第16章 Linux防火墙及NAT服务配置.ppt

第16章Linux防火墙与NAT服务配置 本章介绍iptables的基本概念和基本功能，以及 使用iptables架设包过滤防火墙和NAT服务的方法。 　　学完本章后，你将能够： 描述Linux防火墙的基本概念和功能 使用iptables配置包过滤防火墙 使用iptables配置NAT服务 16.1 Linux防火墙概述 16.2 iptables简介 16.3 iptables的使用 16.4　NAT服务 16.1.1 防火墙简介 1.防火墙的功能 防火墙是位于不同网络（如可信的企业内部网和不可信的 公共网）或网络安全域之间，对网络进行隔离并实现有条件 通信的一系列软件硬件设备的集合。它通过访问控制机制确 定哪些内部服务允许外部访问，以及允许哪些外部请求可以 访问内部服务。 防火墙系统可以由一台路由器，也可以由一台或一组主机 组成。它通常被放置在网络入口处，所有内外部网络通信数 据包都必须经过防火墙，接受防火墙的检查，只有符合安全 规则的数据才允许通过。 通过使用防火墙可以实现以下功能： 保护内部网络中易受攻击的服务。 控制内外网之间网络系统的访问。 隐藏内部网络的IP地址及结构的细节，提高网络的保密性。　　 对网络存取和访问进行监控和审计。 集中管理内网的安全性，降低管理成本。 2.防火墙的类型 根据动作方式的不同，通常把防火墙分为包过滤 型和应用级网关两大类。 包过滤防火墙（Packet Filter） 应用级网关（Application-level Gateway） 16.1.2 Linux包过滤防火墙的架构 iptables是一个免费的包过滤防火墙，它伴随着内 核的发展而逐渐演变，大致经历了下面4个阶段： 在1.1内核中，采用ipfw来操作内核包过滤规则。 在2.0内核中，采用ipfwadm来操作内核包过滤规则。 在2.2内核中，采用ipchains来控制内核包过滤规则。 在2.4内核中（如Red Hat 9.0、RHEL），采用一个全新的内核包过滤管理工具——iptables。 iptables只是防火墙与用户之间的接口，真正起到 防火墙作用的是Linux内核中运行的netfilter。Linux 平台下的包过滤防火墙由netfilter组件和iptables组 件组成，其中netfilter运行在内核态，而iptables运 行在用户态，用户通过iptables命令来调用netfilter 来实现防火墙的功能。 netfilter组件 iptables组件 16.1.3 Linux防火墙的安装、启动与关闭 iptables防火墙内置于RHEL 4 AS系统内核中，所以 它是随系统的安装而自动安装的。可使用以下命令检 查是否已安装： [root@rhel4 ~]# rpm -q iptables iptables-1.2.11-3.1.RHEL4 安装RHEL 4 AS时系统会提示是否开启防火墙，默 认情况下将开启防火墙。由于系统的防火墙功能是使 用iptables实现的，因此系统会根据用户的设置在 iptables中添加相应的规则。 如果在安装时选择禁用防火墙，则在安装完成后 可在终端命令窗口中执行“setup”命令手工开启 完成以上配置后，可在终端命令窗口中执行如下命令启动 iptables防火墙： [root@rhel4 ~]# service iptables start 清除防火墙规则： [ 确定 ] 把 chains 设置为 ACCEPT 策略：filter [ 确定 ] 正在卸载 Iiptables 模块： [ 确定 ] 应用 iptables 防火墙规则： [ 确定 ] 将上述命令中的“start”参数变换为“stop”、start”“status” 可以分别实现iptables防火墙的关闭、重启和状态的查看。 16.1 Linux防火墙概述 16.2 iptables简介 16.3 iptables的使用 16.4　NAT服务 16.2.1 iptables的基本概念 规则 规则(rules)就是网络管理员预先定义的条件，每 条规则的定义方式一般是“如果封包符合这样的条件 就这样处理该数据包”。 链 链(chains)是数据包传输的路径，每一条链中可 以有一条或数条规则。 表 iptables内置了filter表、nat表和ma