iptables防火墙及NAT服务.pptVIP

第6章 iptables防火墙与NAT服务 本章导读 防火墙的概述 iptables简介 iptables基础 关闭系统防火墙 NAT服务 使用iptables实现NAT服务 iptables技巧实例 6.1防火墙的概述 防火墙的简介 防火墙的分类 防火墙的工作原理 防火墙的简介 通过使用防火墙可以实现以 下功能： ? 可以保护易受攻击的服务； ? 控制内外网之间网络系统的访问； ? 集中管理内网的安全性，降低管理成本； ? 提高网络的保密性和私有性； ? 记录网络的使用状态，为安全规划和网络维护提供依据。 防火墙的分类 防火墙技术根据防范的方式和侧重点的不 同而分为很多种类型，但总体来讲可分为包 过滤防火墙和代理服务器两种类型。 防火墙的工作原理 1．包过滤防火墙工作原理 防火墙的工作原理 ① 数据包从外网传送到防火墙后，防火墙抢在IP层向TCP层传送前，将数据包转发给包检查模块进行处理。 ② 首先与第一个过滤规则比较。 ③ 如果与第一个模块相同，则对它进行审核，判断是否转发该数据包，这时审核结果是转发数据包，则将数据包发送到TCP层进行处理，否则就将它丢弃。 ④ 如果与第一个过滤规则不同，则接着与第二个规则相比较，如果相同则对它进行审核，过程与③相同。 ⑤ 如果与第二个过滤规则不同，则继续与下一个过滤规则比较，直到与所有过滤规则比较完成。要是所有过滤规则都不满足，就将数据包丢弃。 防火墙的工作原理 2．代理服务型防火墙工作原理 代理服务型防火墙是在应用层上实现防火 墙功能的。它能提供部分与传输有关的状 态，能完全提供与应用相关的状态和部分传 输的信息，它还能处理和管理信息。 6.2 iptables简介 netfilter/iptables（下文简称为iptables）组 成Linux平台下的包过滤防火墙，与大多数的Linux 软件一样，这个包过滤防火墙是免费的，它可以代 替昂贵的商业防火墙解决方案，完成封包过滤、封 包重定向和网络地址转换NAT等功能。 I ptables/netfilter包过滤防火墙其实是由两个组件 构成的，一个是netfilter，一个是iptables。 6.3 iptables基础 规则（rules） 链（chains） 表（tables） iptables传输数据包的过程 规则（rules） 规则（rules）其实就是网络管理员预定义的条件， 规则一般的定义为“如果数据包头符合这样的条件，就这样 处理这个数据包”。规则存储在内核空间的信息包过滤表 中，这些规则分别指定了源地址、目的地址、传输协议（如 TCP、UDP、ICMP）和服务类型（如HTTP、FTP和SMTP） 等。当数据包与规则匹配时，iptables就根据规则所定义的 方法来处理这些数据包，如放行（accept）、拒绝（reject） 和丢弃（drop）等。配置防火墙的主要工作就是添加、修改 和删除这些规则。 链（chains） 链（chains）是数据包传播的路径，每一条链其实就是众 多规则中的一个检查清单，每一条链中可以有一条或数条规 则。当一个数据包到达一个链时，iptables就会从链中第一 条规则开始检查，看该数据包是否满足规则所定义的条件。 如果满足，系统就会根据该条规则所定义的方法处理该数据 包；否则iptables将继续检查下一条规则，如果该数据包不 符合链中任一条规则，iptables就会根据该链预先定义的默 认策略来处理数据包。 表（tables） 表（tables）提供特定的功能，iptables内置了3 个表，即filter表、nat表和mangle表，分别用于实 现包过滤，网络地址转换和包重构的功能。 1．filter表 2．nat表 3．mangle表 iptables传输数据包的过程 ① 当一个数据包进入网卡时，它首先进入PREROUTING链，内核根据数据包目的IP判断是否需要转送出去。 ② 如果数据包就是进入本机的，它就会沿着图向下移动，到达INPUT链。数据包到了INPUT链后，任何进程都会收到它。本机上运行的程序可以发送数据包，这些数据包会经过OUTPUT链，然后到达POSTROUTING链输出。 ③ 如果数据包是要转发出去的，且内核允许转发，数据包就会如图10-4所示向右移动，经过FORWARD链，然后到达POSTROUTING链输出。 iptables命令格式 iptables的命令格式较为复杂，一般的格式如下： iptables [-t表] -命令 匹配 操作 1．表选项 表选项用于指定命令应用于哪个iptables内置 表，iptables内置包括filter表、nat表和mangle表。 iptables命令格式 2．命