第章 组建Linux局域网与网络互连.docVIP

PAGE PAGE PAGE PAGE 1 TOC \o 1-3 \h \z \u Hyperlink \l _To6章 组建Linux局域网与网络互连 PageRef _To\h1 Hyperlink \l _Toc396662166.6 防火墙的设置 PageRef _To\h1 Hyperlink \l _Toc396662176.6.1 Netfilter/iptables简介 PageRef _To\h1 Hyperlink \l _Toc396662186.6.2 iptables的语法及其使用 PageRef _To\h2 Hyperlink \l _Toc396662196.6.3防火墙的设置 PageRef _To\h4 Hyperlink \l _Toc396662206.7 NAT的设置 PageRef _To\h7 Hyperlink \l _Toc396662216.7.1 NAT概述 PageRef _To\h7 Hyperlink \l _Toc396662226.7.2 NAT的设置 PageRef _To\h9 第6章 组建Linux局域网与网络互连 6.6 防火墙的设置 通过使用防火墙可以实现的功能：① 可以保护易受攻击的服务；② 控制内外网之间网络系统的访问；③ 集中管理内网的安全性，降低管理成本；④ 提高网络的保密性和私有性；⑤ 记录网络的使用状态，为安全规划和网络维护提供依据。 防火墙技术根据防范的方式和侧重点的不同而分为很多种类型，但总体来讲可分为包过滤防火墙、应用代理（网关）防火墙和状态（检测）防火墙。 包过滤防火墙工作在网络层，对数据包的源及目地IP具有识别和控制作用，对于传输层，也只能识别数据包是TCP还是UDP及所用的端口信息。现在的路由器、Switch Router以及某些操作系统已经具有用Packet Filter控制的能力。由于只对数据包的IP地址、TCP/UDP协议和端口进行分析，包过滤防火墙的处理速度较快，并且易于配置。 Linux提供了一个非常优秀的防火墙工具Netfilter/iptables，它免费、功能强大、可以对流入流出的信息进行灵活控制，并且可以在一台低配置机器上很好的运行。 6.6.1 Netfilter/iptables简介 Linux在2.4以后的内核中包含Netfilter/iptables， 系统这种内置的IP数据包过滤工具使得配置防火墙和数据包过滤变得更加容易，使用户可以完全控制防火墙配置和数据包过滤。Netfilter/iptables允许为防火墙建立可定制的规则来控制数据包过滤，并且还允许配置有状态的防火墙。另外，Netfilter/iptables还可以实现NAT（网络地址转换）和数据包的分割等功能。 Netfilter组件也称为内核空间，是内核的一部分，由一些数据包过滤表组成，这些表包含内核用来控制数据包过滤处理的规则集。 iptables组件是一种工具，也称为用户空间，它使插入、修改和删除数据包过滤表中的规则变得容易。 使用用户空间（iptables）构建自己定制的规则，这些规则存储在内核空间的过滤表中。这些规则中的目标告诉内核，对满足条件的数据包采取相应的措施。 根据规则处理数据包的类型，将规则添加到不同的链中。 数据包过滤表（filter）中内置的缺省主规则链有三个： INPUT链：添加处理入站数据包的规则。 OUTPUT链：添加处理出站数据包的规则。 FORWARD链：添加处理正在转发的数据包的规则。 每个链都可以有一个策略，即要执行的缺省操作，当数据包与链中的所有规则都不匹配时，将执行此操作（理想的策略应该丢弃该数据包）。 数据包经过filter表的过程如图7-43所示。 图7-43 数据包经过Filter表的过程 6.6.2 iptables的语法及其使用 通过使用iptables命令建立过滤规则，并将这些规则添加到内核空间过滤表内的链中。 添加、删除和修改规则的命令语法如下： #iptables [-t table] command [match] [target] 1．table [-t table]有三种可用的表选项：filter、nat和mangle。该选项不是必需的，如未指定，则filter作为缺省表。 filter表用于一般的数据包过滤，包含INPUT、OUTPUT和FORWARD链。 nat表用于要转发的数据包，包含PREROUTING、OUTPUT和POSTROUTING链。 mangle表用