Linux系統(tǒng)的防火墻技術(shù)設(shè)計和實現(xiàn)

潘天賀

[摘 要]在計算機(jī)網(wǎng)絡(luò)技術(shù)飛速發(fā)展的今天，網(wǎng)絡(luò)安全問題日益突出，防火墻技術(shù)也越來越受到人們的關(guān)注。在眾多的網(wǎng)絡(luò)防火墻產(chǎn)品中，Linux操作系統(tǒng)上的防火墻軟件特點顯著，這些優(yōu)勢是其他防火墻產(chǎn)品不可比擬的。選用這類軟件確實是最低硬件需求的可靠、高效的解決方案。但用戶最關(guān)心的還是安全系統(tǒng)的性能，有關(guān)部門根據(jù)網(wǎng)絡(luò)安全調(diào)查和分析曾得出結(jié)論：網(wǎng)絡(luò)上的安全漏洞和隱患絕大部分是因網(wǎng)絡(luò)設(shè)置不當(dāng)引起的。Linux防火墻由以前的ipchains到如今的iptables，功能日漸強(qiáng)大和完善。iptables以filter的三個鏈處理input、output和forward數(shù)據(jù)包。通過對INPUT鏈、OUTPUT鏈以及FORWARD鏈上規(guī)則的添加和應(yīng)用來實現(xiàn)ALG防火墻，達(dá)到對網(wǎng)絡(luò)的保護(hù)和限制的目的。

[關(guān)鍵詞]Linux 防火墻 iptables

中圖分類號：TD956.2 文獻(xiàn)標(biāo)識碼：A 文章編號：1009-914X（2014）10-0027-01

Based on Linux system design and realization of the firewall

[Abstract]Network security issues have become increasingly prominent in the rapid development of computer network technology， firewall technology， more and more people pay attention.Firewall software on the Linux operating system features significantly in many network firewall products， these advantages unmatched by other firewall products. The selection of this type of software is indeed reliable and efficient solutions for the minimum hardware requirements. But users are most concerned about is the performance of the security system， the relevant departments according to the survey and analysis of network security has concluded： network security vulnerabilities and hidden mostly caused due to improper network settings. Linux firewall by the previous ipchains iptables， now function increasingly powerful and perfect. iptables to filter three chain processing input， output and forward packets. ALG firewall the adding and application of the rules on the INPUT chain， OUTPUT chain FORWARD chain， to achieve the purpose of network protection and restrictions.

[Key words]Linux firewall iptables

一、Linux操作系統(tǒng)

1.1 Linux系統(tǒng)簡介

Linux是一種自由和開放源碼的類Unix操作系統(tǒng)，Linux有許多不同的版本，但它們都使用了Linux內(nèi)核。嚴(yán)格來講，Linux這個詞本身只表示Linux內(nèi)核，但實際上人們已經(jīng)習(xí)慣了用Linux來形容整個基于Linux內(nèi)核，并且使用GNU 工程各種工具和數(shù)據(jù)庫的操作系統(tǒng)。

1.2 Linux防火墻配置命令簡介

1.2.1 概述

Linux防火墻通過使用iptables系統(tǒng)提供的特殊命令建立這些規(guī)則，并將其添加到內(nèi)核空間特定信息包過濾表內(nèi)的鏈中。

1.2.2 表（table）

[-t table]選項允許使用標(biāo)準(zhǔn)表之外的任何一個表。表只包含一個特定類型的包處理規(guī)則和鏈的包過濾表。

1.2.3 命令（command）

命令的部分最重要的部分是iptables命令。它告訴iptables命令去做什么。

1.3 netfilter/iptables組件

1.3.1 簡介

netfilter/iptables IP 信息包過濾系統(tǒng)是一種功能強(qiáng)大的工具，可用于添加、編輯和除去規(guī)則，這些規(guī)則是在做信息包過濾決定時，防火墻所遵循和組成的規(guī)則。

1.3.2 功能

Linux的防火墻是由netfilter和iptables兩個組件構(gòu)成。netfilter組件也稱為內(nèi)核空間（kernelspace），iptables 組件稱為用戶空間（userspace），通過iptables執(zhí)行命令或者修改配置文件來設(shè)置規(guī)則，netfilter接收指令和讀取配置文件來使這些規(guī)則生效。

1.3.3 工作方式

Netfilter組件由數(shù)據(jù)包過濾表組成，用來控制數(shù)據(jù)包過濾處理的規(guī)則集。

Iptables組件它可以更容易插入、修改和刪除數(shù)據(jù)信息包過濾表中的規(guī)則。（見圖1）

二、防火墻技術(shù)

2.1 防火墻的定義

防火墻指的是一個由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護(hù)屏障。

2.2 防火墻的種類

不同的防火墻其運用的技術(shù)不同，總的來說分以下幾類：1 .包過濾防火墻；2.應(yīng)用網(wǎng)關(guān)防火墻；3. 狀態(tài)檢測防火墻；4. 復(fù)合型防火墻。

三、防火墻的設(shè)計

3.1 設(shè)計思路

對于連接到網(wǎng)絡(luò)上的 Linux 系統(tǒng)來說，防火墻是必不可少的防御機(jī)制，它只允許合法的網(wǎng)絡(luò)流量進(jìn)出系統(tǒng)，而禁止其它任何網(wǎng)絡(luò)流量。

3.2 配置規(guī)則

一個LINUX防火墻系統(tǒng)需要一個合理的、高效的并且簡單的安全機(jī)制，而安全機(jī)制通常是通過Input、Output、Forward這三條“防火鏈”來實現(xiàn)。

四、結(jié)束語

netfilter/iptables 的最大優(yōu)點是它可以配置有狀態(tài)的防火墻，這是 ipfwadm 和 ipchains 等以前的工具都無法提供的一種重要功能。

netfilter/iptables 的另一個重要優(yōu)點是，它使用戶可以完全控制防火墻配置和信息包過濾。

另外，netfilter/iptables 是免費的，這對于那些想要節(jié)省費用的人來說十分理想，它可以代替昂貴的防火墻解決方案。

參考文獻(xiàn)

[1] Robert L.Ziegler，《Linux防火墻》人民郵電出版社，2000.10.

[2] W.Richard Stevens，《TCP/IP詳解 卷一：協(xié)議》機(jī)械工業(yè)出版社，2000.4.1.

[3] 中國計算機(jī)報 出版日期：2001-09-27 總期號：1058 本年期號：73 看安全策略定防火墻.

[4] 《卡飯月刊》第32期（2011.11） 關(guān)于防火墻規(guī)則.

[5] 防火墻 http：//baike.baidu.com/view/3067.htm.

[6] 防火墻的工作原理及比較 360論壇網(wǎng)絡(luò)專 http：//bbs.#/4028137/35952409.html.endprint

[摘 要]在計算機(jī)網(wǎng)絡(luò)技術(shù)飛速發(fā)展的今天，網(wǎng)絡(luò)安全問題日益突出，防火墻技術(shù)也越來越受到人們的關(guān)注。在眾多的網(wǎng)絡(luò)防火墻產(chǎn)品中，Linux操作系統(tǒng)上的防火墻軟件特點顯著，這些優(yōu)勢是其他防火墻產(chǎn)品不可比擬的。選用這類軟件確實是最低硬件需求的可靠、高效的解決方案。但用戶最關(guān)心的還是安全系統(tǒng)的性能，有關(guān)部門根據(jù)網(wǎng)絡(luò)安全調(diào)查和分析曾得出結(jié)論：網(wǎng)絡(luò)上的安全漏洞和隱患絕大部分是因網(wǎng)絡(luò)設(shè)置不當(dāng)引起的。Linux防火墻由以前的ipchains到如今的iptables，功能日漸強(qiáng)大和完善。iptables以filter的三個鏈處理input、output和forward數(shù)據(jù)包。通過對INPUT鏈、OUTPUT鏈以及FORWARD鏈上規(guī)則的添加和應(yīng)用來實現(xiàn)ALG防火墻，達(dá)到對網(wǎng)絡(luò)的保護(hù)和限制的目的。

[關(guān)鍵詞]Linux 防火墻 iptables

中圖分類號：TD956.2 文獻(xiàn)標(biāo)識碼：A 文章編號：1009-914X（2014）10-0027-01

Based on Linux system design and realization of the firewall

[Abstract]Network security issues have become increasingly prominent in the rapid development of computer network technology， firewall technology， more and more people pay attention.Firewall software on the Linux operating system features significantly in many network firewall products， these advantages unmatched by other firewall products. The selection of this type of software is indeed reliable and efficient solutions for the minimum hardware requirements. But users are most concerned about is the performance of the security system， the relevant departments according to the survey and analysis of network security has concluded： network security vulnerabilities and hidden mostly caused due to improper network settings. Linux firewall by the previous ipchains iptables， now function increasingly powerful and perfect. iptables to filter three chain processing input， output and forward packets. ALG firewall the adding and application of the rules on the INPUT chain， OUTPUT chain FORWARD chain， to achieve the purpose of network protection and restrictions.

[Key words]Linux firewall iptables

一、Linux操作系統(tǒng)

1.1 Linux系統(tǒng)簡介

Linux是一種自由和開放源碼的類Unix操作系統(tǒng)，Linux有許多不同的版本，但它們都使用了Linux內(nèi)核。嚴(yán)格來講，Linux這個詞本身只表示Linux內(nèi)核，但實際上人們已經(jīng)習(xí)慣了用Linux來形容整個基于Linux內(nèi)核，并且使用GNU 工程各種工具和數(shù)據(jù)庫的操作系統(tǒng)。

1.2 Linux防火墻配置命令簡介

1.2.1 概述

Linux防火墻通過使用iptables系統(tǒng)提供的特殊命令建立這些規(guī)則，并將其添加到內(nèi)核空間特定信息包過濾表內(nèi)的鏈中。

1.2.2 表（table）

[-t table]選項允許使用標(biāo)準(zhǔn)表之外的任何一個表。表只包含一個特定類型的包處理規(guī)則和鏈的包過濾表。

1.2.3 命令（command）

命令的部分最重要的部分是iptables命令。它告訴iptables命令去做什么。

1.3 netfilter/iptables組件

1.3.1 簡介

netfilter/iptables IP 信息包過濾系統(tǒng)是一種功能強(qiáng)大的工具，可用于添加、編輯和除去規(guī)則，這些規(guī)則是在做信息包過濾決定時，防火墻所遵循和組成的規(guī)則。

1.3.2 功能

Linux的防火墻是由netfilter和iptables兩個組件構(gòu)成。netfilter組件也稱為內(nèi)核空間（kernelspace），iptables 組件稱為用戶空間（userspace），通過iptables執(zhí)行命令或者修改配置文件來設(shè)置規(guī)則，netfilter接收指令和讀取配置文件來使這些規(guī)則生效。

1.3.3 工作方式

Netfilter組件由數(shù)據(jù)包過濾表組成，用來控制數(shù)據(jù)包過濾處理的規(guī)則集。

Iptables組件它可以更容易插入、修改和刪除數(shù)據(jù)信息包過濾表中的規(guī)則。（見圖1）

二、防火墻技術(shù)

2.1 防火墻的定義

防火墻指的是一個由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護(hù)屏障。

2.2 防火墻的種類

不同的防火墻其運用的技術(shù)不同，總的來說分以下幾類：1 .包過濾防火墻；2.應(yīng)用網(wǎng)關(guān)防火墻；3. 狀態(tài)檢測防火墻；4. 復(fù)合型防火墻。

三、防火墻的設(shè)計

3.1 設(shè)計思路

對于連接到網(wǎng)絡(luò)上的 Linux 系統(tǒng)來說，防火墻是必不可少的防御機(jī)制，它只允許合法的網(wǎng)絡(luò)流量進(jìn)出系統(tǒng)，而禁止其它任何網(wǎng)絡(luò)流量。

3.2 配置規(guī)則

一個LINUX防火墻系統(tǒng)需要一個合理的、高效的并且簡單的安全機(jī)制，而安全機(jī)制通常是通過Input、Output、Forward這三條“防火鏈”來實現(xiàn)。

四、結(jié)束語

netfilter/iptables 的最大優(yōu)點是它可以配置有狀態(tài)的防火墻，這是 ipfwadm 和 ipchains 等以前的工具都無法提供的一種重要功能。

netfilter/iptables 的另一個重要優(yōu)點是，它使用戶可以完全控制防火墻配置和信息包過濾。

另外，netfilter/iptables 是免費的，這對于那些想要節(jié)省費用的人來說十分理想，它可以代替昂貴的防火墻解決方案。

參考文獻(xiàn)

[1] Robert L.Ziegler，《Linux防火墻》人民郵電出版社，2000.10.

[2] W.Richard Stevens，《TCP/IP詳解 卷一：協(xié)議》機(jī)械工業(yè)出版社，2000.4.1.

[3] 中國計算機(jī)報 出版日期：2001-09-27 總期號：1058 本年期號：73 看安全策略定防火墻.

[4] 《卡飯月刊》第32期（2011.11） 關(guān)于防火墻規(guī)則.

[5] 防火墻 http：//baike.baidu.com/view/3067.htm.

[6] 防火墻的工作原理及比較 360論壇網(wǎng)絡(luò)專 http：//bbs.#/4028137/35952409.html.endprint

[摘 要]在計算機(jī)網(wǎng)絡(luò)技術(shù)飛速發(fā)展的今天，網(wǎng)絡(luò)安全問題日益突出，防火墻技術(shù)也越來越受到人們的關(guān)注。在眾多的網(wǎng)絡(luò)防火墻產(chǎn)品中，Linux操作系統(tǒng)上的防火墻軟件特點顯著，這些優(yōu)勢是其他防火墻產(chǎn)品不可比擬的。選用這類軟件確實是最低硬件需求的可靠、高效的解決方案。但用戶最關(guān)心的還是安全系統(tǒng)的性能，有關(guān)部門根據(jù)網(wǎng)絡(luò)安全調(diào)查和分析曾得出結(jié)論：網(wǎng)絡(luò)上的安全漏洞和隱患絕大部分是因網(wǎng)絡(luò)設(shè)置不當(dāng)引起的。Linux防火墻由以前的ipchains到如今的iptables，功能日漸強(qiáng)大和完善。iptables以filter的三個鏈處理input、output和forward數(shù)據(jù)包。通過對INPUT鏈、OUTPUT鏈以及FORWARD鏈上規(guī)則的添加和應(yīng)用來實現(xiàn)ALG防火墻，達(dá)到對網(wǎng)絡(luò)的保護(hù)和限制的目的。

[關(guān)鍵詞]Linux 防火墻 iptables

中圖分類號：TD956.2 文獻(xiàn)標(biāo)識碼：A 文章編號：1009-914X（2014）10-0027-01

Based on Linux system design and realization of the firewall

[Abstract]Network security issues have become increasingly prominent in the rapid development of computer network technology， firewall technology， more and more people pay attention.Firewall software on the Linux operating system features significantly in many network firewall products， these advantages unmatched by other firewall products. The selection of this type of software is indeed reliable and efficient solutions for the minimum hardware requirements. But users are most concerned about is the performance of the security system， the relevant departments according to the survey and analysis of network security has concluded： network security vulnerabilities and hidden mostly caused due to improper network settings. Linux firewall by the previous ipchains iptables， now function increasingly powerful and perfect. iptables to filter three chain processing input， output and forward packets. ALG firewall the adding and application of the rules on the INPUT chain， OUTPUT chain FORWARD chain， to achieve the purpose of network protection and restrictions.

[Key words]Linux firewall iptables

一、Linux操作系統(tǒng)

1.1 Linux系統(tǒng)簡介

Linux是一種自由和開放源碼的類Unix操作系統(tǒng)，Linux有許多不同的版本，但它們都使用了Linux內(nèi)核。嚴(yán)格來講，Linux這個詞本身只表示Linux內(nèi)核，但實際上人們已經(jīng)習(xí)慣了用Linux來形容整個基于Linux內(nèi)核，并且使用GNU 工程各種工具和數(shù)據(jù)庫的操作系統(tǒng)。

1.2 Linux防火墻配置命令簡介

1.2.1 概述

Linux防火墻通過使用iptables系統(tǒng)提供的特殊命令建立這些規(guī)則，并將其添加到內(nèi)核空間特定信息包過濾表內(nèi)的鏈中。

1.2.2 表（table）

[-t table]選項允許使用標(biāo)準(zhǔn)表之外的任何一個表。表只包含一個特定類型的包處理規(guī)則和鏈的包過濾表。

1.2.3 命令（command）

命令的部分最重要的部分是iptables命令。它告訴iptables命令去做什么。

1.3 netfilter/iptables組件

1.3.1 簡介

netfilter/iptables IP 信息包過濾系統(tǒng)是一種功能強(qiáng)大的工具，可用于添加、編輯和除去規(guī)則，這些規(guī)則是在做信息包過濾決定時，防火墻所遵循和組成的規(guī)則。

1.3.2 功能

Linux的防火墻是由netfilter和iptables兩個組件構(gòu)成。netfilter組件也稱為內(nèi)核空間（kernelspace），iptables 組件稱為用戶空間（userspace），通過iptables執(zhí)行命令或者修改配置文件來設(shè)置規(guī)則，netfilter接收指令和讀取配置文件來使這些規(guī)則生效。

1.3.3 工作方式

Netfilter組件由數(shù)據(jù)包過濾表組成，用來控制數(shù)據(jù)包過濾處理的規(guī)則集。

Iptables組件它可以更容易插入、修改和刪除數(shù)據(jù)信息包過濾表中的規(guī)則。（見圖1）

二、防火墻技術(shù)

2.1 防火墻的定義

防火墻指的是一個由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護(hù)屏障。

2.2 防火墻的種類

不同的防火墻其運用的技術(shù)不同，總的來說分以下幾類：1 .包過濾防火墻；2.應(yīng)用網(wǎng)關(guān)防火墻；3. 狀態(tài)檢測防火墻；4. 復(fù)合型防火墻。

三、防火墻的設(shè)計

3.1 設(shè)計思路

對于連接到網(wǎng)絡(luò)上的 Linux 系統(tǒng)來說，防火墻是必不可少的防御機(jī)制，它只允許合法的網(wǎng)絡(luò)流量進(jìn)出系統(tǒng)，而禁止其它任何網(wǎng)絡(luò)流量。

3.2 配置規(guī)則

一個LINUX防火墻系統(tǒng)需要一個合理的、高效的并且簡單的安全機(jī)制，而安全機(jī)制通常是通過Input、Output、Forward這三條“防火鏈”來實現(xiàn)。

四、結(jié)束語

netfilter/iptables 的最大優(yōu)點是它可以配置有狀態(tài)的防火墻，這是 ipfwadm 和 ipchains 等以前的工具都無法提供的一種重要功能。

netfilter/iptables 的另一個重要優(yōu)點是，它使用戶可以完全控制防火墻配置和信息包過濾。

另外，netfilter/iptables 是免費的，這對于那些想要節(jié)省費用的人來說十分理想，它可以代替昂貴的防火墻解決方案。

參考文獻(xiàn)

[1] Robert L.Ziegler，《Linux防火墻》人民郵電出版社，2000.10.

[2] W.Richard Stevens，《TCP/IP詳解 卷一：協(xié)議》機(jī)械工業(yè)出版社，2000.4.1.

[3] 中國計算機(jī)報 出版日期：2001-09-27 總期號：1058 本年期號：73 看安全策略定防火墻.

[4] 《卡飯月刊》第32期（2011.11） 關(guān)于防火墻規(guī)則.

[5] 防火墻 http：//baike.baidu.com/view/3067.htm.

[6] 防火墻的工作原理及比較 360論壇網(wǎng)絡(luò)專 http：//bbs.#/4028137/35952409.html.endprint