linux防火墙的原理

龙源期刊网

Linux平台下防火墙的原理与应用

作者：宁宏亮 朝鲁门

来源：《科技创新导报》2012年第06期

摘要：本文通过分析Linux平台下防火墙工作原理，利用Linux下Netfilter框架实现了一个具有包过滤、网络地址转换等功能的防火墙系统。

关键词：Linux；Netfilter；防火墙

中图分类号：TP393.08 文献标识码：A 文章编号：1674-098X(2012)02(c)-0000-00

引言

随着计算机网络技术的不断发展和网络应用的日益普及，网络安全问题日益严峻。网络安全需要解决的主要问题是在使用网络时保证内部网络免受外部攻击。防火墙是指能把内部计算机网络与外网隔开的屏障，使内部计算机网络与外网之间建立起一个安全的网关，从而保护内部计算机网络免受外部非法用户的入侵。

1 Linux防火墙原理

Netfilter 和 Iptables 共同实现了 Linux 下防火墙系统，Netfilter 提供可扩展的结构化底层框架， 在此框架之上实现的数据包选择工具 Iptables 负责对流入、流出的数据包制定过滤规则和管理规则的工作。

1.1 Netfilter 框架结构

Netfilter 提供了一个抽象、通用化的框架，现已在 IPv4、IPv6 网络栈中被实现。 Netfilter

在每种协议的处理过程中定义一些检查点(HOOK)，并在内核中建立一套钩子函数链表。 在每个检查点，检查相应的钩子函数链表中是否有函数所监听的协议类型匹配的数据包，如果有调用此函数完成相应功能。

Netfilter 在 IPV4 中定义有 5 个 HOOK 点，数据报进入系统首先到达检查点

NF_IP_PRE_ROUTING，被在此注册的函数进行处理；之后由路由决定该数据包是需要转发还是发往本机；若发往本机，则被在检查点 NF_IP_LOCAL_IN 注册的函数处理，然后传递给上层协议；若需转发，则先被 NF_IP_FORWARD 处注册的函数处理， 再被

Ｌｉｎｕｘ系统的防火墙技术设计和实现　

潘天贺　

（黑龙江省电子信息产品监督检验院）　工业技术　

啊Ｉ　

［摘要］在计算机网络技术飞速发展的今天，网络安全问题日益突出，防火墙技术也越来越受到人们的关注。在众多的网络防火墙产品中，Ｌｉｎｕｘ操作系统　

上的防火墙软件特点显著，这些优势是其他防火墙产品不可比拟的。选用这类软件确实是最低硬件需求的可靠、高效的解决方案。但用户最关心的还是安全系统的　

性能，有关部门根据网络安全调查和分析曾得出结论：网络上的安全漏洞和隐患绝大部分是因网络设置不当引起的。Ｌｉｎｕｘ防火墙由以前的ｉｐｃｈａｉｎｓ到如今的　

ｉｐｔａｂｌｅｓ，功能日渐强大和完善。ｉｐｔａｂｌｅｓ以ｆｉｌｔｅｒ的三个链处理ｉｎｐｕｔ、ｏｕｔｐ【】ｔ和ｆｏｒｗａｒｄＳ（据包。通过对ＩＮＰＵＴ链、ＯＵＴＰＵＴ链以及ＦＯＲＷＡＲＤ链上规则的添加和　应用来实现ＡＬＧ防火墙，达到对网络的保护和限制的目的。　

［关键词］Ｌｉｎｕｘ防火墙ｉｐｔａｂｌｅｓ　

中图分类号：ＴＤ９５６．２　文献标识码：Ａ　文章编号：１００９－９１４Ｘ（２０１４）１０－００２７－０１　

Ｂａｓｅｄ　ｏｎ　Ｌｉｎｕｘ　ｓｙｓｔｅｍ　ｄｅｓｉｇｎ　ａｎｄ　ｒｅａｌｉｚａｔｉｏｎ　ｏｆ　ｔｈｅ　

ｆｉｒｅｗａｌｌ　

［Ａｂｓｔｒａｃｔ］Ｎｅｔｗｏｒｋ　Ｓｅｃｕ向ｉｓｓｕｅｓ　ｈａｖｅ　ｂｅｃｏｍｅ　ｉｎｃｒｅａｓｉｎｇｌｙ　ｐｒｏｍｉｎｅｎｔ　ｉｎ　ｔｈｅ　ｒａｐｉｄ　ｄｅｖｅｌｏｐｍｅｎｔ　Ｏｆ　ｃｏｍｐｕｔｅｒ　ｎｅｔｗｏｒｋ　ｔｅｃｈｎｏｌｏｇｙ，ｆｉｒｅｗａｌｌ　

ｔｅｃｈｎｏｌｏｇｙ，ｍＯｌｌ　ａｎｄ　ｍｏｒｅ　ｐｅｏｐｉｅ　ｐａｙ　ａｔｔｅｎｔｉｏｎ．Ｆｉｒｅｗａｌｌ　ｓｏｆｔｗａｒｅ　ｏｎ　ｔｈｅ　Ｌｉｎｕｘ　ｏｐｅｒａｔｉｎｇ　ｓｙｓｔｅｍ　ｆｅａｔｕｒｅｓ　ｓｉｇｎｉｆｉｃａｎｔｌｙ　ｉｎ　ｍａｎｙ　ｎｅｔｗｏｒｋ　ｆｉｉｌｗａｌｌ　

ｐｒｏｄｕｃｔｓ，ｔｈｅｓｅ　ａｄｖａｎｔａｇｅｓ　ｕｎｍａｔｃｈｅｄ　ｂｙ　ｏｔｈｅｒ　ｆｉｒｅｗａｌｌ　ｐｒｏｄｕｃｔｓ．Ｔｈｅ　ｓｅｌｅｃｔｉｏｎ　ｏｆ　ｔｈｉｓ　ｔｙｐｅ　ｏｆ　ｓｏｆｔｗａｒｅ　ｉｓ　ｉｎｄｅｅｄ　ｒｅｌｉａｂｌｅ　ａｎｄ　ｅｆｆｉｃｉｅｎｔ　ｓｏｌｕｔｉｏｎｓ　

Linux防火墙的配置与管理

为了保护校园网的安全，需要使用防火墙。防火墙位于网络边界，用于保护局域网（LAN）内网和DMZ区，免受来自因特网（WAN）的攻击。防火墙的工作实质是报文过滤。

一、项目简介

（一）含有DMZ区的防火墙概述

防火墙通常有三个接口（端口），分别是WAN、LAN和DMZ。如图表3-1所示。

图3-1 防火墙拓扑结构图

在网络中，非军事区（DMZ）是指为不信任系统提供服务的孤立网段，其目的是把敏感的内部网络和其他提供访问服务的网络分开，阻止内网和外网直接通信，以保证内网安全。

含有DMZ的网络，包括六条访问控制策略。

1、内网可以访问外网

内网的用户可以自由地访问外网。因此防火墙需要进行源地址转换。

2、内网可以访问DMZ

内网用户使用和管理DMZ中的服务器。

3、外网不能访问内网

由于内网中存放的是公司内部数据，这些数据不允许外网的用户进行访问。

4、外网可以访问DMZ

DMZ中的服务器本身就是要给外界提供服务的，所以外网必须可以访问DMZ。同时，外网访问DMZ需要由防火墙完成对外地址到服务器实际地址的转换。

5、DMZ不能访问内网

很明显，如果违背此策略，则当入侵者攻陷DMZ时，就可以进一步进攻到内网的重要WAN LAN校园

DMZ

DMZ区服务器 eth0

eth1

eth2 数据。

6、DMZ不能访问外网

此条策略也有例外，比如DMZ中放置邮件服务器时，就需要访问外网，否则将不能正常工作。

（二）Linux防火墙简介

Linux下的防火墙是iptables/netfilter。iptables是一个用来指定netfilter规则和管理内核包过滤的工具，它为用户配置防火墙规则提供了方便。与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换NAT等功能。

1、netfilter的组成

ipfire 的原理

IPFire是一种基于Linux的开源防火墙发行版，它的原理涉及到网络安全、防火墙技术和Linux操作系统的工作原理。

首先，IPFire作为防火墙，其原理是基于网络包过滤技术。它通过检查进出网络的数据包，根据预先设定的规则来决定是否允许通过。这种过滤通常基于源IP地址、目标IP地址、端口号等信息进行。IPFire利用这些规则来保护网络免受恶意攻击、未经授权的访问等威胁。

其次，IPFire实现了网络地址转换（NAT）功能。这意味着它可以将内部网络中的私有IP地址转换为外部网络中的公共IP地址，从而保护内部网络的隐私和安全。

此外，IPFire还提供了虚拟专用网络（VPN）功能，通过加密和隧道技术，实现远程用户或分支机构与总部网络的安全连接，确保数据传输的机密性和完整性。

另外，IPFire还包括了网络入侵检测系统（NIDS）和网络流量分析等功能，以便监控和保护网络免受各种网络威胁。

IPFire的原理基于Linux操作系统，它利用Linux内核提供的网络功能和安全机制来实现防火墙和网络安全功能。它采用了模块化的设计，允许用户根据自己的需求进行定制和扩展，从而提供了灵活性和可定制性。

总的来说，IPFire的原理涉及到网络包过滤、NAT、VPN、NIDS等技术，它基于Linux操作系统，通过这些技术和机制来保护网络安全，确保网络的稳定和安全运行。