资源描述：
《《网络安全》ppt全套电子课件教案09linuxip防火墙及其原理》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、LinuxIP防火墙及其原理IP防火墙简介需求Internet&Intranet安全Internet应用的扩展防火墙的作用限制进入控制点防止进攻者接近内部限制内部用户防火墙的弱点内部问题LinuxIPFirewall原理入转发出本机De-masqmasqinputoutput注解:Masq是只对传送这个动作和用户自定义的Chain有效的处理Input,output,forwardInputInputoutputoutputforwardforward注解:LINUX系统中比较出名的防火墙模式是IPChains，它属于一种数据包过滤防火墙。使用IPChains基本上能够达到较好的保护网络系统免受
2、外界网络的干扰。在系统缺省情况下会有三个内建的Chains:input、output、forward分别处理出入及传送的规则。IPMasquerade[NAT]注解:NAT（NetworkAddressTranslation）即网络地址翻译又名网络地址转换，将内部的原地址192.168.111.5（该地址称为保留地址，不可在互联网上路由的IP地址）转换为目的地址200.200.200.200，以便达到保护内部网络信息的目的。IPMasquerade(NAT]原理192.168.0.1防火墙202.112.1.109外部地址202.112.199内部用户192.168.0.2192.168.0.
3、2:6012伪装192.168.0.2:6012202.112.1.109:60001202.112.1.109:60001注解:防火墙（FireWall）的内口IP地址：192.168.0.1；外口IP地址：202.112.1.109，内部用户准备利用IP地址为：192.168.0.2的主机并且采用6012端口，通过防火墙的NAT功能去访问IP地址为：202.112.1.99的服务器，防火墙最终将用户IP地址转换成202.112.1.109并且将端口转换成6001。IPAccounting2.0.x专门的计费链2.2.x每条规则一个文件/proc/net/ipv4/...Libipfwc(i
4、pchains)注解:不同版本的LINUX其实现的机制和IPChains的运行规则是不同，所以请各位在具体应用中要特别注意加以区别。比如在Linux 2.4 内核中就主要采用IPtables，IPtables新增很多功能，如：内置规则的重新定义，简单化规则管理；采用状态机制（STATEFUL），对规则允许的包在回复时就直接通过不同进行规则匹配；采用IPtables非常轻松实现NAT和重定向功能。防火墙规则配置的基本准则.一切未被允许的就是禁止的。防火墙应该封锁所有的信息流，然后对希望提供的服务逐项开放。优点:实用,安全.缺点:可靠性高于易用性..一切未被禁止的就是允许的。防火墙应该转发所有
5、的信息流，然后逐项屏蔽有害的服务。优点:灵活,缺点安全可靠性不高LinuxIP防火墙的规则匹配按规则链来进行匹配使用src,dst,port,ip-opt,来匹配使用-jtarget来动作从头到尾的匹配方式匹配成功马上停止立刻使用该规则的target[-j]Accept,Deny,reject,etc.IPChains简介[1]ipchains1.3.9规则[build-inChains]input,output,forward目标(targets]AcceptRejectDenyMASQREDIRECTRETURN操作规则Add,Delete,Append.-X,DeleteAllIpcha
6、ins简介[2]规则匹配协议,-p[!]protocol,-ptcp,icmp,udp,all,地址源地址&端口-s[!]address[[!]port]目的地址&端口-d[!]address[[!]port]SYN位.[!]-y,第一个tcp请求包网络接口-i[!]name,-ieth0双向,-bipchains---例子例子input确省拒绝ipchains-PinputACCEPT不允许192.168.1.1进入防火墙ipchains-Ainput-jDENY-s192.168.1.1从10.11.11.x来的包要作NATipchains-Aforward-jMASQ-s10.11.11
7、.0/24Ipchains例子[2]允许内部用户访问外部,不允许外部访问内部ipchains-Aoutput-y-s192.168.1.1-ieth0-jACCEPTipchains-Ainput-y-jDENY-ieth0不允许内部用户访问12.34.56.78ipchains-Ainput-d12.34.56.78-ieth1-jDENY更复杂的例子http://gem.ncic.ac.cn/
