防火墙和NAT.ppt

《防火墙和NAT.ppt》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、防火墙与NAT的配置与管理结束防火墙概述包过滤防火墙原理Iptables配置防火墙NAT概述NAT的实现Linux下的包过滤防火墙管理工具从1．1内核开始，Linux就已经具有包过滤功能了，随着Linux内核版本的不断升级Linux下的包过滤系统经历了如下3个阶段：在2.0的内核中，采用ipfwadm来操作内核包过滤规则。在2.2的内核中，采用ipchains来控制内核包过滤规则。在2.4的内核中，采用一个全新的内核包过滤管理工具——iptables。现在最新Linux内核版本是2.4.1，在2.4内核中不再使用ipc

2、hains，而是采用一个全新的内核包过滤管理工具--iptables。这个全新的内核包过滤工具将使用户更易于理解其工作原理，更容易被使用，当然也将具有更为强大的功能。iptables作为一个管理内核包过滤的工具，iptables可以加入、插入或删除核心包过滤表格(链)中的规则。实际上真正来执行这些过滤规则的是Netfilter(Linux核心中一个通用架构)及其相关模块(如iptables模块和nat模块等)。包过滤原理路由选择FORWARD链INPUT链OUTPUT链本地处理进程入站包出站包包过滤原理1）如果数据包的

3、目的地址是本机，则系统将数据包送往INPUT链，如果通过规则检查，则该包被发给相应的本地进程处理；如果没通过规则检查，系统就会将这个包丢弃；（2）如果数据包的目的地址不是本机，也就是说，这个包将被转发，则系统将数据包送往FORWARD链，如果通过规则检查，则该包被发给相应的本地进程处理；如果没通过规则检查，系统就会将这个包丢掉；（3）如果数据包是由本地系统进程产生的，则系统将其送往OUTPUT链，如果通过规则检查，则该包被发给相应的本地进程处理；如果没通过规则检查，系统就会将这个包丢掉。包的处理方式Iptables–A

4、INPUT–picmp–jDROP处理方式：drop丢弃、accept接受、reject弹回Iptables–L–n查看如：允许sshiptables-AINPUT-ptcp-d10.1.1.1--dport22-jACCEPTiptables-AOUTPUT-ptcp-s10.1.1.1--sport22-jACCEPTIptables管理防火墙Iptables–help

5、more查看帮助改变默认策略iptables–PINPUT

6、FORWARD

7、OUTPUTDROP保存：系统启动时会加载此文件种的配置service

8、Iptablessave或iptables-save>/etc/sysconfig/iptables开启转发功能：echo1>/proc/sys/net/ipv4/ip_forward若要永久生效：vi/etc/sysctl.conf更改net.ipv4.ip_forward=119.1NAT概述返回19.1.1NAT的工作原理19.1.2NAT的分类结束19.1.1NAT的工作原理NAT是将一个地址段映射到另一个地址段的标准方法。NAT根据RFC1631开发的IETF标准，允许一个IP地址段以一个公有IP地址出现在I

9、nternet上。NAT可以将内部网络中的所有节点的地址转换成一个IP地址，反之亦然。返回19.1.2NAT的分类NAT按照所采用的地址转换技术可以分为三类，即静态NAT，动态NAT和端口NAT。静态NAT的设置最为简单，内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址。动态NAT则是在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络。这一系列外部网络的合法地址放在地址池中，因此动态NAT也常被称为NAT池。端口NAT则是把内部地址映射到外部网络的一个IP地址的不同端口上。根据不同的需要，

10、各种NAT方案有利有弊，本书在19.3节具体介绍这三种不同的地址转换方式。返回19.2NAT的地址概念返回19.2.1内部本地地址19.2.2内部全局地址结束19.2.3外部本地地址19.2.4外部全局地址19.2.1内部本地地址内部本地地址（InsideLocalIPAddress）是指在内部网上分配到一个主机的IP地址。这个地址一般不是由网络信息中心NIC或服务提供商所分配的合法IP地址，而是私有地址。返回19.2.2内部全局地址内部全局地址（InsideGlobalIPAddress）是指合法的IP地址（由网络信

11、息中心NIC或服务提供商分配）。返回19.2.3外部本地地址外部本地地址（OutsideLocalIPAddresss）是指外部网络的主机地址，属于外部网络的私有地址。返回19.2.4外部全局地址外部全局地址（OutsideGlobalIPAddresss）是指外部网络主机的合法地址。返回19.3NAT地址转换方式返回19.3.1