防火墙技术具体实现论文.doc

基于LINUX操作系统的防火墙技术及其具体实现 来源：考试吧（E）　2007-11-25 12:33:00　【考试吧：中国教育培训第一门户】　论文大全 - 后，照样要例行INPUT链的检查。之后，数据包被送到FORWARD链，接受系统内核的“伪装处理”，即将包头中的源IP地址改为防火墙外部接口eth0的地址，并在系统中做下记录，以便一会儿对其回应包的目的IP进行“恢复”。这样，当该数据包顺利从外部接口出来时，其包头中源IP已被改为。远程服务器会认为这是从防火墙的合法地址发来的，从而对其做出响应。当远程服务器返回的回应包到达防火墙时，先经过INPUT链，然后会根据系统关于IP伪装的记录对数据包的目的IP进行恢复，即将改为，最后再经过OUTPUT链返回到steven主机。?? 为了实现这个过程，我们必须在防火墙规则脚本中添加以下规则：ipchains –A input –i eth1 –p tcp –s 1110 –d 31 80 –j ACCEPTipchains –A output –i eth0 –p tcp –s 1050 –d 31 80 –j ACCEPTipchains –A input –i eth0 –p tcp !-y –s 31 80 –d 1050 –j ACCEPTipchains –A output –i eth1 –p tcp ! –y –s 31 80 –d 1110 –j ACCEPT? ipchains –A forward –i eth0 –s 1110 –d 31 80 –j MASQ?? 与代理功能比较而言，IP伪装不需要安装相应的代理软件，数据包的伪装对用户来说都是“透明”的，并且整个过程都是在IP层实现，因此实现速度较快。缺点是不能对经过的数据包作详细的记录。以上介绍了LINUX防火墙在实际的设置中常用到的三种功能。但一般说来，用户在创建自己的防火墙规则脚本时，可以根据自己的需要将这三种功能组合起来实现。4?? 一个LINUX防火墙实例以下是我前一段时间为某办公室搭建的LINUX防火墙的实际配置，给出以供参考。?? 该室网络拓扑图如图5：?? 有两个局域网，LAN1地址：5/48为公共网络IP，LAN2地址为/,为内部保留地址。LINUX防火墙有两个内部接口：0接LAN1；接LAN2。现对防火墙进行配置，使LAN2的主机通过IP伪装访问互联网，但只允许使用外部Web代理服务器4的1252端口。LAN1中的主机被限制使用几种常用的互联网服务（DNS、SMTP、POP3、HTTP和FTP）。下面就是创建的防火墙规则脚本：#/etc/rc.d/rc.firewall#!/bin/sh# eth0---External_interface# eth1---LAN1_interface# eth2---LAN2_interfaceecho Starting firewalling . . .#Flush any existing rules from all chainsipchains -F#Set the default policy to denyipchains -P input DENYipchains -P output REJECTipchains -P forward REJECT#Enable traffic on the loopback interfaceipchains -A input -i lo -j ACCEPTipchains -A output -i lo -j ACCEPT#Enable the traffic on the eth1ipchains -A input -i eth1 -j ACCEPTipchains -A output -i eth1 -j ACCEPT#the traffic on the eth2 only enablling using the WEB PROXY ipchains -A input -i eth2 -p tcp -s /24 1024:65535 -d 4 1252 -j ACCEPTipchains -A output -i eth2 -p tcp ! -y -s 4 1252 -d /24 1024:65535 -j ACCEPT#Forwarding rulesipchains -A forward -i eth0 -s 4/29? -j ACCEPTipchains -A forward -i eth0 -s /24? -j MASQipchains -A forward -i eth1 -d 4/29 -j ACCEP