成 人 网 站国产免费观看

<p id="lkccd"></p>

    <td id="lkccd"></td>
    <acronym id="lkccd"></acronym>
    <table id="lkccd"><ruby id="lkccd"></ruby></table>
    <td id="lkccd"></td>
    <p id="lkccd"><strong id="lkccd"></strong></p>

    dvbbs
    聯系我 收藏本頁
    聯系我們
    論壇幫助
    dvbbs

    深圳印刷論壇世界網絡-網絡技術網絡技術 → 利用Linux內置防火墻提高網絡的訪問控制


      共有13681人關注過本帖樹形打印

    主題:利用Linux內置防火墻提高網絡的訪問控制

    帥哥喲,離線,有人找我嗎?
    止談風月
      1樓 個性首頁 | QQ | 信息 | 搜索 | 郵箱 | 主頁 | UC


    加好友 發短信 止談風月
    等級:管理員 貼子:1542 積分:16633 威望:5 精華:0 注冊:2007-3-17 22:33:59
    利用Linux內置防火墻提高網絡的訪問控制  發貼心情 Post By:2008-12-20 0:49:26

     Linux操作系統的安全性是眾所周知的,所以,現在很多企業的服務器,如文件服務器、WEB服務器等等,都采用的是Linux的操作系統。筆者所在的企業,有包括Oracle數據庫服務器、文件備份服務器、郵件服務器、WEB服務器也都是采用Linux的服務器系統。今天,我就談談Linux是通過哪些技術來保障服務器的安全,來加強對網絡的訪問控制。

      Linux內置防火墻主要是通過包過濾的手段來提高對網絡的管理 控制功能,從而提高網絡與服務器的安全。

      一、 Linux防火墻的工作原理

      我們設想一下,一臺Linux主機一般會作哪些數據包相關的工作。其實,我們可以把一臺Linux形象的比喻成一個地鐵車站。一個地鐵車站一般有三個口子,一個是進口,乘客需要去做地鐵的話,必須通過這個地鐵的進口,而且必須憑合法的票子才能進去。第二個是出口,若乘客需要離開地鐵站的話,則也必須憑著票子出站。三是一個中轉的接口,也就是說,在地鐵的中轉站中,你可以直接通過過道到另外一條線上去。

      而一臺Linux主機也有三個口子。一個是進口(INPUT),到這臺主機的任何數據包都需要通過這個接口才能夠進入Linux系統的應用程序空間。第二個是出口(OUTPUT),從應用程序發送出去的任何數據包都必須通過這個出口,才能夠進入到Linux系統的內核,讓它把數據發送出去。第三個是轉發接口(FORWARD),主要用來進行數據包的轉發。

      在Linux主機上要實現包過濾,其實也就是在這三個口子上添加包過濾條件。這就好像在每個口子上設置“驗票員”。當“乘客”手里的票是合法的,則“驗票員”就允許其通過;若這票是不允許的,則“驗票員”就會拒絕其通過這個口子。通過這種方式,我們網絡管理員就可以很好的管理網絡中傳遞的數據包,并且對于一些服務器的防問權限進行合理且有效的控制。

      如有時候我們為了防止DDOS攻擊,我們就可以設置讓所有主機都拒絕ICMP協議。如此的話,任何一臺主機企圖ping局域網內的任何一臺Linux電腦的話,局域網內的任何主機都不會有響應。而若有黑客把局域網內的主機當作肉雞,企圖通過他們來實現DOS攻擊的時候,由于我們在出站接口(OUTPUT接口)過濾了ICMP協議,所以,這個PING命令也根本不會傳遞到局域網中去。如此的話,就可以從根源上保護網絡的安全。

      二、 Linux防火墻的配置方法

      Linux防火墻基本上是通過一條iptables命令來實現具體的配置。如我們現在為了防止局域網內的機器使用ping命令。這是一種很好的防止DDOS攻擊的方法。應為要實現DDOS攻擊的話,則首先需要在局域網內部尋找肉雞,讓多臺肉雞同時采用PING命令PING服務器,直到服務器因為資源耗竭而當機,F在若把所有Linux主機的PING命令都禁用掉的話,則就可以最大程度的防治DDOS攻擊的危害。

      Iptables –A OUTPUT –P icmp –j DROP

      通過這條命令,就可以實現禁用本機的PING命令。

      命令iptables就是防火墻包過濾策略的配置命令。防火墻的過濾規則,就是通過這個簡單的命令來實現的。后面的參數-A則表示添加一個過濾條件;-P表示一種協議類型;-J表示我們的目標。上面的這條命令的意思就是在Linux主機的出口上,加上一條過濾語句,當數據包的協議類型是ICMP 的話,則全部丟棄。

      不過ICMP有一個特性。我們一般PING一臺主機的話,則對于這臺主機來說,首先其需要通過進站接口,把數據包傳遞到上層;然后,又要利用出站接口,把回應信息發送出去。如果任何一個接口不通,如只收到信息而沒有回應的話,則對與主ping方來說,就顯示的是目的地不可大的信息。

      以上這個條命令我們是在出口上加了限制語句,上面我們說過,一共可以在Linux主機上的三個接口,包括進站進口、出站接口與轉發接口,在內的任何一個接口上配置包過濾條件,以實現對防火墻的管理控制。在下面例子中,筆者將給大家舉一個WEB服務器的例子,看看如何通過Linux主機的防火墻來管理WEB服務器,提高其安全性。

      三、 Linux防火墻的配置實例

      我們該如何利用Linux操作系統自帶的防火墻來提高網絡的管理控制功能呢?具體的來說,我們可以分三步走。一是先在Linux服務器上開一個后門,這個后門是專門給我們網絡管理員管理服務器用的。二是把所有的進站、出站、轉發站接口都關閉,此時,只有通過我們上面開的后門,管理員才能夠遠程連接到服務器上,企圖任何渠道都不能連接到這臺主機上。三是根據我們服務器的用途,把一些需要用到的接口開放出去。

      下面筆者就以一個WEB服務器為例,談談如何設置防火墻,才能夠提高這臺服務器的安全性,并且,在提高安全性的同時,也不影響我們網絡管理員對其的訪問控制。

      第一步:開后門

      網絡管理員一般是通過SSH方式來管理Linux操作系統。所以,我們首先需要開一個后門,允許網絡管理員通過SSH方式遠程登錄到服務器,對這臺服務器進行必要的維護與管理。

      為了達到這個目的,我們可以利用兩條語句來實現。我們這里假設我們WEB服務器的IP地址為192.168.0.2。

      Iptables –A INPUT –P tcp –d 192.168.0.2 –dport 22 –j ACCEPT

      Iptables –A OUTPUT –P tcp –S 192.168.0.2 –dport 22 –j ACCEPT

      第一條語句的意思是,在進站接口上,允許網絡管理員通過TCP協議與22號端口,訪問主機。一般SSH方式采用的就是22號端口與TCP協議。這條語句的作用就是讓網絡管理員可以連接到WEB服務器上去。但是,這還不夠,我們若想要遠程管理WEB服務器的話,則就需要實現相互交互的功能。也就是說,我們還需要WEB服務器能夠給我們回應一些消息。此時,我們就還需要配置第二條語句。

      上面第二條語句的意識就是允許WEB服務器通過22號端口與TCP協議,發送一些數據出去。如此的話,我們網絡管理員就可以受到WEB服務器的一些回應信息。

      第二步:關閉所有接口

      Iptables –P INPUT –j DROP

      Iptables –P OUTPUT –j DROP

      Iptables –P FORWARD –j DROP

      以上三條命令的作用就是把WEB服務器上的三個接口全部關閉。但是,此時因為我們在第一步開了一個后門,所以,事后網絡管理員仍然可以通過 SSH這個方式登錄到服務器上去,對其進行遠程訪問。采用這些命令把各個接口關閉后,我們就無法通過HTTP、FTP等方式訪問服務器。

      第三步:分析服務器的用途并添加允許條件

      把各個接口關不后,我們還需要為其添加一些必要的條件,允許某些特定類型的數據包通過。否則的話,其他人不是不能通過網絡訪問WEB服務器,那不是白搭了嗎?

      所以,接下去的任務,我們就是需要分析服務器的類型。我們現在配置的是一臺WEB服務器,而WEB服務器一般是通過HTTP方式與80端口進行訪問的。默認情況下,其用到的就是TCP協議與80端口。所以,我們只需要在進口與出口上,允許協議是TCP、端口號是80的數據包通過,就可以實現我們的目標了。

      Iptables –A INPUT –P tcp –d 192.168.0.2 –dport 80 –j ACCEPT

      Iptables –A OUTPUT –P tcp –S 192.168.0.2 –dport 80 –j ACCEPT

      通過如上的配置,就可以實現我們的需求

      四、 Linux防火墻的配置需要注意的地方

      在使用Linux防火墻來管理企業網絡的時候,筆者給大家提一些建議。

      一是根據最小權限的安全與控制設計原則,我們在防火墻設計的時候,需要先把所有的接口先全部禁用掉。然后,再根據服務器的類型,添加一些允許數據包通過的語句。如此的目的,是為了保障服務器上只允許一些特定的協議與數據包通過。如此做的話,就可以最大限度的保障服務器與企業網絡的安全。如通過上面如此配置的服務器,無法使用FTP協議訪問服務器,也就杜絕了非法訪問者企圖利用FTP漏洞來攻擊WEB服務器。同時,也禁止了ICMP協議,如此的話,就可以有效的防止DDOS攻擊等等。

      二是有時候會碰到應用程序與防火墻無法協作的問題。如在Linux服務器上部署一個ERP服務器,若同時打開了防火墻的話,則可能就無法連接上服務器。其實,這不是防火墻或者ERP服務器產生了什么沖突,而是我們沒有配置好防火墻而已。一般情況下,筆者建議先把防火墻禁用掉,把ERP服務器先配置成功、其他用戶可以連接上服務器后,再啟用防火墻。在啟用防火墻的時候,我們需要清楚,這個ERP服務器到底采用了哪些協議與端口來進行數據包的傳遞,然后再配置防火墻。大部分的時候,都是因為我們不熟悉某個服務器到底在采用哪些協議與端口,才造成客戶端連接的錯誤。



    ▓止談風月(www.zonaiam.com)

    我們的口號:沒有最高質量的產品我們無法生存

                      沒有非常的創意我們不如不干
    支持(0中立(0反對(0單帖管理 | 引用 | 回復 回到頂部

    返回版面帖子列表

    利用Linux內置防火墻提高網絡的訪問控制








    簽名  

    本站聯系電話:0755-25925567
    成 人 网 站国产免费观看

    <p id="lkccd"></p>

      <td id="lkccd"></td>
      <acronym id="lkccd"></acronym>
      <table id="lkccd"><ruby id="lkccd"></ruby></table>
      <td id="lkccd"></td>
      <p id="lkccd"><strong id="lkccd"></strong></p>