最新RHEL6版-项目14 防火墙与squid代理服务器的搭建
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2．链（chains）——处理的数据包流向的不同
▪ INPUT链——当数据包源自外界并前往防火墙所在的本机（ 入站）时，即数据包的目的地址是本机时，则应用此链中的 规则。
▪ OUTPUT链——当数据包源自防火墙所在的主机并要向外发 送（出站）时，即数据包的源地址是本机时，则应用此链中 的规则。
▪ FORWARD链——当数据包源自外部系统，并经过防火墙所 在主机前往另一个外部系统（转发）时，则应用此链中的规 则。
Linux网络操作系统配置与管理
第3 页
2021年2月15日星期一
Linux网络操作系统配置与管理
第4 页
2021年2月15日星期一
Linux网络操作系统配置与管理
第5 页
2021年2月15日星期一
Linux网络操作系统配置与管理
第6 页
2021年2月15日星期一
Linux网络操作系统配置与管理
▪ 配置防火墙的主要工作就是添加、修改和删除 这些规则。
▪ 学习防火墙就是学习这些规则如何去写
2021年2月15日星期一
Linux网络操作系统配置与管理
第13 页
14.2.4．数据包过滤匹配流程
▪ 表间的优先顺序
依次为：raw、mangle、nat、filter
▪ 链间的匹配顺序
入站数据：PREROUTING、INPUT 出站数据：OUTPUT、POSTROUTING 转发数据：PREROUTING、FORWARD、 POSTROUTING
wk.baidu.com
Linux网络操作系统配置与管理
第12 页
14.2.3．iptables规则的分层结构
3．规则（rules）
▪ 规则其实就是网管员预定义的过滤筛选数据包 的条件。
▪ 规则一般的定义为“如果数据包头符合这样的 条件，就这样处理这个数据包”。
▪ 当数据包与规则匹配时，iptables就根据规则所
定义的动作来处理这些数据包（如放行、丢弃 和拒绝等）。
第7 页
2021年2月15日星期一
Linux网络操作系统配置与管理
第8 页
14.2.2 Linux防火墙概述
2．Linux防火墙的架构
▪ Linux防火墙系统由以下两个组件组成：
①netfilter： netfilter是集成在内核中的一部分 作用是定义、保存相应的过滤规则。 提供了一系列的表，每个表由若干个链组成，而每条链可以由一 条或若干条规则组成。 netfilter是表的容器，表是链的容器，而链又是规则的容器。
RHEL6版-项目14 防火墙与 squid代理服务器的搭建
项目14 防火墙与squid代理服务器的搭建
▪ 【职业知识目标】
了解:防火墙的基本概念、分类与作用；Squid代理服务 器的分类及特点
熟悉:Linux防火墙的架构及包过滤的匹配流程 掌握:iptables命令的格式和使用；NAT的配置方法；
▪ 【职业能力目标】
会安装iptables软件包； 能使用iptables命令设置包过滤规则 会配置NAT服务 会安装Squid软件包 会架设普通代理、透明代理和反向代理服务器
会在客户端测试iptables和Squid的配置情况
2021年2月15日星期一
Linux网络操作系统配置与管理
第2 页
2021年2月15日星期一
表→链→规则的分层结构来组织规则
②iptables： 是Linux系统为用户提供的管理netfilter的一种工具，是编辑、 修改防火墙（过滤）规则的编辑器 通过这些规则及其他配置，告诉内核的netfilter对来自某些源、 前往某些目的地或具有某些协议类型的数据包如何处理。 这些规则会保存在内核空间之中。
含PREROUTING、POSTROUTING、INPUT、OUTPUT和 FORWARD五个链，
raw表——数据跟踪：用于数据包是否被状态跟踪机制处 理
包含PREROUTING、OUTPUT两个链。
2021年2月15日星期一
Linux网络操作系统配置与管理
第11 页
14.2.3．iptables规则的分层结构
2021年2月15日星期一
Linux网络操作系统配置与管理
第9 页
14.2.2 Linux防火墙概述
▪ 表→链→规则的分层结构来组织规则
2021年2月15日星期一
Linux网络操作系统配置与管理
第10 页
14.2.3．iptables规则的分层结构
▪ 1．表（tables） 专表专用
filter表——包过滤
2．Squid代理服务器的工作流程
2021年2月15日星期一
Linux网络操作系统配置与管理
第15 页
14.2.5 代理服务器squid
3．Squid代理服务器的分类及特点
▪ Squid代理服务器按照代理的设置方式可以分为以 下三种: ①普通(标准)代理服务器 这种代理服务器需要在客户端的浏览器中设置代理服务器的地址 和端口号。
含INPUT、FORWARD、OUTPUT三个链，
nat表——包地址修改：用于修改数据包的IP地址和端口 号，即进行网络地址转换。
含PREROUTING、POSTROUTING、OUTPUT三个链，
mangle表——包重构：修改包的服务类型、生存周期以 及为数据包设置Mark标记，以实现Qos（服务质量）、策 略路由和网络流量整形等特殊应用。
▪ 链内规则的匹配顺序
按顺序依次进行检查，找到相匹配的规则即停止（LOG 策略会有例外） 若在该链内找不到相匹配的规则，则按该链的默认策略 处理
2021年2月15日星期一
Linux网络操作系统配置与管理
第14 页
14.2.5 代理服务器squid
1．Squid代理服务器的作用
▪ Squid除了具有防火墙的代理、共享上网等功能外,还有以下 特别的作用: ①加快访问速度,节约通信带宽 ②多因素限制用户访问,记录用户行为
②透明代理服务器
透明代理是NAT和代理的完美结合,之所以称为透明,是因为在这 种方式下用户感觉不到代理服务器的存在,不需要在浏览器或其 它客户端工具(如网络快车、QQ、迅雷等)中作任何设置,客户机 只需要将默认网关设置为代理服务器的IP地址便可。
▪ PREROUTING链——当数据包到达防火墙所在的主机在作 路由选择之前，且其源地址要被修改（源地址转换）时，则 应用此链中的规则。
▪ POSTROUTING链——当数据包在路由选择之后即将离开 防火墙所在主机，且其目的地址要被修改（目的地址转换） 时，则应用此链中的规则。
▪ 用户自定义链
2021年2月15日星期一
▪ INPUT链——当数据包源自外界并前往防火墙所在的本机（ 入站）时，即数据包的目的地址是本机时，则应用此链中的 规则。
▪ OUTPUT链——当数据包源自防火墙所在的主机并要向外发 送（出站）时，即数据包的源地址是本机时，则应用此链中 的规则。
▪ FORWARD链——当数据包源自外部系统，并经过防火墙所 在主机前往另一个外部系统（转发）时，则应用此链中的规 则。
Linux网络操作系统配置与管理
第3 页
2021年2月15日星期一
Linux网络操作系统配置与管理
第4 页
2021年2月15日星期一
Linux网络操作系统配置与管理
第5 页
2021年2月15日星期一
Linux网络操作系统配置与管理
第6 页
2021年2月15日星期一
Linux网络操作系统配置与管理
▪ 配置防火墙的主要工作就是添加、修改和删除 这些规则。
▪ 学习防火墙就是学习这些规则如何去写
2021年2月15日星期一
Linux网络操作系统配置与管理
第13 页
14.2.4．数据包过滤匹配流程
▪ 表间的优先顺序
依次为：raw、mangle、nat、filter
▪ 链间的匹配顺序
入站数据：PREROUTING、INPUT 出站数据：OUTPUT、POSTROUTING 转发数据：PREROUTING、FORWARD、 POSTROUTING
wk.baidu.com
Linux网络操作系统配置与管理
第12 页
14.2.3．iptables规则的分层结构
3．规则（rules）
▪ 规则其实就是网管员预定义的过滤筛选数据包 的条件。
▪ 规则一般的定义为“如果数据包头符合这样的 条件，就这样处理这个数据包”。
▪ 当数据包与规则匹配时，iptables就根据规则所
定义的动作来处理这些数据包（如放行、丢弃 和拒绝等）。
第7 页
2021年2月15日星期一
Linux网络操作系统配置与管理
第8 页
14.2.2 Linux防火墙概述
2．Linux防火墙的架构
▪ Linux防火墙系统由以下两个组件组成：
①netfilter： netfilter是集成在内核中的一部分 作用是定义、保存相应的过滤规则。 提供了一系列的表，每个表由若干个链组成，而每条链可以由一 条或若干条规则组成。 netfilter是表的容器，表是链的容器，而链又是规则的容器。
RHEL6版-项目14 防火墙与 squid代理服务器的搭建
项目14 防火墙与squid代理服务器的搭建
▪ 【职业知识目标】
了解:防火墙的基本概念、分类与作用；Squid代理服务 器的分类及特点
熟悉:Linux防火墙的架构及包过滤的匹配流程 掌握:iptables命令的格式和使用；NAT的配置方法；
▪ 【职业能力目标】
会安装iptables软件包； 能使用iptables命令设置包过滤规则 会配置NAT服务 会安装Squid软件包 会架设普通代理、透明代理和反向代理服务器
会在客户端测试iptables和Squid的配置情况
2021年2月15日星期一
Linux网络操作系统配置与管理
第2 页
2021年2月15日星期一
表→链→规则的分层结构来组织规则
②iptables： 是Linux系统为用户提供的管理netfilter的一种工具，是编辑、 修改防火墙（过滤）规则的编辑器 通过这些规则及其他配置，告诉内核的netfilter对来自某些源、 前往某些目的地或具有某些协议类型的数据包如何处理。 这些规则会保存在内核空间之中。
含PREROUTING、POSTROUTING、INPUT、OUTPUT和 FORWARD五个链，
raw表——数据跟踪：用于数据包是否被状态跟踪机制处 理
包含PREROUTING、OUTPUT两个链。
2021年2月15日星期一
Linux网络操作系统配置与管理
第11 页
14.2.3．iptables规则的分层结构
2021年2月15日星期一
Linux网络操作系统配置与管理
第9 页
14.2.2 Linux防火墙概述
▪ 表→链→规则的分层结构来组织规则
2021年2月15日星期一
Linux网络操作系统配置与管理
第10 页
14.2.3．iptables规则的分层结构
▪ 1．表（tables） 专表专用
filter表——包过滤
2．Squid代理服务器的工作流程
2021年2月15日星期一
Linux网络操作系统配置与管理
第15 页
14.2.5 代理服务器squid
3．Squid代理服务器的分类及特点
▪ Squid代理服务器按照代理的设置方式可以分为以 下三种: ①普通(标准)代理服务器 这种代理服务器需要在客户端的浏览器中设置代理服务器的地址 和端口号。
含INPUT、FORWARD、OUTPUT三个链，
nat表——包地址修改：用于修改数据包的IP地址和端口 号，即进行网络地址转换。
含PREROUTING、POSTROUTING、OUTPUT三个链，
mangle表——包重构：修改包的服务类型、生存周期以 及为数据包设置Mark标记，以实现Qos（服务质量）、策 略路由和网络流量整形等特殊应用。
▪ 链内规则的匹配顺序
按顺序依次进行检查，找到相匹配的规则即停止（LOG 策略会有例外） 若在该链内找不到相匹配的规则，则按该链的默认策略 处理
2021年2月15日星期一
Linux网络操作系统配置与管理
第14 页
14.2.5 代理服务器squid
1．Squid代理服务器的作用
▪ Squid除了具有防火墙的代理、共享上网等功能外,还有以下 特别的作用: ①加快访问速度,节约通信带宽 ②多因素限制用户访问,记录用户行为
②透明代理服务器
透明代理是NAT和代理的完美结合,之所以称为透明,是因为在这 种方式下用户感觉不到代理服务器的存在,不需要在浏览器或其 它客户端工具(如网络快车、QQ、迅雷等)中作任何设置,客户机 只需要将默认网关设置为代理服务器的IP地址便可。
▪ PREROUTING链——当数据包到达防火墙所在的主机在作 路由选择之前，且其源地址要被修改（源地址转换）时，则 应用此链中的规则。
▪ POSTROUTING链——当数据包在路由选择之后即将离开 防火墙所在主机，且其目的地址要被修改（目的地址转换） 时，则应用此链中的规则。
▪ 用户自定义链
2021年2月15日星期一