《网络系统安全运行与维护教案》-网络系统安全运行与维护31

郑州铁路职业技术学院教案首页序号：31授课班级信息安全22A1信息安全22A2授课日期6.127.5出勤情况课程名称网络系统安全运行与维护教学类型讲授复习旧课引入新课复习旧课：Linux系统FTP服务安装与配置引入新课：M7-5Linux系统防火墙安装与配置教学目标学生通过该能力模块的学习,能够熟练掌握防火墙服务的安装与配置能力。讲授要点教学设计讲授要点：1、安装IPtables服务2、使用IPtables配置防火墙教学设计：回顾上节内容回顾FTP服务安装与配置引入本节内容对比windows中防火墙的功能和设置，引入本节内容任务实施分3个实验步骤，完成IPtables的安装和配置课堂总结重点难点解决方法重点：1、安装IPtables服务2、使用IPtables配置防火墙难点：使用IPtables配置防火墙解决方法：讲解+上机操作课后作业总结IPtables配置防火墙的步骤课后总结防火墙的配置命令比较长，在输入时应该仔细认真检查。郑州铁路职业技术学院教师教案第31-PAGE1页Linux系统防火墙安装与配置（一）教学过程步骤主要内容教学组织复习复习FTP服务安装与配置过程教师讲授，学生回忆5分钟任务引入在网络中利用Linux操作系统的防火墙模块来保护网络服务，不但可以保护内网和主机的服务，而且还可以利用其NAT规划链实现内网访问互联网。教师讲授5分钟知识讲授1．Linux中使用软件实现代理和防火墙功能使用netfilter/iptables架构实现网络防火墙的基本功能使用squid服务器软件实现HTTP服务的代理功能2．Linux中的防火强功能是由内核实现的在2.0内核中，网络防火墙的操作工具名称是ipfwadm在2.2内核中，网络防火墙的操作工具名称是ipchains在2.4之后的内核中，网络防火墙的操作工具名称是iptables3．iptables的软件包组成RHEL4中的iptables软件包 #rpm-qiptables iptables-1.2.11-3.1.RHEL44．iptables软件包中的管理命令iptables是主要的管理命令，对网络防火墙功能的管理都是通过iptables命令实现的iptables-save命令可以将当前系统中的防火墙设置进行保存iptables-restore命令可以将使用iptables-save命令保存的防火墙策略配置恢复到当前系统中5．iptables服务的启动与停止iptables服务启动脚本/etc/rc.d/init.d/iptables6．iptables配置文件与策略设置文件iptables配置文件/etc/sysconfig/iptables-config7．策略设置文件/etc/sysconfig/iptables8．iptables服务的启动与停止 iptables服务缺省自动启动 可通过启动脚本手工启动和停止iptables服务 #serviceiptablesstart9．netfilter与iptables在Linux的内核中使用netfilter架构实现防火墙功能iptables是Linux系统中为用户提供的netfilter管理工具，用于实现对Linux内iptables缺省具有3个规则表Filter：用于设置包过滤NAT：用于设置地址转换Mangle：用于设置网络流量整形等应用10．查看防火墙的基本状态11．iptables命令教师讲授，演示防火墙的设置过程35分钟任务实施配置防火墙服务检查软件安装[root@lab1~]#rpm-qa|grepiptablesiptables-1.2.11-3.1.RHEL4允许访问本机的http、ssh协议grephttp/etc/services[root@lab~]#iptables-AINPUT-ptcp-d0--dport22-jACCEPT[root@lab~]#iptables-AOUTPUT-ptcp-s0--sport22-jACCEPT[root@lab~]#iptables-PINPUTDROP[root@lab~]#iptables-POUTPUTDROP[root@lab~]#iptables-PFORWARDDROP[root@lab~]#iptables-AINPUT-ptcp--dport80-jACCEPT

[root@lab~]#iptables-AOUTPUT-ptcp--sport80-jACCEPT[root@lab~]#iptables-L-n--line-numbers[root@lab~]#serviceiptablessave[root@lab~]#iptables-save>/etc/sysconfig/iptables

允许DNS查询（以客户端身份）[root@lab~]#iptables-AOUTPUT-pudp--dport53-jACCEPT[root@lab~]#iptables-AINPUT-pudp--sport53-jACCEPT允许DNS查询（服务器身份）[root@lab~]#iptables-AINPUT-pudp--dport53-jACCEPT[root@lab~]#iptables-AOUTPUT-pudp--sport53-jACCEPT

允许回环地址[root@lab~]#iptables-AINPUT-s-d-jACCEPT[root@lab~]#^IN^OUTiptables-AOUTPUT-s-d-jACCEPT[root@lab~]#iptables-AOUTPUT-ptcp--sport22-mstate--stateESTABLISHED-jACCEPT(病毒)[root@lab~]#iptables-AOUTPUT-ptcp--sport80-mstate--stateESTABLISHED-jACCEPT[root@lab~]#iptables-DOUTPUT1[root@lab~]#serviceiptablessave防火墙日志：[root@lab~]#touch/var/log/firewall.log[root@lab~]#vi/etc/syslog.confkern.=notice /var/log/firewall.log[root@lab~]#servicesyslogrestart[root@lab~]#iptables-IINPUT1-ptcp--dport22-jLOG--log-level5--log-prefix"iptables:"[root@lab~]#tail－f/var/log/firewall.log允许内网上网：[root@lab~]#echo1>/proc/sys/net/ipv4/ip_forward[root@lab~]#iptables-AFORWARD-s/24-jACCEPT

[root@lab~]#iptables-AFORWARD-d/24-jACCEPT[root@lab~]#vi/etc/sysctl.confnet.ipv4.ip_forward=1NAT功能SNAT应用[root@lab~]#iptables-tnat-APOSTROUTING-s/24-jSNAT--to-source[root@lab~]#iptables-tnat-APOSTROUTING-s/24-jMASQUERADE(PPPOE)DNAT应用[root@lab~]#iptables-tnat-APREROUTING-d54-ptcp--dport80-jDNAT--to-destination禁止客户机访问某些服务root@lab~]#iptables-AFORWARD-s/24-ptcp--dport21-jDROP禁止客户机访问某些站点[root@lab~]#iptables-AFORWARD-d-jDROP强制访问指定站点[root@lab~]#iptables-tnat-APREROUTING-ieth0-p