做网站公司费用,湘潭找工作网站,北京展板设计制作公司,佛山模板建站目录 一、安全技术
1.安全技术
2.防火墙的分类
3.防水墙
4.netfilter/iptables关系
二、防火墙
1、iptables四表五链
2、黑白名单
3.iptables命令
3.1查看filter表所有链 iptables -L
编辑3.2用数字形式(fliter)表所有链 查看输出结果 iptables -nL 3.3 清空所有链…
目录 一、安全技术
1.安全技术
2.防火墙的分类
3.防水墙
4.netfilter/iptables关系
二、防火墙
1、iptables四表五链
2、黑白名单
3.iptables命令
3.1查看filter表所有链 iptables -L
编辑3.2用数字形式(fliter)表所有链 查看输出结果 iptables -nL 3.3 清空所有链 iptables -F 3.4 不允许其他主机ping本机,给响应信息REJECT/不给回应DROPping所使用的协议为icmp
3.5 插入规则
编辑编辑3.6 删除规则 3.7修改规则
3.8规则匹配
3.8.1 通用匹配
3.8.2 端口号匹配
3.8.3 ICMP类型匹配
3.8.4 多端口匹配 一、安全技术
1.安全技术 入侵检测系统Intrusion Detection Systems特点是不阻断任何网络访问量化、定位来自内外网络的威胁情况主要以提供报警和事后监督为主提供有针对性的指导措施和安全决策依据,类 似于监控系统一般采用旁路部署默默的看着你方式。 入侵防御系统Intrusion Prevention System以透明模式工作分析数据包的内容如溢出攻击、拒绝服务攻击、木马、蠕虫、系统漏洞等进行准确的分析判断在判定为攻击行为后立即予以 阻断主动而有效的保护网络的安全一般采用在线部署方式。必经之路 防火墙 FireWall 隔离功能工作在网络或主机边缘对进出网络或主机的数据包基于一定的规则检查并在匹配某规则时由规则定义的行为进行处理的一组功能的组件基本上的实现都是默 认情况下关闭所有的通过型访问只开放允许访问的策略,会将希望外网访问的主机放在DMZ (demilitarized zone)网络中.
2.防火墙的分类
按保护范围划分 主机防火墙服务范围为当前一台主机 网络防火墙服务范围为防火墙一侧的局域网
按实现方式划分: 硬件防火墙在专用硬件级别实现部分功能的防火墙另一个部分功能基于软件实现如华为 山石hillstone,天融信启明星辰绿盟深信服, PaloAlto , fortinet, Cisco, Checkpoint NetScreen(Juniper2004年40亿美元收购)等 软件防火墙运行于通用硬件平台之上的防火墙的应用软件Windows 防火墙 ISA -- Forefront
按网络协议划分 网络层防火墙OSI模型下四层又称为包过滤防火墙 应用层防火墙/代理服务器proxy 代理网关OSI模型七层
3.防水墙
防水墙 广泛意义上的防水墙防水墙Waterwall与防火墙相对是一种防止内部信息泄漏的安全产品。 网络、外设接口、存储介质和打印机构成信息泄漏的全部途径。防水墙针对这四种泄密途径在事前、事 中、事后进行全面防护。其与防病毒产品、外部安全产品一起构成完整的网络安全体系。
4.netfilter/iptables关系
netfilter
位于Linux内核中的包过滤功能体系 称为Linux防火墙的“内核态”内核空间 是内核的一部分由一些数据包过滤表组成这些表包含内核用来控制数据包过滤处理的规则集。iptables
位于/sbin/iptables 用来管理防火墙规则的工具称为Linux防火墙的“用户态” 它使插入、修改和删除数据包过滤表中的规则变得容易 二、防火墙
1、iptables四表五链
1四表
raw表确定是否对该数据包进行状态跟踪。
mangel表为数据包设置标记。
nat表修改数据包中的源、目标IP地址或端口
filter表确定是否放行该数据包过滤
2五链
INPUT链处理发送到本站入站数据包。
OUTPUT链处理出本站数据包。
FORWARD链处理转发数据包。
PREROUTING链在进行路由选择后处理数据包。
POSTROUTING链在进行路由选择前处理数据包。
规则表的作用∶容纳各种规则链
规则链的作用∶容纳各种防火墙规则 2、黑白名单
①黑名单默认全部允许通过添加谁才不允许谁通过。
②白名单默认全部不允许通过添加谁允许谁通过。
3.iptables命令
控制类型作用ACCEPT允许数据包通过(默认)DROP允许数据包通过(默认)REJECT拒绝数据包通过会给数据发送端一个响应信息SNAT修改数据包的源地址DNAT修改数据包的目的地址MASQUERADE伪装成一个非固定公网IP地址LOG在/var/log/messages文件中记录日志信息然后将数据包传递给下一条规则。LOG只是一种辅助动作并没有真正处理数据包
管理选项用法示例-A在指定链末尾追加一条 iptables -A INPUT 操作-I在指定链中插入一条新的未指定序号默认作为第一条 iptables -I INPUT 操作-P指定默认规则 iptables -P OUTPUT ACCEPT 操作-D删除 iptables -t nat -D INPUT 2 操作-p服务名称 icmp tcp-R修改、替换某一条规则 iptables -t nat -R INPUT 操作-L查看 iptables -t nat -L 查看-n所有字段以数字形式显示比如任意ip地址是0.0.0.0而不是anywhere比如显示协议端口号而不是服务名 iptables -L -n,iptables -nL,iptables -vnL 查看-v查看时显示更详细信息常跟-L一起使用 查看--line-number规则带编号 iptables -t nat -L -n --line-number /iptables -t nat -L --line-number-F清除链中所有规则 iptables -F 操作-N新加自定义链-X清空自定义链的规则不影响其他链 iptables -X-Z清空链的计数器匹配到的数据包的大小和总和iptables -Z-S看链的所有规则或者某个链的规则/某个具体规则后面跟编号
3.1查看filter表所有链 iptables -L
3.2用数字形式(fliter)表所有链 查看输出结果 iptables -nL 3.3 清空所有链 iptables -F 3.4 不允许其他主机ping本机,给响应信息REJECT/不给回应DROPping所使用的协议为icmp 切换另一台 不回应 3.5 插入规则
3.6 删除规则 3.7修改规则 3.8规则匹配
3.8.1 通用匹配
协议匹配-p 协议名地址匹配-s 源地址、-d 目的地址 可以是IP、网段、域名、空任何地址)接口匹配-i 入站网卡、-o出站网卡
3.8.2 端口号匹配
端口匹配: --sport 源端口、--dport 目的端口可以是个别端口、端口范围 --sport 1000 匹配源端口是1000的数据包 --sport 1000:3000 匹配源端口是1000-3000的数据包 --sport :3000 匹配源端口是3000及以下的数据包 --sport 1000: 匹配源端口是1000及以上的数据包 --sport和--dport 必须配合 -p 协议类型 使用
3.8.3 ICMP类型匹配
Echo-Request”(代码为8)表示请求Echo- -Reply”(代码为0)表示回显Dest ination-Unreachable (代码为3)表示目标不可达关于其它可用的ICMP 协议类型可以执行“iptables -P icmp -h”命令查看帮助信息
3.8.4 多端口匹配
-m multiport --sport 源端口列表-m multiport --dport 目的端口列表
