当前位置：文档之家 › 浅谈iptables在小型企业网络中的应用

浅谈iptables在小型企业网络中的应用

  • 格式：pdf
  • 大小：130.00 KB
  • 文档页数：2

2010年第3期福建电脑浅谈iptables在小型企业网络中的应用伍德雁（武汉大学计算机学院湖北武汉430072）【摘要】：网络安全是企业网络设计中重要的环节。

iptables是小型企业网络设计中比较好的防火墙选择。

iptables是Linux集成的IP信息包过滤工具。

通过配置适当的防火墙规则，iptables可以很好地保护企业网络。

【关键词】：小型企业；网络安全；iptables一、背景随着Internet和我国信息化进程的快速发展，网络被应用到家庭娱乐、商业应用、科学研究、政务服务等人类生活的各个方面，网络已经与人们的各方面利益密切相关。

各种利益纷争也从现实社会中漫延到了网络上。

利益驱使下的网络安全事件层出不穷。

国家计算机网络应急技术处理协调中心在《2007年网络安全工作报告》中指出："2007年，我国公共互联网网络整体上运行基本正常，但从CNCERT/CC接收和监测的各类网络安全事件情况可以看出，网络信息系统存在的安全漏洞和隐患层出不穷，利益驱使下的地下黑客产业继续发展，网络攻击的种类和数量成倍增长，终端用户和互联网企业是主要的受害者，基础网络和重要信息系统面临着严峻的安全威胁。

2007年各种网络安全事件与2006年相比都有显著增加。

"到了2008年，"网络攻击的频次、种类和复杂性均比往年大幅增加，遭入侵和受控计算机数量巨大，潜在威胁和攻击力继续增长，信息数据安全问题日益突出，网络安全形势依旧严峻。

"（国家计算机网络应急技术处理协调中心《中国互联网网络安全报告(2008年上半年)》）网络安全已经成为人人关心、人人重视的问题。

对于商业应用而言，网络安全问题显得尤为重要，所以，在企业网络中，安全防范是网络设计中极为重要的一环。

其中必不可必的防范措施是在网络出口处部署防火墙。

高端硬件防火墙对于小型企业、特别是刚起步的小型企业来说在成本上是无法承受的。

另外，目前市售的低端家庭用防火墙由于性能低下、设置不灵活也不适用于小型企业。

综合各方面考虑，Linux下集成的防火墙iptables则是小型企业的比较好的选择。

二、iptables介绍iptables是Linux集成的功能强大、使用灵活、可以对流入和流出的数据进行细粒度控制的IP信息包过滤工具。

在iptables 中，可灵活地添加、编辑和删除规则，这些规则是在做信息包过滤决定时，防火墙所遵循和组成的规则。

这些规则存储在专用的表中，而表集成在链（chain）中。

1、iptables的链和表链是数据包流经iptables时的路径节点，表是链中存放相关规则的位置。

最终目的地为非本地系统的中转数据包和最终目的地为本地系统的数据包所流经的链是不一样的。

当iptables部署在网络出入口作为网络防火墙的时候，iptables处理的数据包都为中转数据包。

所以，本文中我们只关注中转数据包所经过的链和相关的表。

数据包从网络流经iptables时，首先流入的链是PRE-ROUTING，然后是FORWARD，最后经由POSTROUTING链流出iptables。

iptables常用的表有mangle,nat,filter等。

mangle表同时存在于PREROUTING、FORWARD、POSTROUTING链中，mangle表的作用是修改数据包的相关特性域，可以被修改的域有TOS、TTL、MARK。

nat表用来做地址转换，也就是转换包的源或目的地址。

实际的操作分为以下几类：filter表用来过滤数据包，防火墙主要的工作就是在filter表中根据实际需要添加相应的规则根据包的内容对包做DROP或ACCEPT的。

2、iptables的状态机制iptables是状态防火墙。

状态防火墙能够对连接状态进行跟踪，能够实现非状态防火墙不能实现的规则。

状态机制是企业防火墙必不可少的功能。

在iptables里，被跟踪的连接划分成四种不同的状态，它们分别是NEW，ESTABLISHED，RELATED和INVALID。

NEW是指防火墙检测到的某连接的第一个数据包。

ESTABLISHED是指防火墙在NEW的基础上检测到了该连接的应答数据包，也就是说，检测到了NEW数据包的目的主机发往源主机的第一个数据包。

RELATED是指与ESTABLISHED状态的连接有关系的连接。

ftp是个RELATED的很好的例子，FTP-data连接就是和FTP-control有RELATED的。

INVALID状态说明数据包不能被识别属于哪个连接或没有任何状态。

3、iptables的命令格式iptables是和LINUX内核集成在一起的，没有专用的操作界面，而是直接使用LINUX命令行。

iptables基本命令格式如下：iptables[-t table]command[match][target/jump]如果省略-t table选项，默认使用filter表。

command指示iptables做什么，比如：在FORWARD链的末尾添加一条新规则：-A FORWARD。

match用来匹配数据包，我们可以指定包的来源IP地址，网络接口，端口，协议类型等，使用--state匹配操作，我们很容易使用iptables的状态机制编写功能强大的规则。

target/ jump是对匹配数据包的处理，可以跳到自定义链，也可以采取系统预定的处理。

三、iptabels在小型企业网络中的应用假定某小型企业网络拓扑如图示，该企业由于网络规模较小，出于成本的考虑，不配备专门的路由器，由LINUX实现简单的路由转发，同时，由iptables保护企业网络不遭受恶意攻击。

LINUX配备了两个网卡eth0和eth1，eth0连接内网，eth1通过各种可行链路连接到ISP的路由器。

企业网络采用私有IP：192. 168.1.0/24，企业的web服务器192.168.1.254通过公有IP：a1.b1. c1.d1对外公布，个人主机PAT转换后通过eth1的公有IP访问外网。

其它具体配置见图示。

1552010年第3期福建电脑!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!（上接第198页）计算机文化基础课的教学改革是一个不断发展，永不停息的任务，随着计算机技术的不断进步，教学改革必须紧随技术发展，否则就失去课程教学的最初目的。

文中提出的"课堂互动、互相帮教、实例实践、能力考核"教学改革方案，通过实际教学检验是非常可行的，新的教学方案不仅提高了对学生的要求，同时也对任课教师提出了更高的要求，教师必须通入更大的精力备课教学。

新的教学改革方案难免有不足之处，今后会在实践教学当中不断改进提高。

参考文献：[1]徐立新.计算机文化基础教程[M].北京：电子工业出版社，2006.[2]常静,常天松等.任务驱动是教学法在计算机文化基础课程中的应用[J].河南机电高等专科学校学报，2007(4):118-120.[3]林育蓓.计算机文化基础教学要与时俱进[J].教育理论与实践，2007(27):181-182.[4]胡西川.多元智能理念与高校计算机基础课程设置[J].理工高教研究,2005,(06)[5]祁瑞华.计算机基础课分层次教学的探索与实践[J].长春教育学院学报,2008,(02)（上接第133页）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!以下是结合本案例的防火墙常用数据包过滤规则以及其在iptable 中的实现：1、由于无法枚举外网的恶意主机，所以，企业防火墙一般采用白名单方式。

所以，首先要改变iptables 的缺省过滤为拒绝所有数据包，也就是iptbles 的策略。

iptables -P INPUT DROPiptables -P FORWARD DROP2、拒绝网络地址与内部注册IP 地址匹配的所有入站流量-入站流量不应源自与内部地址匹配的网络地址。

iptables -A FORWARD -s 192.168.1.0/24-i eth1-j DROP 3、拒绝所有入站ICMP Echo 请求流量-该规则可防止内部网络主机收到不受信任网络的Ping 请求。

iptables -A FORWARD -i eth1-p icmp --icmp-type 8-j DROP4、外网除了可以主动访问企业对外公布的服务器外（本案例中是web 服务器），不允许主动访问其它个人主机，但允许个人主机主动访问外网。

iptables -A FORWARD -i eth0-s 192.168.1.0/24-j AC -CEPTiptables -A FORWARD -i eth1-d 192.168.1.254-j AC -CEPTiptables -A FORWARD -i eth1-m state --state RELATED,ESTABLISHED -j ACCEPT5、内网主要访问外网在出口处转换成公有IP 。

iptables -A POSTROUTING -s 192.168.1.254-i eth0-j SNAT --to-source a1.b1.c1.d1iptables -A POSTROUTING -i eth0-j SNAT -to-source a.b.c.d以上的防火墙规则和iptables 配置很好地实现了企业网络的保护功能，在实现内网能够主机访问外网的同时，能够拒绝一切恶意的访问。

其中，第3点也可以不显式配置，iptables 策略会拒绝来自外网的echo 请求数据包。

显式列出该规则有助于网管人员理解企业需求，方便后续维护。

四、结束语iptables 是Linux 集成的功能强大、使用灵活、可以对流入和流出的数据进行细粒度控制的IP 信息包过滤工具，iptables 对运行环境的要求不高，可以在低配置机器上很好地运行。

iptables防火墙是小型企业网络基于成本考虑的比较好的防火墙选择。

本文试就笔者实际工作经验结合具体案例探讨了iptables 在小型企业网络中的应用。

希望本文能起到抛砖引玉的作用。

参考文献：1、iptables 随机文档2、Mugdha Vairagade ：《netfilter/iptables 简介》，/de -veloperworks/cn/linux/network/s-netip/3、恒逸资讯，陈勇勋：《更安全的Linux 网络》，电子工业出版社飞思公司，20094、《2007年网络安全工作报告》，/5、《中国互联网网络安全报告(2008年上半年)》，/BRAS 不做为PE ，因此在BRAS 上运行静态路由协议，以避免多个VR/Context 同时运行OSPF 时，OSPF 路由条目增大和OSPF 收敛对BRAS 设备稳定性造成影响。

合集下载

浅谈iptables在小型企业网络中的应用

浅谈iptables在小型企业网络中的应用


对 于 商 业 应 用 而 言 ， 络 安 全 问 题 显 得 尤 为重 要 ． 以 ． 网 所 在 Ｆ ’ ｃ ｎ ｏ 有 Ｒ Ｌ Ｔ Ｄ 的 。 Ｉ— ｏ ｔ ｌ Ｐ ｒ Ｅ Ａ Ｅ
ＩＶ ＬＤ 状 态 说 明数 据 包 不 能被 识 别 属 于 哪 个 连 接 或 没 有 ＮＡ Ｉ 可 必 的 防范 措 施 是 在 网络 出 １ 部 署 防火 墙 。 高端 硬 件防 火 墙 任 何 状态 ３处 － 对 于小 型 企 业 、特 别 是 刚 起 步 的小 型企 业 来 说 在 成 本 上 是 无 法 ３ ｉｔ ｌ 的 命 令 格 式 、 ａ ｅ ｐ ｂ ｓ
ｉｅ ｆｔ 表 用 来 过 滤 数 据包 ． 火 墙 主 要 的工 作 就是 在 ｆｔ 表 ｌｒ 防 ｉｅ ｌｒ
中根 据 实 际需 要 添 加相 应 的规 则 根 据 包 的 内容 对 包 做 Ｄ Ｏ Ｒ Ｐ或
２ ｉｔ ｌ 、 ａ ｅ ｐ ｂ ｓ的状 态 机 制 ｉｔ ｌ 是 状 态 防 火墙 。 态 防 火 墙 能 够 对 连接 状 态 进 行 跟 ｐａ ｅ ｂ ｓ 状
网络 安 全 已经 成 为 人 人关 心 、 人重 视 的 问题 人 Ｒ Ｌ Ｔ Ｄ是 指 与 Ｅ Ｔ Ｂ Ｉ Ｈ Ｄ 状 态 的连 接 有 关 系 的 连 Ｅ ＡＥ Ｓ Ａ ＬＳ Ｅ
接 。ｆ ｆ 个 Ｒ Ｌ Ｔ Ｄ 的 很 好 的 例 子 ， Ｉ ｄ ｔ 接 就 是 和 ｐ是 Ｅ Ｅ Ａ Ｆ — ａ ａ连
不穷 。 国 家计 算 机 网 络 应 急 技 术 处 理 协 调 中 心 在 （０ ７年 网络 （０ ２
安全工作报告》 中指 出 ：
Ｃ Ｃ Ｒ ／ Ｃ 接 收 和监 测 的 各类 网 络 安 全 事件 情况 可 以看 出 ． Ｎ Ｅ ＴＣ 网 络 信 息 系 统存 在 的安 全 漏 洞 和 隐 患 层 出不 穷 ．利 益 驱 使 下 的 地
使用 iptables 进行网络安全配置

使用 iptables 进行网络安全配置

使用 iptables 进行网络安全配置网络安全是当今互联网上最重要的问题之一。

针对这个问题，使用iptables进行网络安全配置是一种行之有效的方法。

本文将探讨如何使用iptables进行网络安全配置。

什么是iptables？Iptables是一个用户空间程序，用于配置Linux内核中的防火墙规则。

它可以帮助您在多个网络之间进行数据包过滤和NAT（网络地址转换）操作。

Iptables的规则集可以非常复杂，因此使用iptables需要一定的技术和经验。

iptables的重要性遵循最佳实践的安全策略可以减少网络安全风险和漏洞。

iptables是保护Linux服务器的一种非常有效的工具。

通过iptables，可以轻松地控制网络流量，从而保护服务器免受恶意攻击和其他安全威胁。

使用Iptables进行网络安全配置iptables规则集由若干网络过滤链组成，每个链包含一组规则。

这些规则确定何时接受、拒绝、转发或修改网络通信。

以下是使用iptables进行网络安全配置的基本步骤：1.了解iptables的结构与过滤链在iptables规则集中，有五个网络过滤链：输入（INPUT）、输出（OUTPUT）、转发（FORWARD）、PREROUTING和POSTROUTING。

输入链（INPUT）：输入链用于控制从外部网络中进入服务器的流量。

输出链（OUTPUT）：输出链用于控制从服务器向外部网络发送的流量。

转发链（FORWARD）：转发链用于控制由服务器转发到其他网络节点的流量。

PREROUTING 链：此过滤链用于控制网络地址转换（NAT）之前的流量。

POSTROUTING 链：此过滤链用于控制网络地址转换（NAT）之后的流量。

2.设置默认策略默认策略指的是当某个数据包不符合任何规则时应该采取的操作。

可以设置默认策略为拒绝或允许，根据网络环境和安全要求进行设置。

命令示例：#默认策略设置为允许iptables -P INPUT ACCEPTiptables -P OUTPUT ACCEPTiptables -P FORWARD ACCEPT#默认策略设置为拒绝iptables -P INPUT DROPiptables -P OUTPUT DROPiptables -P FORWARD DROP3.添加规则对于每个过滤链，可以添加规则控制网络流量。

iptables的用法

iptables的用法

iptables的用法iptables是Linux系统中防火墙工具，用于配置、管理和过滤网络流量。

它可以用于设置各种规则，以控制网络传输，过滤入站和出站流量，并允许或拒绝特定的网络连接。

以下是iptables的常见用法：1. 查看当前的iptables规则：```iptables -L```2. 清除当前的iptables规则：```iptables -F```3. 允许特定IP地址的访问：```iptables -A INPUT -s <IP_ADDRESS> -j ACCEPT```4. 禁止特定IP地址的访问：```iptables -A INPUT -s <IP_ADDRESS> -j DROP```5. 允许特定端口的访问：```iptables -A INPUT -p tcp --dport <PORT_NUMBER> -j ACCEPT```6. 允许特定协议的访问：```iptables -A INPUT -p <PROTOCOL> -j ACCEPT```7. 配置端口转发：```iptables -t nat -A PREROUTING -p tcp --dport <SOURCE_PORT> -j DNAT --to-destination<DESTINATION_IP>:<DESTINATION_PORT>```8. 配置端口映射：```iptables -t nat -A POSTROUTING -p tcp -d <DESTINATION_IP> --dport<DESTINATION_PORT> -j SNAT --to-source <SOURCE_IP>```以上只是iptables的一些常见用法，它还提供了更多高级功能和选项，可以根据具体需求进行配置和使用。

Linux命令高级技巧使用iptables和ufw命令进行网络防火墙配置

Linux命令高级技巧使用iptables和ufw命令进行网络防火墙配置

Linux命令高级技巧使用iptables和ufw命令进行网络防火墙配置Linux命令高级技巧：使用iptables和ufw命令进行网络防火墙配置在Linux操作系统中，网络防火墙是保护系统网络安全的重要组成部分。

通过合理配置网络防火墙规则，可以控制网络流量的进出，阻挡恶意攻击和未经授权的访问，确保系统的安全性。

本文将介绍Linux 中的两个重要命令iptables和ufw，以及使用它们进行网络防火墙配置的高级技巧。

一、iptables命令iptables是Linux中主要的防火墙工具，可以在内核级别对进出的网络流量进行过滤、转发和NAT(Network Address Translation)等操作。

下面是一些常用的iptables命令及其用法：1. 启用IP转发功能在做网络防火墙配置之前，需要确保系统开启了IP转发功能。

可以使用以下命令启用：```shellsysctl -w net.ipv4.ip_forward=1```此命令将系统的`net.ipv4.ip_forward`参数设置为1，即开启IP转发功能。

2. 基本规则设置使用以下命令创建一条基本的防火墙规则，允许本地主机的所有传入和传出流量：```shelliptables -P INPUT ACCEPTiptables -P OUTPUT ACCEPTiptables -P FORWARD ACCEPT```这些命令将INPUT、OUTPUT和FORWARD链的默认策略都设置为ACCEPT，即允许全部流量。

3. 添加规则可以使用iptables命令添加特定的防火墙规则，以允许或拒绝特定的流量。

例如，以下命令将允许来自192.168.1.100的主机的SSH连接：```shelliptables -A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT```此命令将在INPUT链中添加一条规则，允许源IP为192.168.1.100，目标端口为22的TCP连接。