上海网站建设,广告怎么做,网络推广网站排名,企业网站 优点目录
一、安全技术
1、安全技术
2、防火墙分类 二、防火墙
1、iptables五表五链
2、黑白名单
3、iptables基本语法
4、iptables选项
5、控制类型
6、隐藏扩展模块
7、显示扩展模块
8、iptables规则保存
9、自定义链使用 一、安全技术
1、安全技术
①入侵检测系统…目录
一、安全技术
1、安全技术
2、防火墙分类 二、防火墙
1、iptables五表五链
2、黑白名单
3、iptables基本语法
4、iptables选项
5、控制类型
6、隐藏扩展模块
7、显示扩展模块
8、iptables规则保存
9、自定义链使用 一、安全技术
1、安全技术
①入侵检测系统Intrusion Detection Systems特点是不阻断任何网络访问量化、定位来自内外网络的威胁情况主要以提供报警和事后监督为主提供有针对性的指导措施和安全决策依据,类 似于监控系统一般采用旁路部署默默的看着你方式。
②入侵防御系统Intrusion Prevention System以透明模式工作分析数据包的内容如溢出攻击、拒绝服务攻击、木马、蠕虫、系统漏洞等进行准确的分析判断在判定为攻击行为后立即予以 阻断主动而有效的保护网络的安全一般采用在线部署方式。
③防火墙 FireWall 隔离功能工作在网络或主机边缘对进出网络或主机的数据包基于一定的规则检查并在匹配某规则时由规则定义的行为进行处理的一组功能的组件基本上的实现都是默 认情况下关闭所有的通过型访问只开放允许访问的策略,会将希望外网访问的主机放在DMZ (demilitarized zone)网络中。
2、防火墙分类
①按保护范围划分
主机防火墙服务范围为当前一台主机。
网络防火墙服务范围为防火墙一侧的局域网。
②按实现方式划分
硬件防火墙在专用硬件级别实现部分功能的防火墙另一个部分功能基于软件实现华为、深信服等。
软件防火墙运行于通用硬件平台之上的防火墙的应用软件Windows 防火墙 ISA -- Forefront。
③按网络协议划分
包过滤防火墙只对osi模型下四层生效速度快拆包少。
网络层防火墙OSI模型下四层又称为包过滤防火墙。
应用层防火墙/代理服务器proxy 代理网关OSI模型七层。
二、防火墙
1、iptables五表五链
①五表
secure表用于强制访问控制MAC网络规则由Linux安全模块如SELinux实现。
raw表关闭启用的连接跟踪机制加快封包穿越防火墙速度。
mangel表修改数据标记位规则表。
nat表地址转换规则表。
filter表过滤规则表根据预定义的规则过滤符合条件的数据包默认表为filter表。
②五链
INPUT链处理入站数据包。
OUTPUT链处理出站数据包。
FORWARD链转发数据包。
PREROUTING链处理路由选择前数据包。
POSTROUTING链处理路由选择后数据包。 2、黑白名单
①黑名单默认全部允许通过添加谁才不允许谁通过。
②白名单默认全部不允许通过添加谁允许谁通过。
3、iptables基本语法
iptables [-t 表名] 选项 [链名] [条件] [-j 控制类型] 4、iptables选项
-A 在链的末尾追加一条规则。 -I 在链的行首插入一条新的规则若-I 后加数字表示在第几条前插入新规则。 -D 删除规则。 -P 修改默认链的默认规则默认都是ACCEPT使用格式iptables -P 修改的链 修改的默认规则。
-F 清空防火墙规则默认情况filter表加-t 表名可以情况其他表。 -R 替换某条规则-R 要替换的规则编号。
-L 以列表查看iptables使用组合时必须在最后一位。
-N 添加自定义规则链。 -X 删除自定义规则链。 -p 指定服务名称TCP、ICMP等。 -n 数字化显示规则表多用于和-n -L选项配合看表。
-v 显示规则表的详细信息。
--line--numbers 查看规则编号。
5、控制类型
控制类型需要使用 -j 跳转到某类型处理数据包。
①ACCEPT允许通过
②REJECT 拒绝通过
③DROP丢弃会接受但是将数据包丢弃不处理6、隐藏扩展模块
④SNAT源地址转换
⑤DNAT目的地址转换
6、隐藏扩展模块
iptables在使用-p 指定协议时若指明特定协议后就无须再使用-m指明扩展模块的扩展机制例如若已经指明是 -p tcp 协议则使用--dport及--sport等tcp模块内容时即可省略-m tcp。
①TCP模块
--sport 指明源端口使用格式 --sport 端口或 端口1端口2(端口1到端口2的连续端口范围指定)。 --dport 指明目的端口使用格式 --dport 端口或 端口1端口2(端口1到端口2的连续端口范围指定)。
②ICMP模块
--icmp-type 指定icmp的type值制定规则。type值Echo- Request (代码为8)、表示请求 Echo- Reply (代码为0)表示回复 、Dest ination-Unreachable (代码为3)表示目标不可达。
例如设置自己可以ping其他机器但是不允许其他机器ping自己。 7、显示扩展模块
扩展模块使用格式 -m {模块名} [选项]
①multiport模块
--sports 端口1端口2 ,等 使用隔开最多指定15个不连续端口。
--dports 端口1端口2 ,等 使用隔开最多指定15个不连续端口。 ② iprange模块
iprange模块可以指定连续的(一般不是整个网络)ip地址范围。
--src-range 源地址范围或 目的地址范围例如10.0.0.0-10.0.0.15。
--dst-range 源地址范围或 目的地址范围例如10.0.0.0-10.0.0.15。
③mac地址模块
指明源MAC地址适用INPUT链PREOUTINGPOSTROUTING链。
--mac-source 源mac地址只能指定源mac地址。
④string字符串模块
可以使用string模块指定字符串范围。
--from offset 字符串开始查询的地方。
--to offset 字符串结束查询的地方 。
例如iptables -A OUTPUT -p tcp --sport 80 -m string --algo bm --from 62 --string bilibili -j REJECT
⑤connlimit模块
据每客户端IP做并发连接数数量匹配可防止Dos(Denial of Service拒绝服务)攻击。
--connlimit-upto N #连接的数量小于等于N时匹配
--connlimit-above N #连接的数量大于N时匹配
例如iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 2 -j REJECT
⑥stat模块
stat模块可以根据连接状态控制数据包。
NEW新发出的请求第一次发出的请求。
ESTABLISHEDnew之后的正常连接状态。
例如ipatables -A INPUT -m state --state NEW -j REJECT ipatables -A INPUT -m state --state ESTABLISHED -j ACCEPT
⑦控制流量模块
limit控制流量模块可以控制通过的包数以及每分钟或每小时通过的包数。
--limit 10/minute(1分钟之内只允许10个包通过)
--limit-burs 数字 例如 --limit-burst 5(允许通过前5个包5个包不受影响)
8、iptables规则保存
将写好的规则导入一个文件中 iptables-save 文件名。
永久保存保存规则的文件重新写入 iptables-restore 保存规则的文件名。 9、自定义链使用
①自定义链添加iptables -N web(链名) 创建链
②自定义链改名iptabels -E web(原来名称) (新名称) 自定义链改名
③创建自定义链规则iptables -t filter -I INPUT -p icmp -j REJECT 创建自定义规则
④iptabales创建对应自定义链规则跳转iptables -A INPUT -p icmp -j WEB
iptables的INPUT链中添加一条对应到自定义链中才能生效
⑤删除自定义规则链先删除iptables INPUT链中的对应关系然后删除自定义链中的规则。
