基于iptables的Linux防火墙实验指导书

《基于iptables的Linux防火墙实验指导书》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、《网络安全》实验指导书基于iptables的Linux防火墙一、实验目的1、熟悉和掌握TCP/IP协议的基础概念和方法；2、掌握防火墙的概念、功能分类及实现方法；3、掌握Linux系统防火墙和基T*iptables的防火墙的配置方法。二、实验原理1、防火墙的任务防火墙在实施安全的过程中是至关重要的。一个防火墙策略要符合四个目标，而每个目标通常都不是一个单独的设备或软件来实现的。大多数情况下防火墙的组件放在一起使用以满足公司安全目的需求。防火墙要能满足以下四个目标：1＞实现一个公司的安全策略防火墙的主要意图是强制执行你的安全策略，比如你的安全策略需要对MAIL服务器的SMTP流

2、量做限制，那么你要在防火墙上强制这些策略。2＞创建一个阻塞点防火墙在一个公司的私有网络和分网间建立一个检查点。这种实现要求所有的流量都要经过这个检查点。一旦检查点被建立，防火墙就可以监视，过滤和检査所有进出的流量。网络安全中称为阻塞点。通过强制所有进出的流量都通过这些检查点，管理员可以集川在较少的地方来实现安全目的。3＞记录internet活动防火墙还能强制记录日志，并且提供警报功能。通过在防火墙上实现日志服务，管理员可以监视所有从外部网或互联网的访问。好的日志是适当网络安全的有效工具之一。4＞限制网络暴露防火墙在你的网络周围创建了一个保护的边界。并且对于公网隐藏了内部系统的

3、一些信息以增加保密性。当远程节点侦测你的网络时，他们仅仅能看到防火墙。远程设备将不会知道你内部网络的布局以及都有些什么。防火墙提高认证功能和对网络加密來限制网络信息的暴露。通过对所能进入的流量进行检查，以限制从外部发动的攻击。2、iptables及其命令格式iptables是Linux2.4.X的内核防火墙，其工作原理为对经过网络模块的数据包的处理，各数据包按流经位置进入相应的规则链，iptables逐条对比链内的规则，如果满足条件，则进行相应的动作。其配置文件为/etc/sysconfig/iptableso命令格式：iptables指令+规则链+条件+动作•iptable

4、s指令（对规则链的操作）■-Achain-append添加到规则链中■-Dchain-delete从规则链中删除匹配的规则■-L[chain]-list列出在一条链或所有链上的规则(-line-numbers)■-F[chain]-flush清除一条链或所有链上的规则■-Pchaintarget-policy把一个规则链上的策略改变为目标■iptables内置有三个表filter>nat、mangle,缺省为filter表，可使用参数來选择操作的表，用户可自定义表•iptables规则链(chain)进来的数据包发出的数据包A路由一►FORWARDI__t_INPUTOUTP

5、UTIptables条件■-sIP地址■-dIP地址■-i接口名■-o接口名源地址Fl的地址接收的接口发送的接口•ptcp/udp/icmp/47协议■-dport目的端口-sport源端口-syn建立连接请求■-mstateESTABLISHED/RELATED/NEW/INVALID状态包过滤•iptables动作(policy)(对数据包的操作)ACCEPTopRD■-jREJECT(tcp-reset/icmp-port-unreachable)三、实验步骤1、准备工作•同一局域网内的2台PC(或win主机+Linux虚拟机)a)A的操作系统为Linux,在A安装网络

6、服务及配置iptables；b)B对A的配置进行验证,主要使用基于icmp协议的ping命令和基于tcp协议的ftp相关命令或软件，假定B的ip为10.10.96.123o(建议不要使用机房配置的默认ip,因为可能会跟机房内同一网段的其他主机冲突;建议修改到其他网段,如192.168.11。。。。）•在A：1）安装vsftpd2）增加1个一般用户,如abc3）添加新增用户为ftp用户gedit/etc/vsftpd/vsftpd.conf,力口入userlist_enable=YESuserlist_deny=NOuserlist_fi1e=/etc/vsftpd/ulisg

7、edit/etc/vsftpd/ulis,力口入abc4）验证系统已打开iptables（默认）systemsetting・>serversetting->serviceconfig・>iptables•熟悉使用netstat命令分析当前的网络连接状态2、配置Linux的系统防火墙1）A:start->systemsetting->securitylevel->enableftp（only）,允许系统建立ftp连接2）B:ftp测试Z（使用userpswIsledget等命令）3）A:start->sy