网络安全与防护课程迟恩宇实训指导3.22软件防火墙配置保护主机与内部网络LINUX的IPTABLES演示文档.pptVIP

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * state -m state --state 状态 状态：NEW、RELATED、ESTABLISHED、INVALID NEW：有别于 tcp 的 syn ESTABLISHED：连接态 RELATED：衍生态，与 conntrack 关联（FTP） INVALID：不能被识别属于哪个连接或没有任何状态 例如： iptables -A INPUT -m state --state RELATED,ESTABLISHED \ -j ACCEPT mac -m mac --mac-source MAC 匹配某个 MAC 地址 例如： iptables -A FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx \ -j DROP 阻断来自某 MAC 地址的数据包，通过本机 注意： 报文经过路由后，数据包中原有的 mac 信息会被替换，所以在路由后的 iptables 中使用 mac 模块是没有意义的 limit -m limit --limit 匹配速率 [--burst 缓冲数量] 用一定速率去匹配数据包 例如： iptables -A FORWARD -d -m limit --limit 50/s \ -j ACCEPT iptables -A FORWARD -d -j DROP 注意： limit 英语上看是限制的意思，但实际上只是按一定速率去匹配而已，要想限制的话后面要再跟一条 DROP multiport -m multiport --sports|--dports|--ports 端口1[,端口2,..,端口n] 一次性匹配多个端口，可以区分源端口，目的端口或不指定端口 例如： iptables -A INPUT -p tcp -m multiport --dports \ 21,22,25,80,110 -j ACCEPT 注意： 必须与 -p 参数一起使用 实例分析 单服务器的防护 如何做网关 如何限制内网用户 内网如何做对外服务器 连接追踪模块 单服务器的防护 弄清对外服务对象 书写规则 网络接口 lo 的处理 状态监测的处理 协议 + 端口的处理 实例：一个普通的 web 服务器 iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -p tcp -m multiport --dports 22,80 -j ACCEPT iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -P INPUT DROP 注意：确保规则顺序正确，弄清逻辑关系，学会时刻使用 -vnL 如何做网关 弄清网络拓扑 本机上网 设置 nat 启用路由转发 地址伪装 SNAT/MASQUERADE 实例：ADSL 拨号上网的拓扑 echo 1 /proc/sys/net/ipv4/ip_forward iptables -t nat -A POSTROUTING -s /24 -o ppp0 \ -j MASQUERADE 如何限制内网用户 过滤位置 filer 表 FORWARD 链 匹配条件 -s -d -p --s/dport 处理动作 ACCEPT DROP 实例： iptables -A FORWARD -s -j DROP iptables -A FORWARD -m mac --mac-source 11:22:33:44:55:66 \ -j DROP iptables -A FORWARD -d -j DROP 内网如何做对外服务器 服务协议（TCP/UDP） 对外服务端口 内部服务器私网 IP 内部真正服务端口 实例： iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 \ -j DNAT --to iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 81 \ -j DNAT --to :80 传统防火墙的做法 只使用主动模式，打开 TCP/20 防火墙打开高范围端口 配置 FTP 服务，减小被动模式端