Netfilter防火墙在校园网中的应用.pdfVIP

· 信息安全技术及应用 · Netfilter防火墙在校园网中的应用 周明俊 (湛江师范学院网络与教育技术中心，广东 湛江 524048) 摘 要：介绍了基于Linux操作系统下的防火墙，并给出了一个在校园网环境下用Net-filter实现的防火墙的具体实例。 关键词 ：Linux； Netfilter防火墙 ；校 园网 中图分类号：TP393．08 文献标识码 ：A Application ofFirewallBased on Netfilterin the campusIntranet ZHOU Ming-jun (ZhanjiangNormalUniversityofNetworkandEducationTechnologyCenter，Guangdong Zha@ang 524048) Key words：Linux；firewall；Netfilter；campusIntranet 校园网络作为学校重要的基础设施 ，其安全状况直接影响 修改等操作；用户接口程序负责接收用户的命令，并且将用户命 着学校的教学活动。在校园网运行过程中频繁出现一些安全问 令添加到内核中3【】。Iptables内建立了3个表，filter表、nat表和 题 ，严重影响了校园网的稳定运行，干扰了学校的正常秩序。使 mangle表，它们分别用于实现包过滤、网络地址转换和包重构的 用防火墙是保障校园网正常运行的有效措施，而专业的防火墙 功能。 产品，一般的学校限于财力、技术实力往往不易采用。本文提出 (1)包过滤 ：fiher表不会对数据报进行修改，而只对数据 在校园网中利用Linux系统构建具有综合功能的防火墙，降低了 报进 行过滤 。Iptables是通过钩子 函数 NF_IPLOCAL_IN， 防火墙系统构架成本的同时也提高了校园网的网络安全。 NF_lP—FORWARD，NF_IP_LOCAL_OUT接人Netfilter。 1 LINUX防火墙系统工作原理 (2)NAT：NAT 表 监 听 三 个 Netfiher钩 子 函 数 ： NF IP PRE ROUTING，NF IP — — — _ _ POST ROUTING 和 NF—IP—LO— Linux环境下防火墙系统包括两个方面 ：Netfiher结构化底 _ CAL OUT、NF IP PRE 层框架和数据包选择工具Iptables _ — — — ROUTING实现对需要转发数据报的源 1．1Netfiher框架结构 地址进行转换，而NF_IP_POST_ROUTING则对需要转发的数 Netfiher提供了一种功能扩展机制，内核模块通过调用注册 据报 目的地址进行地址转换。对于本地数据报的地址转换，则 函数，可以将 自身的处理函数注册为Netfilter的功能函数，称为 是由NF—IP—LOCAL_OUT来实现的。 钩子函数。而且Netfiher为不同的协议定义了不同的钩子函数检 (3)数据报处~：mangle表格在NF_IPPRE—ROUTING和 测点，称为钩子O,,(HOOK)。在数据包处理过程中，当数据包流过 NF_IP—LOCALOUT钩子中进行注册。使