包过滤防火墙和灵巧网关设置.ppt

1,包过滤防火墙和灵巧网关设置,张焕杰安徽中科大讯飞信息科技有限公司http:/202.38.64.2/james/Tel:3601897(O),2,主要内容,防火墙技术包过滤防火墙灵巧网关设置参考资料：计算机网络安全基础，袁津生等，人民邮电出版社,3,网络隔离与防火墙技术,根据安全等级不同将网络划分不同的部分各个部分之间采用物理、逻辑隔离或受限访问方式互连物理隔离网络间禁止有物理通信线路连接逻辑隔离协议转换受限访问防火墙,4,防火墙技术,Firewall来源于建筑业，用墙来分隔建筑物的各个部分，并具有防火功能。万一某一部分或单元失火时，火灾被限制在一个局部范围内，其它部分不会受到损害。,5,防火墙技术,主要介绍：1.防火墙基本概念2.防火墙的分类3.包过滤4.代理服务,6,防火墙基本概念,防火墙是在两个网络之间执行访问控制策略的一个或一组系统，包括硬件和软件，目的是保护网络不被他人侵扰。本质上，它遵循的是一种允许或阻止业务来往的网络通信安全机制，也就是提供可控的过滤网络通信，只允许授权的通信。网络边界上访问控制设施。根据预先定义的策略控制穿过防火墙的信息流通。,7,防火墙基本概念,由软件和硬件组成的防火墙应该具有以下功能：所有进出网络的通信流都应该通过防火墙。所有穿过防火墙的通信流都必须有安全策略和计划的确认和授权。理论上说，防火墙是穿不透的。被策略禁止的通信不能通过被防火墙。,8,防火墙基本概念,防火墙在因特网与内部网中的位置 从逻辑上讲，防火墙是一个控制器，控制内外网之间的通信。从物理角度看，防火墙物理实现的方式有所不同。通常防火墙是一组硬件设备，即路由器、计算机或者是路由器、计算机和配有适当软件的网络的多种组合。,9,防火墙基本概念,防火墙的基本功能防火墙能够强化安全策略防火墙能有效地记录因特网上的活动防火墙限制暴露用户点防火墙是一个安全策略的检查站防火墙的不足之处不能防范恶意的知情者防火墙不能防范不通过它的连接防火墙不能防备全部的威胁防火墙不能防范病毒,10,防火墙分类,包过滤型根据数据包的源地址、目的地址、协议、端口、协议内部数据、时间、物理接口来判断是否允许数据包通过。外在表现：路由型、透明网桥型、混合型优点：性能高，对应用透明，使用方便缺点：安全控制粒度不够细,11,防火墙分类,应用层代理对不同的应用进行相关的特殊处理，一般具有身份认证、访问控制、日志等功能。不同的应用需要不同的代理：HTTP、FTP、TELNET、SMTP、POP3优点：安全控制粒度细，可以实现基于用户的控制缺点：每种应用要设置，对用户不透明，不是所有应用都支持代理使用复杂性能低,12,防火墙分类,代理的实现过程,13,防火墙分类,链路级代理类似于应用层代理，区别是不针对专门应用协议，而是针对TCP、UDP连接进行中继服务，一般具有身份认证、访问控制、日志等功能，最典型的是socks代理。优点：安全控制粒度适中，可以实现基于用户的控制在Windows环境下，通过截获winsock调用，基本上可以做到对应用透明，使用方便缺点：性能低,14,包过滤防火墙,包过滤型防火墙是应用最普遍的防火墙。包是网络上信息流动的单位。包过滤型防火墙对经过它的数据包进行处理，仅仅允许安全策略允许的数据包通过。其他的数据包全部丢弃。在处理过程中可以进行日志记录。包过滤一直是一种简单而有效的方法。通过拦截安全策略不允许的数据包，保护内部网络的安全。,15,防火墙产品,基于通用平台的软件系统 软件型基于专用平台的集成产品ASIC芯片实现包处理通用CPU实现包处理,16,基于通用平台的软件产品,基于通用的硬件、软件平台如基于Windows NT系统、Solaris系统价格相对较低功能丰富强调认证的较多安全性依赖于底层的操作系统在国内商用的不多Check-Point,17,专用ASIC芯片实现的,典型产品为Netscreen公司产品利用ASIC芯片实现包过滤、地址转换、加密处理可以得到极高的性能Netscreen 5400 12Gbps 3DES加密到6Gbps,18,大部分的防火墙,基于IA架构CPU:PII PIII专用的软件Cisco PIX，专门开发的操作系统在Linux或Free BSD的基础上加固得到的操作系统减少不必要的模块增强一些安全性国内的产品90%多属于这类,19,包过滤防火墙,包过滤防火墙一般放置在不同安全等级的网络之间,20,包过滤防火墙,每个数据包有两个部分：数据部分和包头。每个数据包都包含有特定信息的一组报头，其主要信息是：IP协议类型（TCP、UDP，ICMP等）IP源地址IP目标地址IP选择域的内容TCP或UDP源端口号TCP或UDP目标端口号ICMP消息类型包过滤器主要根据以上信息决定一个数据是否符合安全策略要求,21,包过滤防火墙,包过滤系统只能让我们进行类似以下情况的操作：外部用户仅仅能访问服务器上的www服务允许任何用户使用SMTP往内部网发电子邮件；只允许某台机器使用QQ,22,包过滤防火墙,包过滤不能允许我们进行如下的操作：禁止用户发送垃圾邮件用户只能发送QQ信息，不能接收QQ信息用户只能看文本的www，不能看图片,23,包过滤防火墙,包过滤器规则包过滤器工作时依靠预先设定的规则来对数据包进行判断没有被明确允许的都被拒绝规则有先后顺序关系规则的例子Allow proto=icmp srcReject proto=tcp src=202.38.64.40 dst=202.38.64.2 dport=80Allow proto=tcp dst=202.38.64.2 dport=80,24,包过滤操作流程图,25,包过滤防火墙,仅仅根据单个数据包判断的包过滤防火墙有很多弊端如：仅仅允许内部机器访问DNS 服务(UDP 53),26,包过滤防火墙,所有内网UDP 1024端口都开放了！,27,包过滤防火墙,状态包过滤 Stateful Firewall记录数据包的连接状态TCP:SYN_SENT,SYN_RECV,ESTABLISHED,TIME_OUT等，根据数据包的内容动态修改UDP:无状态，第一个数据包触发创建一个新连接，后续的数据包刷新该连接，直到超时后连接信息被删除ICMP:状态,28,包过滤防火墙,状态表连接，并发连接数,29,状态的维护,对于TCP，跟踪所有的数据包，依据TCP 有限状态机动态修改状态对于UDP等无连接协议，一定时间内没有数据就认为连接结束，实现时设置超时时间TCP也有超时处理,30,31,包过滤防火墙,状态过滤一个数据包经过防火墙时，首先被分成如下某个状态：ESTABLISHED 已经建立的连接的数据包RELATED已经建立的连接相关连接的数据包，如ftp的data连接NEW新连接INVALID不属于任何连接的无效数据包，一般情况下，这种数据包应该丢弃,32,包过滤防火墙,状态过滤对所有已经建立的连接的数据包都允许（包括相关的连接的数据包）非法的数据包禁止管理员只要定义规则，判断新连接的数据包是否需要允许即可控制信息流简化了配置，方便了管理，提高了安全性,33,UDP的例子,34,地址转换,NAT Network Address Translation对通过防火墙的数据包IP地址进行改变隐藏内部网络结构，提高安全性解决IPv4地址不足将正式地址和内部保留地址进行互相翻译10.*.*.*172.16.*.*172.31.*.*192.168.*.*比代理效率高,35,地址转换,NAT Network Address Translation适应所有IP通信重写IP地址1：1的映射类似直拨电话NAPT Network Address Port Translation只能处理TCP、UDP、ICMP通信重写IP地址和端口信息1:M的映射类似电话分机概念,36,37,20,38,NAT&NAPT,地址足够多时，使用NATIP地址不足时，往往要用到NAPT,39,数据包内数据的处理,NAT仅仅处理数据包头的信息有时不能有效工作数据包中包含的IP地址、端口信息需要同时修改DNS中的A和PTR查询/应答Netmeeting中的IP地址信息FTP PORT命令SIP协议等只有完全处理了这些信息，应用才能正确工作,40,NAT的分类,不同的产品的术语不同Linux下的NAT有两种实现在路由处理时修改IP地址，只能实现1:1的翻译，不处理任何其他数据，这种NAT工作方式不在本课程中讨论Netfilter/iptables下的地址转换，是一种NAPT实现，是重点,41,NAT的分类,对每个连接的第一个数据包的处理分类SNAT修改第一个连接包的源地址常用于把内部的IP地址转换成正式IP地址对外通信DNAT修改第一个连接包的目的地址常用于从外面访问内部的服务器,42,地址换换 SNAT,NAT设备,客户机,服务器,10.0.0.1:1024-202.38.64.2:80,61.132.182.2:8133-202.38.64.2:80,61.132.182.2:8133-202.38.64.2:80,10.0.0.1:1024-202.38.64.2:80,内部网络,外部网络,源地址转换 SNAT,43,地址换换 DNAT,NAT设备,服务器,客户机,10.0.0.1:80-202.38.64.2:1024,61.132.182.2:80-202.38.64.2:1024,61.132.182.2:80-202.38.64.2:1024,10.0.0.1:80-202.38.64.2:1024,内部网络,外部网络,目的地址转换 DNAT,44,nat 中的内定规则链,PREROUTING,进来的数据包,路由,本机,发出的数据包,POSTROUTING,PREROUTING 处理DNAT规则POSTROUTING 处理SNAT规则,45,灵巧网关设置,灵巧网关功能静态路由，策略路由基于连接的包过虑地址转换,46,配置文件,startup.rc启动时起作用，修改后重新启动才起作用一般设置不经常改变的参数，如IP地址，路由等multirun.rc保存就运行，起作用一般设置地址转换、包过虑dhcpd.cf设置DHCP服务器全部是文本文件,47,设置步骤 startup.rc,#设置机器名字#加载相关模块，一般都需要modprobe ip_conntrackmodprobe ip_conntrack_ftpmodprobe ip_conntrack_h323modprobe ipt_statemodprobe iptable_natmodprobe ip_nat_ftpmodprobe ip_nat_h323,48,设置步骤 startup.rc,#IP地址设置ip addrip addrip addrip addrip addrip addrip addr,49,设置步骤 startup.rc,ip addrip addrip addr#启动接口ip link set eth0 upip link set eth1 upip link set eth2 upip link set eth3 up,50,设置步骤 startup.rc,#IP路由设置，黑洞路由，避免循环ip#公网路由表ip route add 0/0 via 218.104.71.33 table 100#教育网路由表ip route add 0/0 via 210.45.231.138 table 200#普通对外的路由，分流ip route add 202.112.0.0/13 via$gateway table 210ip route add 202.192.0.0/12 via$gateway table 210ip route add 0/0 via 218.104.71.33 table 210,51,设置步骤 startup.rc,#策略路由ip rule add from 0/0 table main pref 100 ip rule add from 192.168.0.1 table 100 pref 200 ip rule add from 192.168.0.2 table 100 pref 200ip rule add from 0/0 table 210 pref 300#DHCP服务器dhcpd eth3,52,设置步骤 multirun.rc,#清除以前的设置iptables-t nat-Fiptables F#地址转换#对服务器访问的转换iptables-t nat-A PREROUTING-j DNAT-d 218.104.71.34-p tcp-dportiptables-t nat,53,设置步骤 multirun.rc,#内网对服务器访问的转换成从网关出去iptables-t nat#服务器出去的转换，eth2接网通iptables-t nat-A POSTROUTING-j SNAT-s 192.168.0.4-to 218.104.71.34-o eth2,54,设置步骤 multirun.rc,#普通机器出去的转换，eth1是教育网接口，eth2是网通接口iptables-t natiptables-t nat,55,设置步骤 multirun.rc,#包过虑设置#允许已经建立的连接iptables-A FORWARD-j ACCEPT-m state-state ESTABLISHED,RELATED#禁止113 ident服务，ftp登陆会快一些iptables-A FORWARD-j REJECT-reject-with tcp-reset-p tcp-dport 113,56,设置步骤 multirun.rc,#允许内部访问SQL Serveriptables-A FORWARD-j ACCEPT-p tcp-dportiptables-A FORWARD-j ACCEPT-d 192.168.0.1-p icmpiptables-A FORWARD-j ACCEPT-d 192.168.0.1-p tcp-dport,57,设置步骤 multirun.rc,#其它访问服务器的被拒绝iptables-A FORWARD-j LOG-o eth0-m limit-limit 100/miniptables-A FORWARD-j REJECT-o eth0#iptables-A FORWARD-j DROP-p icmp#其它内部用户的被拒绝iptables-A FORWARD-j REJECT-o eth3,58,设置步骤 multirun.rc,#防止病毒扫描iptables-A FORWARD-j DROP-p udp-dport 135:139iptables-A FORWARD-j DROP-p tcp-dport 135:139iptables-A FORWARD-j DROP-p tcp-dport 445iptables-A FORWARD-j ACCEPT-p icmp-m limit-limit 10/sec,59,设置步骤 multirun.rc,#网关自己iptables-A INPUT-j ACCEPT-p icmpiptablesiptablesiptablesiptablesiptablesiptablesiptables-A INPUT-j LOG-log-prefix SG-m limit-limit 100/miniptables-A INPUT-j DROP,60,设置步骤 dhcpd.cf,option domain-name;option domain-name-servers 218.104.78.3,202.102.192.68;default-lease-time 60000;option netbios-name-servers 192.168.0.1;option netbios-dd-server 192.168.0.1;option netbios-node-type 8;netmask 255.255.255.0 range 192.168.1.40 192.168.1.200;option subnet-mask 255.255.255.0;option routers 192.168.1.254;,