RHCE技術(shù)培訓(xùn)-網(wǎng)絡(luò)資源訪問控制介紹

1、RedHat RHCE 操作系統(tǒng)技術(shù)培訓(xùn)資料網(wǎng)絡(luò)資源訪問控制介紹單元 3 網(wǎng)絡(luò)資源訪問控制目標(biāo)路由IPv6實施 IPv6IPv6：動態(tài)接口配置IPv6：靜態(tài)接口配置IPv6：路由配置tcp_wrappers 和 IPv6新增的和修改過的程序Netfilter 總覽Netfilter 表和 Netfilter 鏈Netfilter 的數(shù)據(jù)包流程匹配規(guī)則規(guī)則目標(biāo)簡單的例子基本的鏈操作額外的鏈操作規(guī)則：通常要考慮的因素匹配參數(shù)連接跟蹤連接跟蹤（續(xù)）連接跟蹤示例網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）DNAT 示例SNAT 實例規(guī)則持續(xù)性/etc/sysconfig/iptablesIPv6 和 ip6tables結(jié)束

2、 單元 3目標(biāo)學(xué)習(xí)了本單元后，你應(yīng)該能夠： 描述 IP 和路由 比較 IPv4 和 IPv6 描述 IPv6 的特性 了解 Netfilter 的體系 學(xué)習(xí)使用 iptables 命令 了解網(wǎng)絡(luò)地址轉(zhuǎn)換（Network Address Translation ，NAT）路由 路由器在不同的網(wǎng)絡(luò)之間傳輸數(shù)據(jù)包 每臺機器都需要一個默認的網(wǎng)關(guān)來訪問本地網(wǎng)絡(luò)之外的主機 用 route 命令可以設(shè)置附加路由IPv6 特性（IP 版本 6） 更大的地址范圍 128 位地址空間 擴展的地址層次 靈活的標(biāo)題格式 基本標(biāo)題 40 個八進制數(shù)字 隨后的標(biāo)題字段支持用于當(dāng)前以及未來擴展的可選標(biāo)題（Optional

3、Header） 對自動配置的更多支持 鏈接本地地址 路由器廣告守護進程 動態(tài)主機配置協(xié)議版本6實施 IPv6 內(nèi)核 ipv6 模塊啟用無狀態(tài)的自動配置（stateless autoconfiguration） 被 /etc/rc.d/init.d/network 初始化腳本實施的額外配置 在 /etc/sysconfig/network 中的 NETWORKING_IPV6=yes 在 /etc/sysconfig/network-scripts/ifcfg-ethX 中的 IPV6INIT=yesIPv6：動態(tài)接口配置 有兩種動態(tài)配置 IPv6 地址的方法 : 路由器廣告守護進程 在（Lin

4、ux）默認的網(wǎng)關(guān)上運行 radvd 只指定前綴和默認網(wǎng)關(guān) 使用 IPV6_AUTOCONF=yes 來啟用 根據(jù)系統(tǒng)的 MAC 地址自動生成接口 ID DHCP 版本 6 dhcp6s 支持更多配置選項 使用 DHCPV6C=yes 啟用IPv6: 靜態(tài)接口配置 /etc/sysconfig/network-scripts/ifcfg-ethX IPV6ADDR=/prefix_length 不必要使用設(shè)備別名 IPV6ADDR_SECONDARIES=/prefix_length IPv6：配置 默認網(wǎng)關(guān) 根據(jù) radvd 或者 dhcpv6s 動態(tài)配置 在 /etc/sysconfig/n

5、etwork 中手動指定 IPV6_DEFAULTGW= IPV6_DEFAULTDEV= - 只適用于點對點接口 靜態(tài)路由 460在 /etc/sysconfig/network-scripts/route6-ethX 中逐接口定義 使用 ip -6 route add 語法 via tcp_wrappers 和 IPv6 tcp_wrappers 會注意到 IPv6 當(dāng)域內(nèi)安全實施了 IPv6 時，請確定 tcp_wrappers 規(guī)則中含有 IPv6 地址 例如 : 保留 localhost 連接性，將其添加到 /etc/hosts.allow 文件中 ALL：:1新增的和修改過的程序

6、ping6 traceroute6 tracepath6 ip -6 host t AAAA hostname6.domain6Netfilter 總覽 在內(nèi)核中過濾 : 無守護進程 在 OSI 參考模型 （OSI Reference Model）的第 2、3、4 層插入策略 只查看數(shù)據(jù)包標(biāo)題 由內(nèi)核中的 netfilter 模塊和 iptables 用戶空間軟件構(gòu)成Netfilter 表和 Netfilter 鏈Netfilter 的數(shù)據(jù)包流程匹配規(guī)則 按順序排列的規(guī)則 按規(guī)則順序測試數(shù)據(jù)包 首次匹配后會評估目標(biāo) : 通常推出鏈 規(guī)則可以指定多個匹配條件 必須滿足規(guī)則說明中的每個條件才算是匹

7、配（邏輯 AND） 如果無匹配則應(yīng)用 鏈策略規(guī)則目標(biāo) 內(nèi)置目標(biāo) : DROP、ACCEPT 擴展目標(biāo) : LOG、REJECT、定制鏈（custom chain） REJECT 給發(fā)送者返回一個通知 LOG 連接系統(tǒng)日志內(nèi)核工具 LOG 匹配不會從鏈中退出 目標(biāo)是可選的，但是每條規(guī)則最多只能有一個目標(biāo)，如沒有目標(biāo)，就默認使用鏈的策略簡單的例子 Filter 表中的 INPUT 規(guī)則 ：基本的鏈操作 列出某個鏈或表中的規(guī)則（-L 或 -vL） 在鏈中后補規(guī)則（-A） 在鏈中插入規(guī)則（-I） -I （作為第一條規(guī)則插入） -I 3（作為第三條規(guī)則插入） 刪除某個規(guī)則（-D） -D 3（刪除鏈中的第

8、三條規(guī)則） -D （明確刪除規(guī)則）額外的鏈操作 分配鏈策略（-P ） ACCEPT （默認，是內(nèi)置目標(biāo)） DROP （是內(nèi)置目標(biāo)） REJECT （不允許，是擴展目標(biāo)） 清除某個鏈的所有規(guī)則（-F） 不會清除策略 把字節(jié)和數(shù)據(jù)包計數(shù)器重設(shè)為零（-Z z） 有助于監(jiān)控鏈統(tǒng)計數(shù)據(jù) 管理定制鏈 （-N、-X） -N （添加鏈） -X （刪除鏈）規(guī)則 : 通常要考慮的因素 更適用于幾乎關(guān)閉的系統(tǒng) iptables P INPUT DROP 或 iptables A INPUT j DROP iptables A INPUT j REJECT 條件也適用于回送接口 以上的規(guī)則示例有個一個副作用，它會阻止

9、 localhost ！ 和路由一樣，規(guī)則被載入內(nèi)存，因此必須被保存到文件中才能在重啟后持續(xù)有效匹配參數(shù) 匹配的項目可以是 ： IP 地址或主機名 警告 : 在插入規(guī)則時，主機名必須能夠被解析 端口號碼或服務(wù)名稱 參數(shù)可以使用“！”來否定 包括的端口范圍可以使用“0:1023”來指定 掩碼可以使用 VLSN 或 CIDR 格式連接跟蹤 提供對數(shù)據(jù)包“狀態(tài)”的檢查 可以在指定環(huán)境中測試數(shù)據(jù)包 簡化規(guī)則設(shè)計 不進行連接跟蹤，規(guī)則通常是成對出現(xiàn)的（進入和輸出） 在“狀態(tài)”匹配擴展中實施 可識別的狀態(tài) ：NEW、ESTABLISHED、RELATED、INVALID 需要更多內(nèi)存連接跟蹤（續(xù)） 連接跟

10、蹤模塊 ip_conntrack_ftp ip_conntrack_tftp ip_nat_ftp ip_nat_tftp（及其它） /etc/sysconfig/iptables-config連接跟蹤示例 使用一條規(guī)則來允許建立連接 : iptables A INPUT m state -state ESTABLISHED,RELATED j ACCEPT 使用多條規(guī)則來跟蹤，每個許可的服務(wù)都有一條規(guī)則 ： iptables A INPUT m state -state NEW p tcp -dport 25 -j ACCEPT 最后，使用一條規(guī)則來阻止所有其它進入的連接 ： iptable

11、s A INPUT m state -state NEW j DROP 網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT） 將一個 IP 地址轉(zhuǎn)換成另一個（進入和輸出） 允許您將內(nèi)部的 IP 地址 “隱藏”在一個公共 IP 地址后面 在 nat 表中設(shè)置規(guī)則 網(wǎng)絡(luò)地址轉(zhuǎn)換類型 ： 目的地 NAT（DNAT）- 在使用被轉(zhuǎn)換的地址進行過濾的 PREROUTING 鏈中設(shè)置 源 NAT（SNAT,MASQUERADE） - 在從不使用被轉(zhuǎn)換的地址進行過濾的 PREROUTING 鏈中設(shè)置DNAT 示例 INBOUND（進入） iptables t nat A PREROUTING p tcp -dport 80 j DNAT

12、 -to-dest 0 OUTBOUND （輸出，帶有端口重定向） iptables t nat A OUTPUT p tcp -dport 80 j DNAT -to-dest 00:3128SNAT 示例 MASQUERADE iptables t nat A POSTROUTING o eth0 j MASQUERADE SNAT iptables t nat A POSTROUTING J SNAT -to-source 5規(guī)則持續(xù)性 iptables 不是守護進程，它將規(guī)則載入內(nèi)存后退出 規(guī)則在每次重啟間不是持續(xù)的 service iptables save 命令會將規(guī)則保存在 /etc/sysconfig/iptables 文件中（請確定為該文件設(shè)置了正確的 SELinux 環(huán)境 ?。?可使用系統(tǒng) V （System V ）管理，并在配置聯(lián)網(wǎng)前運行/etc/sysconfig/iptables 示例 filter :INPUT DROP 573:46163:FORWARD ACCEPT 0:0:OUTPUT ACCEPT 641:68532-A INPUT i lo j ACCEPT