网络服务器搭建、配置与管理Linux版第3章防火墙.pptx

人民邮电出版社 | 杨云 主编;第3章 配置与管理防火墙;项目目标 了解防火墙的分类及工作原理 了解NAT 掌握iptables防火墙的配置 掌握firewalld防火墙的配置 掌握服务的访问控制列表 掌握利用iptables实现NAT ;4;3.1 认识防火墙;3.1.3 iptables的工作原理;（2）动作（target）。当数据包经过Linux时，若netfilter检测该包符合相应规则，则会对该数据包进行相应的处理。iptables动作如表3-2所示。;（3）链（chain）。在数据包传递过程中，不同的情况下所要遵循的规则组合形成了链。规则链可以分为以下两种。 ● 内置链（Build-in Chains）。 ● 用户自定义链（User-Defined Chains）。 netfilter常用的为内置链，共有5个内置链，如表3-3所示。;netfilter的5条链相互关联，如图3-1所示。;（4）表（table）。接收数据包时，Netfilter会提供以下3种数据包处理的功能。 ● 过滤——这是netfilter默认的表，通常使用该表设置过滤规则 ● 地址转换——当数据包建立新的连接时，该nat表能够修改数据包，并完成网络地址转换。 ● 变更——该表用在数据包的特殊变更操作，如修改TOS等特性。;iptables拥有3个表和5个链，其整个工作流程如图3-2所示。 （1）数据包进入防火墙以后，首先进入mangle表的PREROUTING链，如果有特殊设定，会更改数据包的TOS等信息。;（2）数据包进入nat表的PREROUTING链，如有规则设置，则转换目的地址。 （3）数据包经过路由，判断该包是发送给本机，还是需要向其他网络转发。 （4）如果是转发，就发送给mangle表的FORWARD链，根据需要修改相应的参数，然后送给filter表的FORWARD链进行过滤，然后转发给mangle表的POSTROUTING链，如有设置，则调整参数，然后发给nat表的POSTROUTING链，根据需要，可能会进行网络地址转换，修改数据包的源地址，最后数据包发送给网卡，转发给外部网络。 （5）如果目的地为本机，数据包则会进入mangle的INPUT链，经过处理，进入filter表的INPUT链，经过相应的过滤，进入本机的处理进程。 （6）本机产生的数据包，首先进入路由，然后分别经过mangle、nat以及filter的OUTPUT链进行相应的操作，再进入mangle、nat的POSTROUTING链，向外发送。;网络地址转换器（Network Address Translator，NAT）位于使用专用地址的Intranet和使用公用地址的Internet之间，主要具有以下几种功能。 （1）从Intranet传出的数据包由NAT将它们的专用地址转换为公用地址。 （2）从Internet传入的数据包由NAT将它们的公用地址转换为专用地址。 （3）支持多重服务器和负载均衡。 （4）实现透明代理。 这样在内网中计算机使用未注册的专用IP地址，而在与外部网络通信时，使用注册的公用IP地址，大大降低了连接成本。同时NAT也起到将内部网络隐藏起来，保护内部网络的作用，因为对外部用户来说，只有使用公用IP地址的NAT是可见的，类似于防火墙的安全措施。;（1）客户机将数据包发给运行NAT的计算机。 （2）NAT将数据包中的端口号和专用的IP地址换成它自己的端口号和公用的IP地址，然后将数据包发给外部网络的目的主机，同时记录一个跟踪信息在映像表中，以便向客户机发送回答信息。 （3）外部网络发送回答信息给NAT。 （4）NAT将收到的数据包的端口号和公用IP地址转换为客户机的端口号和内部网络使用的专用IP地址并转发给客户机。 以上步骤对于网络内部的主机和网络外部的主机都是透明的，对它们来讲就如同直接通信一样。;NAT的工作过程（见图3-3）如下。;（1）用户使用Web浏览器连接到位于的Web服务器，用户计算机将创建带有下列信息的IP数据包。 目标IP地址： 源IP地址： 目标端口：TCP端口80 源端口：TCP端口1350 （2）IP数据包转发到运行NAT的计算机上，它将传出的数据包地址转换成下面的形式。 目标IP地址： 源IP地址： 目标端口：TCP端口80 源端口：TCP端口2?500 （3）NAT协议在表中保留了{，TCP 1350}到 {，TCP 2500}的映射，以便回传。 ;（4）转发的IP数据包是通过Internet发送的。Web服务器响应通过NAT协议发回和接收。当接收时，数据包包含下面的公用地址信息。 目标IP地址： 源IP地址： 目标端口：TCP端口2?500 源端口：TCP端口80 （5）NAT协议检查转