第14章-代理与防火墙.pptVIP

基本概念 应用层代理 网络层防火墙 防火墙与代理的管理 防火墙概念 应用层代理 网络层防火墙 防火墙与代理的管理 防火墙管理 Ipfwadm Ipchains Netfilter/iptables 代理管理 apache squid socks iptables iptables基本原理 NAT与路由 iptables安装配置 iptables基本原理 netfilter 包过滤检查框架 iptables基本原理（Cont.） iptables 安全规则管理工具 五条内建规则链，对应于netfilter钩子函数 iptables基本原理（Cont.） iptables规则表 Filter INPUT、FORWARD、OUTPUT NAT PREROUTING、POSTROUTING、INPUT、OUTPUT Mangle OUTPUT、PREROUTING NAT与路由 路由 NAT与路由（Cont.） NAT NAT与路由（Cont.） NAT的使用 NAT的类型 静态网络地址转换 动态网络地址转换 端口转换 iptables实现NAT SNAT DNAT MASQUERADE iptables安装配置 安装 yum install iptables 配置 配置 语法 可以简化成以下形式： iptables [-t table] CMD [chain][rule-amtcher][-j target] 配置（Cont.） 规则操作参数说明： -A：在所选择的链末添加一条或多条规则 -D：从所选链中删除一条或多条规则 -R：从选中的链中取代一条规则 -I：从所选链中插入一条或更多规则 -L：显示所选链的所有规则 -F：清空所选链 -Z：把所有链的包及字节的计数器清空 -N：根据给出的名称建立一个新的用户定义链 -X：删除指定的用户自定义链 -P：设置链的目标规则 -E：根据用户给出的名子对指定链进行冲命名 配置（Cont.） 规则选项 配置（Cont.） 规则扩展选项 tcp扩展 udp扩展 icmp扩展 mac扩展 limit扩展 multiport扩展 配置（Cont.） 目标扩展 ACCEPT:让包通过 DROP:把包拒绝 REJECT：把包丢弃,并向发送者发送ICMP消息告知包被丢弃。 SNAT：只适用于nat表的POSTROUTING链。它规定修改包的 源地址，停止对规则的检查。 MASQUERADE ：只用于转发链和用户定义链。包被伪装成从 本地主机发出，回应的包自动解伪。 REDIRECT：只用于输入链和用户定义链。包被重定向到本地，尽管它们原是要发送给一个远地主机。可使用参数，指定重定向端口。缺省为0，表示使用包的目的地址端口做为重定向端口。 配置（Cont.） iptables –A INPUT –p tcp iptables –p tcp –sport 80 iptables –a FORWARD –p tcp –tcp-flags ALL SYN,ACK iptables –A INPUT –m limit –limit 300/hour iptables –A INPUT –m --state RELATED,ESTABLISHED 配置（Cont.） 包过滤配置 配置（Cont.） NAT配置 DNAT SNAT MASQUERADE 缓存代理squid squid工作机制与基本功能 squid组成成分 squid安装配置 squid工作机制与基本功能 工作机制 squid工作机制与基本功能（Cont.） 基本功能 代理服务：HTTP、FTP、GOPHER、SSL 等 高速缓存 DNS查询缓存 级联服务支持 透明代理 ACL支持 squid组成成分 代理进程 squid 代理守护进程 unlinkd 清理缓存数据 RunCache squid进程的守护进程 dnsserver 处理客户端域名查询进程 数据缓存目录 默认/var/spool/squid squid安装配置 安装 配置 启动 访问 其它配置 透明代理 配置 http_port :3128 cache_mgr admin@ http_access allow all cache_dir ufs /var/spool/squid 100 16 256 启动 使用/etc/rc.d/init.d/squid脚本启动代理服务器 访问 客户端设置 IE?工具?Internet 选项?连接?局域网设置?代理服务器 直接在地址栏中输入访问地址进行访问 其它配置 缓存空间 cache_dir Type Directory-Name Fs-specific-data [options]