基于iptables的Linux防火墙的配置和实现.docxVIP

文章编号:100721385(2008)0220055204基于iptables的Linux防火墙的配置和实现宛钺(沈阳航空工业学院网络中心,辽宁沈阳110034)摘要:目前防范外部网络攻击的有效的方式是在核心层上端采用与外网相连以达到网络防御的效果的各类硬件防火墙产品,但是添加硬件防火墙产品的同时也增加运营成本。为此采用一台高配置的网络服务器进行防火墙的配置来实现上述功能,同时通过研究netfilter/iptables信息包过滤系统以及配置相应的防火墙的策略,可以实现硬件防火墙的各项功能,在使用高配置的网络服务器的同时也降低了网络安全上的成本,并增加了其灵活性,同时也达到硬件防火墙的效果。关键词:防火墙;信息包;过滤;规则中图分类号:TP393108文献标识码:A的地系统的一些小块数据组成。这些信息包有头,即在每个包前面所附带的一些数据位,它们包含有关信息包的源、目的地和协议类型的信息。防火墙根据一组规则检查这些头,以确定接受哪个信息包以及拒绝哪个信息包。我们将该过程称为信息包过滤。netfilter/iptablesIP信息包过滤系统是一种功能强大的工具,[2]可以对流入和流出的信息进行细化控制,使用iptables用户可以定义规则集,也就是添加、编辑和除去规则,这些规则是在做信息包过滤决定时,防火墙所遵循和组成的规则。这些规则存储在专用的信息包过滤表中,而这些表集成在Linux内核中。在信息包过滤表中,规则被分组放在我们所谓的链(chain)中,且有3个1Linux防火墙的简介Linux因其健壮性、可靠性、灵活性以及无限范围的可定制性而在IT业界变得非常受欢迎。Linux具有许多内置的能力,使开发人员可以根据自己的需要定制其工具、行为和外观,而无需昂贵的第三方工具。如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器,所要用到的一种内置能力就是针对网络上Linux系统的防火墙设计和实现。可以在netfil2ter/iptablesIP信息包过滤系统(它集成在2.4.x版本的Linux内核中)的帮助下运用这种能力。则该系统有利于在Linux系统上更好地控制IP信息包过滤和防火墙配置。[3]默认的链:INPUT、FORWORD、OUTPUT。虽然netfilter/iptablesIP信息包过滤系统被称为单个实体,但它实际上由两个组件netfilter和iptables组成。netfilter组件也称为内核空间(kernel2space),是内核的一部分,由一些信息包过滤表组成,这些表包含内核用来控制信息包过滤处理的规则集。iptables组件是一种工具,也称为用户空间(userspace),它使插入、修改和除去信息包过滤表中的规则变得容易。通过使用用户空间,可以构建自己的定制规则,这些规则存储在内核空间的信息包过滤表中。这些规则具有目标,它们告诉内核对来自某些源、前往某些目的地或具有某些协议类型的信息包做些什么。如果某个信息包与规则匹配,那么使用目标ACCEPT允许该信息2信息包过滤的原理和防火墙设计对于连接到网络上的Linux系统来说,防火墙是必不可少的防御机制,它只允许合法的网络流量进出系统,而禁止其它任何网络流量。为了确定网络流量是否合法,防火墙依靠它所包含的由网络或系统管理员预定义的一组规则。这些规则告诉防火墙某个流量是否合法以及对于来自某个源、至某个目的地或具有某种协议类型的网络流量要做些什么。术语“配置防火墙”是指添加、修改和除去这些规则。网络流量由IP信息包(或,简称信息包)以流的形式从源系统传输到目收稿日期:2007209216作者简介:宛钺(19692),男,辽宁沈阳人,工程师56沈阳航空工业学院学报第25卷包通过。还可以使用目标DROP或REJECT来阻塞并杀死信息包。对于可用信息包执行的其他操作,还有许多其他目标。根据规则所处理的信息包的类型,可以将规则分组在链中。处理入站信息包的规则被添加到INPUT链中。处理出站信息包的规则被添加到OUTPUT链中。处理正在转发的信息包的规则被添加到FORWARD链中。这三个链是基本信息包过滤表中内置的缺省主链。建立规则并将链放在适当的位置之后,就可以开始进行真正的信息包过滤工作了。这时内核空间从用户空间接管工作。当信息包到达防火墙时,内核先检查信息包的头信息,尤其是信息包的目的地。我们将这个过程称为路由。如果信息包源自外界并前往系统,而且防火墙是打开的,那么内核将它传递到内核空间信息包过滤表的IN2PUT链。如果信息包源自系统内部或系统所连接的内部网上的其他源,并且此信息包要前往另一个外部系统,那么信息包被传递到OUTPUT链。类似的,源自外部系统并前往外部系统的信息包被传递到FORWARD链。接下来,将信息包的头信息与它所传递到的链