基于LINUX操作系统的防火墙技术及实现.pdf

《基于LINUX操作系统的防火墙技术及实现.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、万方数据第24卷第3期2008年3月吉林工程技术师范学院学报JournalofJilinTeachersInstituteofEngineeringandTechnologyVoL24No．3Mar．2008基于LINUX操作系统的防火墙技术及实现宋阳1，张志勇2(1．吉林工程技术师范学院信息工程学院，吉林长春130052；2．长春师范学院信息技术学院，吉林长春130032)[摘要]介绍了LINUX下常用的防火墙规则配置软件Ipchi璐；从实现原理、配置方法以及功能特点的角度描述了LINUX防火墙的三种功能；并给出

2、了—个LINUX防火墙实例作为参考。【关键词]LINUX防火墙；ipehaim代理；口伪装【中围分类号]TP319[文献标识码】A[文章编号】1009—9042(2008)03一oo"／1一03TheAchievementofFireWallsSkillWhichBasesonLINUXOperatingSystemSONGYan91，ZHANGZhi—yon92(1．SchoolofInformationandEngineering，JilinTeachersInstituteofEngineeringandTe

3、chnology，ChangchunJilin130052，China；2．InformationTechnologyDepartmentofChangchunTeachersColZege，Changchun五Z讥130032，China)Abstract：Thispaperintroducesansoftware—-IpchainsoffirewallwhichisusedunderLINUXsurroundings．ItdescribesthreefunctionaboutLINUXfirewallwhich

4、baseonactualprinciple、disposivemethodandpeculiarity．Ontheotherhands，inthisarticleLinuxfirewallexampleissirenasreference．Keywords：LINUXfirewall；ipchainsagent；IPmasquerade防火墙作为网络安全措施中的—个重要组成部分，一直受到人们的普遍关注。UNUX是这几年来一款异军突起的操作系统，它以其公开的源代码、强大稳定的网络功能和大量的免费资源受到业界的普遍赞扬

5、。LtNUX防火墙其实是操作系统本身所自带的—个功能模块，通过安装特定的防火墙内核，LINUX操作系统就会对接收到的数据包按昭—定的策略进行处理；而用户所要做的，就是使用特定的配置软件(如ipchaills)去定制适合自己的“数据包处理策略”。1LINUX防火墙配置软件一Ipchains耻haills是IXNUX2．1及其以上版本中所带的一个防火墙规则管理程序。用户可以使用它来建立、编辑、删除系统的防火墙规则；但通常，用户需要自己去创建一个防火墙规则脚本并使系统在启动时会自动运行这／t'-／l却本。一个LINUX防

6、火墙系统的安全机制是通过hl—put、Output、Forward这三个“防火链”来实现的。用户正是使用ipchains在这三个“链”上分别创建一套“防火规则”来完成对到来数据包层层限制的目的。其中，每个链都包括一组由用户创建的过滤规则，数据包依次到达每个链，并比较其中的每条规则，直到找出匹配规则并执行相应策略(如通过、拒绝等)，否则执行默认策略。实际上，数据包在到达Input链之前还要进行测试和正常性检查，在到路由表之前还要被判断是否被伪装。2LINUX防火墙的几种常见功能由于每一个用户的要求和所处的环境都不一收

7、稿日期：2007-01—05作者简介：宋阳(1973一)，女，吉林人，吉林工程技术师范学院信息工程学院讲师，硕士，主要从事计算机专业基础课教学研究。万方数据·72·吉林工程技术师范学院学报2008年3月样，LINUX防火墙会根据用户的设置去实现各种不同的功能；但一般说来，以下三种功能是大多数用户最常用到的：2．1包过滤对数据包进行过滤可以说是任何防火墙所具备的最基本的功能，而LINUX防火墙本身是从某个角度也可以说是一种“包过滤防火墙”。在LINUX防火墙中，操作系统内核对到来的每一个数据包进行检查，从它们的包头中

8、提取出所需要的信息，如源IP地址、目的口地址、源端口号、目的端口号等，再与已建立的防火规则逐条进行比较，并执行所匹配规则的策略或执行默认策略。通过在防火墙外部接口处对进来的数据包进行过滤，可以有效地阻止绝大多数有意或无意地网络攻击，同时，对发出的数据包进行限制，可以明确地指定内部网中哪些主机可以访问互联网，哪些主机只能享用哪些服务或登陆哪些站点，从而实现对内