第12讲 代理与防火墙.ppt

代理/防火墙 目标 了解网络中防火墙的基本概念及其分类 了解代理服务的概念和分类 掌握使用iptables工具建立包过滤防火墙的方法 了解网络地址转换与路由的概念 掌握配置网络地址转换的方法 了解squid代理服务器的工作机制及其功能 掌握使用squid建立代理服务器的方法 基本概念 应用层代理 网络层防火墙 防火墙与代理的管理 防火墙概念 应用层代理 网络层防火墙 防火墙与代理的管理 防火墙管理 Ipfwadm Ipchains Netfilter/iptables 代理管理 apache squid socks iptables iptables基本原理 NAT与路由 iptables安装配置 iptables基本原理 netfilter 包过滤检查框架 iptables基本原理（Cont.） iptables 安全规则管理工具 五条内建规则链，对应于netfilter钩子函数 iptables基本原理（Cont.） iptables规则表 Filter INPUT、FORWARD、OUTPUT NAT PREROUTING、POSTROUTING、INPUT、OUTPUT Mangle OUTPUT、PREROUTING NAT与路由 路由 NAT与路由（Cont.） NAT NAT与路由（Cont.） NAT的使用 NAT的类型 静态网络地址转换 动态网络地址转换 端口转换 iptables实现NAT SNAT DNAT MASQUERADE iptables安装配置 安装 配置 安装 源代码编译安装 下载 编译安装 RPM包安装 配置 语法 可以简化成以下形式： iptables [-t table] CMD [chain][rule-amtcher][-j target] 配置（Cont.） 规则操作参数说明： -A：在所选择的链末添加一条或多条规则 -D：从所选链中删除一条或多条规则 -R：从选中的链中取代一条规则 -I：从所选链中插入一条或更多规则 -L：显示所选链的所有规则 -F：清空所选链 -Z：把所有链的包及字节的计数器清空 -N：根据给出的名称建立一个新的用户定义链 -X：删除指定的用户自定义链 -P：设置链的目标规则 -E：根据用户给出的名子对指定链进行冲命名 配置（Cont.） 规则选项 配置（Cont.） 规则扩展选项 tcp扩展 udp扩展 icmp扩展 mac扩展 limit扩展 multiport扩展 配置（Cont.） 目标扩展 ACCEPT:让包通过 DROP:把包拒绝 REJECT：把包丢弃,并向发送者发送ICMP消息告知包被丢弃。 SNAT：只适用于nat表的POSTROUTING链。它规定修改包的 源地址，停止对规则的检查。 MASQUERADE ：只用于转发链和用户定义链。包被伪装成从 本地主机发出，回应的包自动解伪。 REDIRECT：只用于输入链和用户定义链。包被重定向到本地，尽管它们原是要发送给一个远地主机。可使用参数，指定重定向端口。缺省为0，表示使用包的目的地址端口做为重定向端口。 配置（Cont.） iptables –A INPUT –p tcp iptables –p tcp –sport 80 iptables –a FORWARD –p tcp –tcp-flags ALL SYN,ACK iptables –A INPUT –m limit –limit 300/hour iptables –A INPUT –m --state RELATED,ESTABLISHED 配置（Cont.） 包过滤配置 配置（Cont.） NAT配置 DNAT SNAT MASQUERADE 缓存代理squid squid工作机制与基本功能 squid组成成分 squid安装配置 squid工作机制与基本功能 工作机制 squid工作机制与基本功能（Cont.） 基本功能 代理服务：HTTP、FTP、GOPHER、SSL 等 高速缓存 DNS查询缓存 级联服务支持 透明代理 ACL支持 squid组成成分 代理进程 squid 代理守护进程 unlinkd 清理缓存数据 RunCache squid进程的守护进程 dnsserver 处理客户端域名查询进程 数据缓存目录 默认/var/spool/squid squid安装配置 安装 配置 启动 访问 其它配置 透明代理 安装 源代码包安装 下载 编译安装 RPM包安装 编译参数 　--prefix=/usr/local/squid 　--disable-internal-dns 　--enable-storeio=ufs,null 　--enable-def