iptable+防火墙.doc

目　录 一 绪论 1 二 iptables的工作原理 2 三 iptables的相关配置及详细配置过程 4 四 语法及选项 8 五 测试方案 11 六 设计小结 16 七 参考文献 17 一 绪论 防火墙作为网络安全措施中的一个重要组成部分，一直受到人们的普遍关注。LINUX是这几年一款异军突起的操作系统，以其公开的源代码、强大稳定的网络功能和大量的免费资源受到业界的普遍赞扬。LINUX防火墙其实是操作系统本身所自带的一个功能模块。通过安装特定的防火墙内核，LINUX操作系统会对接收到的数据包按一定的策略进行处理。而用户所要做的，就是使用特定的配置软件（如iptables）去定制适合自己的“数据包处理策略”。iptables是一款防火墙软件。它在Ubuntu系统中是默认安装的。通常情况下，iptables随系统一起被安装，但没有对通信作任何限制，因此防火墙并没有真正建立起来.从1.1内核开始，linux就已经具有包过虑功能了，在2.0的内核中我们采用ipfwadm来操作内核包过虑规则。之后在2.2内核中，采用了大家并不陌生的ipchains来控制内核包过虑规则。在2.4内核中我们不再使用ipchains，而是采用一个全新的内核包过虑管理工具--iptables。 这个全新的内核包过虑工具将使用户更易于理解其工作原理，更容易被使用，当然也将具有更为强大的功能。我们说过iptables只是一个管理内核包过虑的工具，iptables 可以加入、插入或删除核心包过滤表格(链)中的规则。实际上真正来执行这些过虑规则的是netfilter(Linux 核心中一个通用架构)及其相关模块(如iptables模块和nat模块) 二 iptables工作原理 iptables?IP?信息包过滤系统是一种功能强大的工具，可用于添加、编辑和除去规则，这些规则是在做信息包过滤决定时，防火墙所遵循和组成的规则。这些规则存储在专用的信息包过滤表中，而这些表集成在?Linux?内核中。在信息包过滤表中，规则被分组放在我们所谓的链（chain）中。我马上会详细讨论这些规则以及如何建立这些规则并将它们分组在链中。? 虽然?iptables?IP?信息包过滤系统被称为单个实体，但它实际上由两个组件?netfilter?和?iptables?组成。? iptables?组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。除非您正在使用?Red?Hat?Linux?7.1?或更高版本，否则需要从??下载该工具并安装使用它。? 通过使用用户空间，可以构建自己的定制规则，这些规则存储在内核空间的信息包过滤表中。这些规则具有目标，它们告诉内核对来自某些源、前往某些目的地或具有某些协议类型的信息包做些什么。如果某个信息包与规则匹配，那么使用目标?ACCEPT?允许该信息包通过。还可以使用目标?DROP?或?REJECT?来阻塞并杀死信息包。对于可对信息包执行的其它操作，还有许多其它目标。? 根据规则所处理的信息包的类型，可以将规则分组在链中。处理入站信息包的规则被添加到?INPUT?链中。处理出站信息包的规则被添加到?OUTPUT?链中。处理正在转发的信息包的规则被添加到?FORWARD?链中。这三个链是基本信息包过滤表中内置的缺省主链。另外，还有其它许多可用的链的类型（如?PREROUTING?和?POSTROUTING），以及提供用户定义的链。每个链都可以有一个策略，它定义“缺省目标”，也就是要执行的缺省操作，当信息包与链中的任何规则都不匹配时，执行此操作。? 建立规则并将链放在适当的位置之后，就可以开始进行真正的信息包过滤工作了。这时内核空间从用户空间接管工作。当信息包到达防火墙时，内核先检查信息包的头信息，尤其是信息包的目的地。我们将这个过程称为路由。? 如果信息包源自外界并前往系统，而且防火墙是打开的，那么内核将它传递到内核空间信息包过滤表的?INPUT?链。如果信息包源自系统内部或系统所连接的内部网上的其它源，并且此信息包要前往另一个外部系统，那么信息包被传递到?OUTPUT?链。类似的，源自外部系统并前往外部系统的信息包被传递到?FORWARD?链。?  接下来，将信息包的头信息与它所传递到的链中的每条规则进行比较，看它是否与某条规则完全匹配。如果信息包与某条规则匹配，那么内核就对该信息包执行由该规则的目标指定的操作。但是，如果信息包与这条规则不匹配，那么它将与链中的下一条规则进行比较。最后，如果信息包与链中的任何规则都不匹配，那么内核将参考该链的策略来决定如何处理该信息包。理想的策略应该告诉内核?DROP?该信息包。Iptables要求内核版本不低于2.3.5，在编译新内核时，要求选择和