LINUX防火墙 iptables 完全攻略介绍 ddos

《LINUX防火墙 iptables 完全攻略介绍 ddos》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、琼州学院电子信息工程学院课程设计报告Linux防火墙的研究与应用专业：网络工程年级：07级小组成员：魏雪峰韦世豪王攀超指导教师：蔡娜2010年11月摘要防火墙作为互联网络中使用最广泛的安全措施之一，伴随着近年来互联网的快速发展而得到了广泛的应用。本文主要是针对Linux下iptables防火墙的的应用进行学习与研究，侧重的介绍了iptables防火墙对常见的网络攻击和服务器的几种服务进行防范和保护，并以实例构建了一个完整的iptables防火墙。关键词：防火墙；Linux；netfilter；iptables；网络攻击目录第一章引言4第二章基于netfilter/iptables的防火

2、墙系统5第三章iptables的使用63.1iptables语法概述63.1.1表名选项63.1.2命令选项63.1.3链名选项63.1.4匹配选项63.2iptables语法命令使用举例73.2.1对链表的操作73.2.2对规则的操作8第四章几种常见的网络攻击手段104.1刺探和扫描104.2ip欺骗104.3拒绝服务攻击104.3.1SYNFlood104.3.2ping洪水攻击104.3.3碎片炸弹10第五章iptables针对以上几种攻击的防范规则125.1反端口扫描125.2IP地址欺骗防范125.2.1LocalhostIP125.2.2从Internet来的私有IP135

3、.2.3D类多播IP地址135.2.4E类保留IP地址135.3SYNFlood防御135.4ping洪水攻击防御135.5碎片炸弹防御13第六章iptables防火墙配置实例146.1设定防火墙脚本使用的符号常量和对防火墙进行初始化146.2对INPUT链进行设置166.3对OUTPUT链进行设置196.4对FORWARD链设置206.5实现NAT转发，使内网能访问外网20第七章测试217.1测试服务器的DNS服务是否能正常向内网提供解析服务217.2测试SSH服务是否正常217.3测试内外网能否访问服务器的Web站点227.4反扫描测试237.5ip欺骗与DDOS测试24第八章结论

4、26参考文献27第一章引言随着网络技术的迅速发展，加速了全球信息化进程，网络应用也更加普及。Linux凭借其系统的稳定性、强大的网络功能、开放的源代码等特性，得到了飞速的发展，越来越多的互联网用户开始使用Linux系统。Linux系统中内置了高性能的防火墙组件，使得Linux不仅可以保证本机系统的安全运行，还可以作为防火墙为内网用户提供高效的防护。本文先简要介绍了Linux防火墙的历史，然后详细介绍了以Netfilter为框架的iptables防火墙的工作方式、规则的编写，再介绍了几种常见的网络攻击，并在此基础上制订相应的防范规则，最后根据实例需求构建了一个iptables防火墙并做出

5、测试。第二章基于netfilter/iptables的防火墙系统Linux的防火墙由Linux内核提供，伴随着内核的发展而逐渐演变：在Linux内核版本1.1中，采用ipfw来操作内核包过滤规则，在Linux内核版本2.0中，采用ipfwadm来操作内核包过滤规则，在Linux内核版本2.2中，采用ipchains来控制内核包过滤规则。Netfilter/iptables出现于Linux内核版本2.4(现在最新版本为2.6.36.1)中，Netfilter是由RustyRussell提出的Linux2.4内核防火墙框架，该框架既简洁又灵活，可实现安全策略应用中的许多功能，如数据包过滤、

6、数据包处理、地址伪装、透明代理、动态网络地址转换(NetworkAddressTranslation，NAT)，以及基于用户及媒体访问控制(MediaAccessControl，MAC)地址的过滤和基于状态的过滤、包速率限制等。Netfilter由Fliter、NAT和Mangle三个规则表组成，每个表又有许多内建的链组成。通过使用iptables命令可以对这些表链进行操作，如添加、删除和列出规则等。Fliter、NAT和Mangle这三种表功能各不相同。不同规则表中的规则链是不同的。在Filter表中包含了三个规则链：INPUT、OUTPUT和FORWARD规则链，用于数据包过滤；在

7、NAT和Mangle表中除了上述规则链外，还包含PREROUTING和POSTROUTING链。表和链的关系如下图：其中，INPUT和OUTPUT链仅应用于匹配要进入和离开的数据包，FORWARD链只处理所有需要转发的数据包，PREROUTING用于修改目的地址（DNAT），POSTROUTING用于修改源地址（SNAT）。数据包通过iptables的具体流程如下：第三章iptables的使用3.1iptables语法概述iptables[-t