Linux系统及网络管理 教学课件 作者 胡耀民 厉伟 第14章 配置防火墙.pptVIP

第14章 配置防火墙 防火墙概述 14.1 IP包过滤与网络地址转换 14.2 使内核支持防火墙 14.3 14.1 防火墙概述 14.1.1 防火墙的概念 所谓防火墙就是一个或一组网络设备（计算机或路由器等），可用来在两个或多个网络间加强访问控制。 14.1.2 防火墙的功能和特点 1．防火墙的功能 （1）包过滤 （2）审计和报警机制 （3）远程管理 （4）NAT （5）代理 （6）MAC与IP地址的绑定 （7）流量控制（带宽管理）和统计分析、流量计费 （8）VPN （9）URL级信息过滤 2．防火墙的特点 （1）防火墙是网络安全的屏障 （2）防火墙可以强化网络安全策略 （3）对网络存取和访问进行监控审计 （4）防止内部信息的外泄 14.1.3 防火墙的基本分类 1．包过滤防火墙 2．状态\动态检测防火墙 3．应用程序代理防火墙 4．NAT 14.2 IP包过滤与网络地址转换 14.2.1 netfilter简介 14.2.2 IP包过滤 filter表用于实现IP封包的过滤处理。 图14-2 filter表中封包的处理流程 14.2.3 网络地址转换 1．NAT简介 网络地址转换（Network Address Translation）通常也简称为NAT。 2．NAT的工作原理 NAT的工作原理如图14-3所示。 图14-3 NAT的工作原理 3．NAT表 图14-4 NAT表中封包的处理流程 14.3 使内核支持防火墙 14.3.1 内核模块的加载 14.3.2 包过滤管理工具 14.3.3 安装iptables软件包 14.3.4 启动或停止iptables服务 14.4 iptables命令的用法 其命令的基本格式为： iptables [-t table] command [match][-j taeget/jump] 14.4.1 对链的操作 1．查看链 命令用法如下： iptables -L [chain] 2．创建与删除链 命令用法如下： iptables -[NX] chain 3．更改链的名称 命令用法如下： iptables -E old-chain-name new chain-name 14.4.2 对规则的操作 1．删除规则链中的所有规则 命令用法如下： iptables -F [chain] 2．归零封包计数器 命令用法如下： iptables -Z [chain] 3．设置链的默认策略 命令用法如下： iptables -P chain target 4．新增规则 5．替换规则 命令用法如下： iptables -R chain relenum rule-specification 6．删除规则 7．插入规则 14.4.3 iptables的options选项 1．p或--[!]protocol 2．-s或--src或--source address[/mask] 3．-d或--dst或--destination address[/mask] 4．-i或--in-interface 5．-o或--out-interface 6．--sport或--source-port 7．--dport或--destination-port 8．-m multiport --port 9．--tcp-flags 10．--syn 11．-m state --state state 12．-m limit --limit avg --limit-burst number 13．-m iplimit --iplimit-above number --iplimit-mask netmask 14．-m mac --mac-source 14.4.4 规则的处理动作 对规则的处理动作通过-j参数指定，常用 的处理动作有ACCEPT、REJECT、DROP、REDIRECT、MASQUERADE、DNAT、LOG、RETURN和MARK。 14.5 防火墙配置实例 图14-9 网络拓扑结构 * *