防火墻策略如何設(shè)置
防火墻策略如何設(shè)置
防火墻的策略設(shè)置是怎么樣的呢?你會設(shè)置嗎?下面由學(xué)習(xí)啦小編給你做出詳細的防火墻策略設(shè)置介紹!希望對你有幫助!
防火墻策略設(shè)置介紹一：
這個策略的意思是"在filter表中(這個在策略中省略了)的INPUT鏈的首行，插入一條允許訪問本機22號端口的策略”
這條策略中沒有指定源地址，也就是說允許任何主機訪問本機的22號端口(ssh服務(wù))
有四個表，一般只用到兩個：filter, nat ;有五條鏈:INPUT OUTPUT FORWARD PREROUTING POSTROUNG
filter表包括三條連：INPUT,OUTPUT,FORWARD，主要是做過濾用的，比如對數(shù)據(jù)流入做過濾(INPUT鏈上做規(guī)則，比如你的例子);對數(shù)據(jù)流出做過濾(OUTPUT上鏈做規(guī)則)，對需要轉(zhuǎn)發(fā)的數(shù)據(jù)做過濾(FORWARD上鏈做規(guī)則—)
nat表包括三條連：PREROUTING，POSTROUTING，OUTPUT，是做地址轉(zhuǎn)換。讓內(nèi)網(wǎng)用戶訪問互聯(lián)網(wǎng)(POSTROUGING鏈上作策略)，讓外網(wǎng)用戶(互聯(lián)網(wǎng)用戶)訪問內(nèi)網(wǎng)服務(wù)器(PREROUITNG鏈上作策略)
防火墻策略設(shè)置介紹二：
Linux 為增加系統(tǒng)安全性提供了防火墻保護。防火墻存在于你的計算機和網(wǎng)絡(luò)之間，用來判定網(wǎng)絡(luò)中的遠程用戶有權(quán)訪問你的計算機上的哪些資源。一個正確配置的防火墻可以極大地增加你的系統(tǒng)安全性。防火墻作為網(wǎng)絡(luò)安全措施中的一個重要組成部分，一直受到人們的普遍關(guān)注。LINUX是這幾年一款異軍突起的操作系統(tǒng)，以其公開的源代碼、強大穩(wěn)定的網(wǎng)絡(luò)功能和大量的免費資源受到業(yè)界的普遍贊揚。LINUX防火墻其實是操作系統(tǒng)本身所自帶的一個功能模塊。通過安裝特定的防火墻內(nèi)核，LINUX操作系統(tǒng)會對接收到的數(shù)據(jù)包按一定的策略進行處理。而用戶所要做的，就是使用特定的配置軟件(如iptables)去定制適合自己的“數(shù)據(jù)包處理策略”。
包過濾：
對數(shù)據(jù)包進行過濾可以說是任何防火墻所具備的最基本的功能，而LINUX防火墻本身從某個角度也可以說是一種“包過濾防火墻”。在LINUX防火墻中，操作系統(tǒng)內(nèi)核對到來的每一個數(shù)據(jù)包進行檢查，從它們的包頭中提取出所需要的信息，如源IP地址、目的IP地址、源端口號、目的端口號等，再與已建立的防火規(guī)則逐條進行比較，并執(zhí)行所匹配規(guī)則的策略，或執(zhí)行默認策略。
值得注意的是，在制定防火墻過濾規(guī)則時通常有兩個基本的策略方法可供選擇：一個是默認允許一切，即在接受所有數(shù)據(jù)包的基礎(chǔ)上明確地禁止那些特殊的、不希望收到的數(shù)據(jù)包;還有一個策略就是默認禁止一切，即首先禁止所有的數(shù)據(jù)包通過，然后再根據(jù)所希望提供的服務(wù)去一項項允許需要的數(shù)據(jù)包通過。一般說來，前者使啟動和運行防火墻變得更加容易，但卻更容易為自己留下安全隱患。
通過在防火墻外部接口處對進來的數(shù)據(jù)包進行過濾，可以有效地阻止絕大多數(shù)有意或無意地網(wǎng)絡(luò)攻擊，同時，對發(fā)出的數(shù)據(jù)包進行限制，可以明確地指定內(nèi)部網(wǎng)中哪些主機可以訪問互聯(lián)網(wǎng)，哪些主機只能享用哪些服務(wù)或登陸哪些站點，從而實現(xiàn)對內(nèi)部主機的管理?？梢哉f，在對一些小型內(nèi)部局域網(wǎng)進行安全保護和網(wǎng)絡(luò)管理時，包過濾確實是一種簡單而有效的手段。
代理：
LINUX防火墻的代理功能是通過安裝相應(yīng)的代理軟件實現(xiàn)的。它使那些不具備公共IP的內(nèi)部主機也能訪問互聯(lián)網(wǎng)，并且很好地屏蔽了內(nèi)部網(wǎng)，從而有效保障了內(nèi)部主機的安全。
IP偽裝：
IP偽裝(IP Masquerade)是LINUX操作系統(tǒng)自帶的又一個重要功能。通過在系統(tǒng)內(nèi)核增添相應(yīng)的偽裝模塊，內(nèi)核可以自動地對經(jīng)過的數(shù)據(jù)包進行“偽裝”，即修改包頭中的源目的IP信息，以使外部主機誤認為該包是由防火墻主機發(fā)出來的。這樣做，可以有效解決使用內(nèi)部保留IP的主機不能訪問互聯(lián)網(wǎng)的問題，同時屏蔽了內(nèi)部局域網(wǎng)。
防火墻策略設(shè)置介紹三：
iptables -A OUTPUT -o eth0 -d 192.168.100.250 -s 192.168.1.1 -p tcp --sport 22 -j ACCEPT
看了“ 防火墻策略如何設(shè)置”文章的還看了：