Linux-Firewall.doc

Linux網路安全講義:Netfilter機制與iptables工具 一、iptables 簡介 1. iptables下載與技術資源總站/。 2. 使用iptables前先確認核心版本(#uname -r)，Kernel必須是2.4以上版本 3. 演進歷程介紹:- 舊版Linux 上使用 IP-Masquerade 的 IP 偽裝以便於達成該功能。- kernel 2.0.x 時代，是使用 ipfwadm 程式。(這個說法不算是完全正確)- kernel 2.1.x/2.2.x 時代，則是使用 ipchains 程式，port forwarding需要搭配ipmasqadm程式 來輔助才能夠達成。- kernel 2.3.x/2.4.x 時代，使用 netfilter 過濾機制， 是使用iptables 程式。 ！注意！(Kernel 2.4 使用 netfilter project 的 firewall 機制，該環境允許使用者使用舊版ipchains設定 firewall，不過要先掛入ipchains模組。若是系統已經掛入ipchains模組，要先執行# ipchains -F ; ipchains –X；rmmod ipchains 即可開始使用 iptables 了。 4. 目前 kernel 2.4.x 配合使用netfilter核心過濾機制，可以達到的功能相當強悍，netfilter可提供的機制如下： ? 傳統 ipchains 的任何功能(來源與目的封包過濾、導向、偽裝)。 ? 提供 Source NAT 與 Destination NAT 的功能。 ? 可以針對特定使用者、群組、PID 等限制網路連結的過濾存取。 ? 可以設定封包在 Routing Table 進出前時先預先處理。 ? 可以針對外面自動建立、與現有連線有關這類連線過濾處理。 ? 可以針對 Mac 卡號直接處理。 5. 使用iptables前先確認下列核心功能已設定正確：CONFIG_PACKET 、CONFIG_NETFILTER 、CONFIG_IP_NF_CONNTRACK、CONFIG_IP_NF_FTP 、CONFIG_IP_NF_IPTABLES 、CONFIG_IP_NF_MATCH_LIMIT、CONFIG_IP_NF_MATCH_MAC 、CONFIG_IP_NF_MATCH_MARK 、CONFIG_IP_NF_MATCH_MULTIPORT、CONFIG_IP_NF_MATCH_TOS、CONFIG_IP_NF_MATCH_TCPMSS、CONFIG_IP_NF_MATCH_STATE、CONFIG_IP_NF_MATCH_UNCLEAN、CONFIG_IP_NF_MATCH_OWNER、CONFIG_IP_NF_FILTER、CONFIG_IP_NF_TARGET_REJECT、CONFIG_IP_NF_TARGET_MIRROR、CONFIG_IP_NF_NAT 、CONFIG_IP_NF_TARGET_MASQUERADE、CONFIG_IP_NF_TARGET_REDIRECT、CONFIG_IP_NF_TARGET_LOG、CONFIG_IP_NF_TARGET_TCPMSS、CONFIG_IP_NF_COMPAT_IPCHAINS、CONFIG_IP_NF_COMPAT_IPFWADM。 二、基本原理 1. iptables預設的Table Chains組合(User可以自訂chains) 過濾表(Table) 說明 filter 過濾透通本機的封包 (預設) nat 轉譯封包位址資訊 mangle 修改或標註封包 Forward Packet Processing Input Packet Processing Output Packet Processing 2. 各種封包的處理流程(一) 3. 各種封包的處理流程(二)　 規則鏈(chains) 執行時機 PREROUTING 封包進入本機，在判斷路由前 INPUT 通過路由表後，目的地為本機 FORWARD 通過路由表後，目的地不是本機 OUTPUT 由本機主動建立的封包，在通過路由表前 POSTROUTING 通過路由表後，要發送出去前 4. 封包過濾流程(三)　 5. IP Packet Header 三、指令介紹 1. iptables 指令包含以下四項元件: ? ?table ? ?ACTION 命令 ? ?rule specification - pattern 比對規則 ? ?extension 延伸選項 netfilter處理判斷順序：　Tables ? Chains ? Rules ? P