资源描述：
《基于linux系统的ipchains防火墙配置》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、基于linux系统的Ipchains防火墙配置一、Ipchains防火墙作用概述近年来随着Internet/Intranet的迅猛发展,计算机网络的资源共享进一步增强,随之而来的网络安全问题日益突出。解决网络安全问题的一个有效方法就是在内部网络和外部网络之间设置防火墙。防火墙是一种行之有效且应用很广的网络安全机制,主要是指用于加强内部网络和外部网络之间访问控制的一个或一组系统(包括硬件和软件),防火墙是内部网络的唯一出口和入口。防火墙大致分成三类:1、代理服务型防火墙;2、电路级网关;3、包过滤型防火墙。包过滤型防火墙就是网络上的所有传送都是以包(Packet)的形式进
2、行的,包过滤器检查通过的包的包头,并决定包的命运,即接收(Accept)、丢弃(Deny)或拒绝(Reject)这些包。包过滤型防火墙通常在操作系统内部实现,并且操作在IP网络和传输协议层,它根据事先设定的过滤逻辑原则,拒绝或允许IP包通过,从而实现对进入局域网的IP包进行控制。通常有两种包过滤防火墙策略:第一种方式是首先允许所有的包,然后再禁止有危险的包通过防火墙;第二种方式则相反,首先禁止所有的包,然后根据所需要的服务,允许特定的包通过防火墙。相比较而言,第二种方式的安全性更高,所以应用也更广。包过滤型防火墙相当于一个路由器,能控制外部网络和内部网络的相互通信,且费
3、用低廉,因此被广泛使用。现在就基于ubuntulinux系统下的包过滤型的Ipchains防火墙的配置。linux是一种类Unix的网络操作系统,由于它性能稳定得到广泛运用，该系统使用的最广泛的防火墙便是Ipchains，Ipchains,即IP链,是由Ipfwadm(IPFirewallAdministration)发展而来,内置于2.1.1内核以上版本。从本质上说,Ipchains就是一种包过滤器,这个软件包管理着对Linux操作系统内核本身极为重要的那些IP帐户和防火墙功能。Ipchains是一个数据包过滤器,是一个用来检查数据包的信封内容的程序;同时,根据用户设
4、定的一系列规则,还可以决定是否允许某些数据包通过和把它们发送到什么地方。Ipchains不仅可以包过滤,还可以控制伪装和透明代理。Ipchains能检查到达网络接口的IP包,根据事先定义好的规则进行修改,然后再转发给其它接口。二、Ipchains防火墙的工作原理每个IP包都含有报头(header),里面含有该包的目的地及如何处理等控制信息,而需要传送的数据放在有效段中。通常情况下,有效段可以包含更高一级的包。运行Ipchains的机器可以拥有许多网络接口,每个接口都连接在不同的网络上。一个可用的防火墙至少应有两个独立的接口,一个连到内部网络,另一个连到外部网络。数据包从
5、一个接口进入,经由过滤/链条0传给另一个接口,网络结构如图1：图1基于linux防火墙的基本配置Linux的Ipchains命令可以建立规则,为进入、离开、穿越系统的数据提供可选的限制,从而提供比较安全的防火墙功能。Ipchains在内核插入规则,使得每个网络包根据这些规则进行过滤。规则是以链(chain)的形式组织的。Ipchains定义的规则链有:①Inputchain(输入链)的规则作用于进入到防火墙机器中的数据包。②Forwardchain(转发链)的规则作用于进入到防火墙机器中而现在又需要发送到网络中的另外一台机器上的数据包。③Outputchain(输出链)
6、的规则作用于要向外发送的数据包。Ipchains采用规则链过滤包,就是将网络层、传输层以及相关的网络接口信息均与规则链中的每一条规则进行比较。如果规则满足,就执行规则中的动作部分(如:接受、拒绝等);若没有满足任一规则,将采用称为策略的默认规则或最后一条规则。配置Ipchains防火墙的规则一般有两种策略:①首先允许所有的包,然后再禁止有危险的包通过防火墙;②首先禁止所有的包,然后再根据所需要的服务允许特定的包通过防火墙。为了使系统有足够的安全性,一般采用第二种策略进行Ipchains防火墙的配置。其配置的命令格式一般是:Ipchains[命令选项]〈命令参数〉〈目标动
7、作〉。其中命令选项主要有:A)向链中增加规则;F)清除指定链中的所有规则。而命令参数主要有:i)数据包进入或离开的接口;j)指向规则的目标动作;s)数据包的源地址和接口;d)数据包的目的地址和接口。目标动作主要有:ACCEPT)允许数据包通过;DENY)丢弃数据包;MASQ)伪装数据包。Ipchains工作流程如图2所示。图2Ipchains工作流程图下面用Ipchains来构建linux防火墙1、物理结构一般防火墙主机采用双宿主机形式,又称双宿网关型防火墙,它是一种拥有两个连接到不同网络上的网络接口的防火墙,如图3所示。这种防火墙的最大
