Linux网络服务器配置管理项目实训教程电子教案杨云 项目11 配置防火墙与代理服务器.pptVIP

Linux网络服务器配置管理项目实训教程 杨云 马立新 杨建新 编著 中国水利水电出版社 课题引入：防火墙与代理服务器 防火墙是一种非常重要的网络安全工具，利用防火墙可以保护企业内部网络免受外网的威胁，作为网络管理员，掌握防火墙的安装与配置非常重要。本章重点介绍Iptables和SQUID两类防火墙的配置。 防火墙与代理服务器 防火墙的分类 防火墙的工作原理 Iptables NAT SQUID代理服务器 学习目标 掌握防火墙的分类及工作原理 掌握Iptables防火墙和SQUID代理服务器的配置 掌握NAT及透明代理的实现方法 防火墙的分类 包过滤型防火墙 代理服务器型防火墙 防火墙的分类 防火墙技术用于实现内外网之间访问的安全性。 防火墙的两种主要类型： 包过滤型防火墙 代理服务器（应用防火墙） 包过滤型防火墙 包过滤型防火墙内置于Linux系统的内核，在网络层或传输层对经过的数据包进行筛选。筛选的依据是系统内设置的过滤规则（ACL）。通过检查数据流中每个数据包的源地址、目的地址、所有的协议、端口号等因素，来决定是否允许该数据包通过。如图所示是包过滤型防火墙常用的一种模式，主要用来阻隔来自外网对内部网络的威胁。 代理服务器型防火墙 代理服务器型防火墙是应用网关型防火墙，通常工作在应用层。代理服务器实际上是运行在防火墙上的一种服务器程序。服务器监听客户机的请求，如申请浏览网页等。当内网的客户机请求与外网的真实服务器连接时，客户端首先连接代理服务器，然后再由代理服务器与外网真实的服务器建立连接，取得客户想要的信息，代理服务器再把信息返回给客户。 防火墙的工作原理 包过滤型防火墙工作原理 代理服务器型防火墙工作原理 包过滤型防火墙工作原理 包过滤型防火墙的工作过程： （1）数据包从外网传送给防火墙后，防火墙在IP层向TCP层传输数据前，将数据包转发给包检查模块进行处理。 （2）首先与第一条过滤规则进行比较。 （3）如果与第一条规则匹配，则进行审核，判断是否允许传输该数据包，如果允许则传输，否则查看该规则是否阻止该数据包通过，如果阻止则将该数据包丢弃。 （4）如果与第一条过滤规则不同，则查看是否还有下一条规则。如果有，则与下一条规则匹配，如果匹配成功，则进行与（3）相同的审核过程。 （5）依此类推，一条一条规则匹配，直到最后一条过滤规则。如果该数据包与所有的过滤规则均不匹配，则采用防火墙的默认访问控制策略策略（丢掉该数据包，或允许该数据包通过）。 包过滤型防火墙工作原理 代理服务器型防火墙工作原理 代理服务器型防火墙是应用层防火墙，它能提供部分与传输有关的状态，能提供与应用相关的状态和部分传输的信息，工作原理如右图所示。 代理服务器型防火墙工作原理 代理服务器型防火墙的工作过程： （1）主机A向代理服务器发送一个访问因特网的请求。 （2）代理服务器将检测ACL（访问列表）中的设置。 （3）如果主机A所需要的信息已经存在，代理服务器将直接将其发送给主机A。否则，服务器将代替主机A访问因特网。 （4）因特网将主机A所需要的信息发送给代理服务器，这些信息将被保存在缓存中。 （5）代理服务器将这些信息发送给主机A。 （6）主机B向代理服务器发送一个访问同样信息的请求。 （7）代理服务器将检测ACL（访问列表）中的设置。 （8）服务器直接将已保存的信息发送给主机B。 防火墙的工作原理 Netfilter/iptables架构 iptables传输数据包的过程 iptables命令 iptables命令使用举例 Netfilter/iptables架构 从1.1内核开始，Linux下的包过滤系统经历了3个阶段： 在2.0内核中，采用ipfwadm来操作内核包过滤规则。 在2.2内核中，采用ipchains来控制内核包过滤规则。 在2.4内核中，采用了一个全新的内核包过滤管理工具――iptables。 Netfilter/iptables最早是与2.4内核版本的Linux系统集成的IP信息包过滤系统。它由Netfilter和iptables两个组件组成。 Netfilter/iptables架构 Netfilter组件称为内核空间，它集成在Linux的内核中。主要由信息包过滤表（tables）组成，而表由若干个链组成，每条链中可以由一条或者多条规则组成。总的来说，Netfilter是表的容器，表是链的容器，而链又是规则的容器。 Netfilter/iptables架构 （1）规则。规则存储在内核的包过滤表中，分别指定了源、目的IP地址、传输协议、服务类型等。当数据包与规则匹配时，就根据规则所