden開發(fā)出了基于動態(tài)包過濾(Dynamic packet filter)技術(shù)的第
黨政相關(guān)相關(guān)推薦
鄂ICP備17016276號-1