基于Linux防火墙的可视化管理系统的研究与实现周华平林介绍.PDFVIP

基于 Linux 防火墙的可视化管理系统的研究与实现 周华平 林浩伟 （安徽理工大学计算机科学与技术系，安徽 淮南 232001） 摘要：针对 Iptables 命令配置防火墙规则的复杂性，本系统研究和实现了基于 linux 防火 墙的可视化管理系统。 关键词：Iptables ；防火墙；Netfilter;Nat ；可视化 中图分类号：TP393.08 文献标识码：A Design and Realization of Visual Administrative System of Based on Linux Firewall ZHOU Hua-ping,LIN Hao-wei ( Computer Department,Anhui University of Science and Technology,Huainan 232001) Abstract: Order to dispose the regular complexity of firewall by Iptables, this system has studied and realized the visual administrative system based on linux firewall . Key words:Iptables;Firewall;Netfilter;Nat;Visual Linux 具有良好的稳定性、低廉的价格和开放的源代码等优点，在 Linux 2.4 内核中集成 了 iptables，可以用它按照自己的需要搭建一个防火墙系统。不管是用 Linux 命令配置系统 参数，还是用 iptables 命令配置防火墙规则都非常复杂，除非是专业人员，对于不很熟悉 Linux 内核的人员是很难配置的。一个强大的防火墙系统如果没有一个精心设计的配置和管理模 块，它的效用也许就要打不少折扣。为了满足小型企业，使他们在成本不高，但又能很好的 保护自己的网络，且又方便管理。基于以上要求，本系统提出了基于 linux 防火墙的可视化 管理系统的研究与实现。 1 体系结构 系统构筑在三网卡Linux服务器上，以Linux服务器为防火墙，隔离内部网，Internet 和DMZ（中立区）。内部网，Internet与DMZ上的计算机互相之间都不能直接对话。所有连接 都必须首先通过防火墙。DMZ上的服务器向内和向外提供服务。如图1所示： Internet 路由器 Eth0 Eth2 Eth1 防火墙 对外对内服务网络 内部安全网络 （DMZ区） 图 1 防火墙体系结构 2利用Netfilter实现包过滤 一个基于Netfilter框架的、称为iptables 的数据报选择系统在Linux2.4 内核中被应用，其 实它就是ipchains 的后继工具，但却有更强的可扩展性。内核模块可以注册一个新的规则表 (table)，并要求数据报流经指定的规则表。这种数据报选择用于实现数据报过滤(filter表) ， 网络地址转换(Nat表)及数据报处理(mangle表) 。Linux2.4 内核提供的这三种数据报处理功能 都基于netfilter 的钩子函数和IP表。它们是独立的模块，相互之间是独立的。它们都完美的集 成到由Netfilter提供的框架中。 包过滤 filter表格不会对数据报进行修改，而只对数据报进 行过滤。iptables 优于ipchains 的一个方面就是它更为小巧和快速。它是通过钩子函