第11章 防火墙与NAT.ppt

第11章 防火墙与NAT 第11章 防火墙与NAT 11.1 防火墙原理 11.2 安装iptables 11.3 防火墙配置 11.4 NAT 11.1 防火墙原理 防火墙概述 防火墙系统可以由一台路由器，也可以由一台或一组主机构成。防火墙一般放置在内外网的接口处，用来过滤进出网络的数据包。防火墙审查每一个经过它的数据包，将数据包的信息与过滤规则按顺序一一比较，如果有相匹配的规则，按规则处理该数据包，如果找不到相匹配的规则，将数据包丢弃，以保护网络安全。 根据防范方式和侧重点不同，防火墙可以分为包过滤防火墙和代理服务器型防火墙两种类型。 防火墙概述 1.包过滤防火墙 数据包过滤技术是指在网络层对数据包进行选择，选择的依据是系统内设置的过滤规则，这些规则被称为访问控制列表（简称ACL）。通过检查每个数据包中的源地址、目标地址、端口号和协议状态等参数，确定是否允许相应数据包通过。数据包的过滤是通过对数据包的IP头和TCP或UDP头的检查来实现的。 防火墙概述 包过滤器并不检查数据包的所有内容，通常只检查如下信息： IP源地址。 IP目标地址。 协议类型（如TCP包、UDP包或ICMP包）。 TCP或UDP包的源端口。 TCP或UDP包的目标端口。 IP校验和。 ICMP消息类型。 TCP包头中的ACK位。 TCP的序列号和确认号。 防火墙概述 包检查器使用过滤规则的过程