一、防火墙的类型和设计策略
在构造防火墙时,常采用2种方式,包过滤和应用代理服务。包过滤是指建立包过滤规则,根据这些规则及IP包头的信息,在网络层判定允许或拒绝包的通过。如允许或禁止FTP的使用,但不能禁止FTP特定的功能(例如Get和Put的使用)。应用代理服务是由位于内部网和外部网之间的代理服务器完成的,它工作在应用层,代理用户进、出网的各种服务请求,如FTP和Telenet等。
目前,防火墙一般采用双宿主机(Dual-homed Firewall)、屏蔽主机(Screened Host Firewall)和屏蔽子网(Screened Subnet Firewall)等结构。双宿主机结构是指承担代理服务任务的计算机至少有2个网络接口连接到内部网和外部网之间。屏蔽主机结构是指承担代理服务任务的计算机仅仅与内部网的主机相连。屏蔽子网结构是把额外的安全层添加到屏蔽主机的结构中,即添加了周边网络,进一步把内部网和外部网隔开。
防火墙规则用来定义哪些数据包或服务允许/拒绝通过,主要有2种策略。一种是先允许任何接入,然后指明拒绝的项; 另一种是先拒绝任何接入,然后指明允许的项。一般地,我们会采用第2种策略。因为从逻辑的观点看,在防火墙中指定一个较小的规则列表允许通过防火墙,比指定一个较大的列表不允许通过防火墙更容易实现。从Internet的发展来看,新的协议和服务不断出现,在允许这些协议和服务通过防火墙之前,有时间审查安全漏洞。
二、基于Linux操作系统防火墙的实现
基于Linux操作系统的防火墙是利用其内核具有的包过滤能力建立的包过滤防火墙和包过滤与代理服务组成的复合型防火墙。下面,让我们来看看怎样配置一个双宿主机的基于Linux的防火墙。
由于Linux的内核各有不同,提供的包过滤的设置办法也不一样。IpFwadm是基于 Unix 中的ipfw,它只适用于Linux2.0.36以前的内核;对于Linux2.2以后的版本,使用的是Ipchains。IpFwadm和Ipchains的工作方式很相似。用它们配置的4个链中,有3个在Linux内核启动时进行定义,分别是:进入链(Input Chains)、外出链(Output Chains )和转发链(Forward Chains),另外还有一个用户自定义的链(User Defined Chains)。进入链定义了流入包的过滤规则,外出链定义了流出包的过滤规则,转发链定义了转发包的过滤规则。这些链决定怎样处理进入和外出的IP包,即当一个包从网卡上进来的时候,内核用进入链的规则决定了这个包的流向; 如果允许通过,内核决定这个包下一步发往何处,如果是发往另一台机器,内核用转发链的规则决定了这个包的流向; 当一个包发送出去之前,内核用外出链的规则决定了这个包的流向。某个特定的链中的每条规则都是用来判定IP包的,如果这个包与第一条规则不匹配,则接着检查下一条规则,当找到一条匹配的规则后,规则指定包的目标,目标可能是用户定义的链或者是Accept、Deny、Reject、Return、Masq和Redirect等。
·Linux防火墙数据包捕获模块 | ·巧妙利用Linux系统IP伪装防黑 |
·Linux防火墙程序设计 | ·一款Linux的防火墙实例 |
·实现Linux网络防火墙 | ·在Linux代理服务器上设置防火墙 |
·Linux免费防火墙试用手记 | ·使用iptables建置Linux 防火墙(2) |
·使用iptables建置Linux 防火墙(3) | ·使用iptables建置Linux 防火墙(1) |
Copyright © 2002-2015 版权所有 学校地址:北京市海淀区西三旗建材城中路29号北大青鸟 招生热线:010-82011433/32 京公网安备110102004704 京ICP备05043413号 京公网安备110102004704 |