《网络操作系统》课程教学资源（PPT课件）第十章 Linux防火墙Iptables

第十一章Linux防火墙iptables·防火墙的任务iptables中的表和链iptables中的规则防火墙举例

第十一章 Linux防火墙iptables ⚫防火墙的任务 ⚫iptables中的表和链 ⚫iptables中的规则 ⚫防火墙举例

11.1防火墙防火墙的本义原是指古代人们门房屋之间修建的那道墙，这道墙可以防止火灾发生的时候蔓延到别的房屋防火墙是一种非常有效的网络安全模型通过它可以隔离Internet与局域网的连接并通过监控进出网络的通信量，仅让安全、核准了的信息进入，从而实现对内部网络的保护

11.1 防火墙 ⚫防火墙的本义原是指古代人们房屋之间修 建的那道墙，这道墙可以防止火灾发生的 时候蔓延到别的房屋。 ⚫防火墙是一种非常有效的网络安全模型， 通过它可以隔离Internet与局域网的连接， 并通过监控进出网络的通信量，仅让安全、 核准了的信息进入，从而实现对内部网络 的保护

防火墙的基本类型防火墙可以由软件或硬件实现。●三种类型：○包过滤防火墙○代理服务器○状态监视器

防火墙的基本类型 ⚫防火墙可以由软件或硬件实现。 ⚫三种类型： 包过滤防火墙 代理服务器 状态监视器

防火墙的限制对于未知的攻击模式，防火墙无法防范：无法防范病毒的攻击：不经过防火墙的连接，防火墙无法控制

防火墙的限制 ⚫对于未知的攻击模式， 防火墙无法防范； ⚫无法防范病毒的攻击； ⚫不经过防火墙的连接，防火墙无法控制

防火墙的任务实现安全策略创建一个阻塞点记录Internet行为限制网络的暴露

防火墙的任务 ⚫实现安全策略 ⚫创建一个阻塞点 ⚫记录Internet行为 ⚫限制网络的暴露

11.2 NetFilter & iptables●NetFilter：Linux内核中iptables：用户程序主要功能：OfilterOnatOmangle

11.2 NetFilter & iptables ⚫NetFilter：Linux内核中 ⚫iptables：用户程序 ⚫主要功能： filter nat mangle

iptables中的表和链lptables工作流程PREROUTINGPOSTROUTINGconntrackconntrackmanglenat-MASQUERADEnat-DNATnat-SNATFORWARDfilterINPUTOUTPUTfilterfilterTmangleconntrackconntrackknowplace.org

iptables中的表和链 ⚫Iptables工作流程

表、链和规则●Tables：提供特定的功能，有三种表：filter,Nat,和mangle，可以对包进行各种不同的操作。●Chains：是包传播的路径，不同的表包含了不同的内置链。Rules：在链中实现某个特定匹配的准则

表、链和规则 ⚫Tables：提供特定的功能，有三种表：filter, Nat,和mangle，可以对包进行各种不同的操 作。 ⚫Chains：是包传播的路径，不同的表包含了 不同的内置链。 ⚫Rules：在链中实现某个特定匹配的准则

Filter表Filter表是专门过滤包的，内建三个链：OFORWARD链过滤所有不是本地产生的并且目的地不是本地（所谓本地就是防火墙了）的包OINPUT恰恰针对那些目的地是本地的包OOUTPUT是用来过滤所有本地生成的包的。可以采取的处理：ODROPOACCEPTOREJECTOLOGORETURN

Filter表 ⚫ Filter表是专门过滤包的，内建三个链： FORWARD 链过滤所有不是本地产生的并且目的地不是 本地（所谓本地就是防火墙了）的包 INPUT恰恰针对那些目的地是本地的包。 OUTPUT 是用来过滤所有本地生成的包的。 ⚫ 可以采取的处理： DROP ACCEPT REJECT LOG RETURN

Mangle表这个表主要用来mangle数据包。可以改变不同的包及包头的内容，比如TTL，TOS或MARK。这个表有五个内建的链：OPREROUTING在包进入防火墙之后、路由判断之前改变包，OPOSTROUTING是在所有路由判断之后。OOUTPUT在确定包的目的之前更改数据包，OINPUT在包被路由到本地之后，但在用户空间的程序看到它之前改变包。OFORWARD在最初的路由判断之后、最后一次更改包的目的之前mangle包

Mangle表 ⚫ 这个表主要用来mangle数据包。可以改变不同的 包及包头的内容，比如 TTL，TOS或MARK。这 个表有五个内建的链： PREROUTING在包进入防火墙之后、路由判断之前改变 包， POSTROUTING是在所有路由判断之后。 OUTPUT在确定包的目的之前更改数据包。 INPUT在包被路由到本地之后，但在用户空间的程序看到 它之前改变包。 FORWARD在最初的路由判断之后、最后一次更改包的 目的之前mangle包