实验九 防火墙和AT服务器配置.docVIP

实验九 防火墙和NAT服务器配置 班级： 姓名： 学号： 一 实验目的： 通过实验理解防火墙和NAT服务器的基本概念，并且能够在linux操作系统下通过iptables 配置filter表和nat表。 二 实验环境： Redhat enterprise 5操作系统，局域网，互联网。 三包过滤配置： 1.在linux上配置防火墙，只开放80端口，并且使得linux可以 访问其他计算机的web服务。 设置filter表的INPUT链的默认策略为丢弃数据包:iptables –P INPUT DROP 开放web服务:iptables –A INPUT –p tcp --dport 80 –j ACCEPT 允许其他主机的ESTABLISHED包：iptables –A INPUT –m state --state ESTABLISHED –j ACCEPT. 设置filter表的OUTPUT链的默认策略会接收数据包：iptables –P OUTPUT ACCEPT 对上述防火墙进行验证。 可以访问其它电脑的web服务器 在linux上配置防火墙，允许其他计算机对本机进行passive模式的ftp访问。 a.加载模块：modprobe ip_conntrack_ftp b.设置filter表的INPUT链的默认策略为丢弃数据包:iptables –P INPUT DROP c.允许其他计算机连接本机21端口：iptables –A INPUT–p tcp –m state –-state NEW --dport 21 –j ACCEPTd.允许ESTABLISHED，RELATED 状态的数据包到达本机：iptables –A INPUT –m state --state ESTABLISHED，RELATED –j ACCEPT e.允许所有的数据包输出 iptables –A OUTPUT –p all –j ACCEPT 对上述防火墙进行验证。 去除d步骤中的RELATED参数，看看结果有什么不同？ 如果去掉RELAEED则不能完成ftp的 3.智能dns 开启内核的ip转发功能：echo “1” /proc/sys/net/ipv4/ip_forward b.把用户的解析域名请求发送到的udp端口53：iptables -t nat -I OUTPUT -p udp --dport 53 -j DNAT --to-destination :53 c.对上述防火墙进行验证。 拒绝所有的icmp包:iptables –A INPUT –p icmp –j DROP 拒绝本机访问的站点：iptables –A OUTPUT –d –j DROP 拒绝所有的计算机访问本机的任何服务：iptables -A INPUT -i eth0 -p tcp --syn –m state --state NEW -j DROP 7.禁止winxp主机的任何数据包：a. 开启内核的ip转发功能：echo “1” /proc/sys/net/ipv4/ip_forward b.iptables -t nat -I PREROUTING -m mac --mac-source 4C:00:10:D8:57:F3 -j DROP (注意MAC地址修改成自己计算机的winxp的MAC地址) 8.a.保存iptables：iptables-save /etc/iptables.rule b.恢复iptables: iptables-restore /etc/iptables.rule 9.强制访问学校的主页： a.开启内核的ip转发功能：echo “1” /proc/sys/net/ipv4/ip_forward b.iptables –t nat –A OUTPUT –p tcp --dport 80 –j DNAT --to 21 10.a.创建用户自定义的链 　　iptables -N MYINPUT 　b.将任何进入电脑的包转发到自定义的链进行过滤:iptables -A INPUT -j MYINPUT c.iptables -A MYINPUT -p icmp -j ACCEPT d.此时再输入命令 ping ，结果还会和刚才相同吗？ a.运行：tracert b.丢弃RELATED状态的数据包：iptables -A I