第二十一章 Linux路由与防火墙

Linux路由器
1. 静态路由的配置

⑴ 启用Linux系统的路由转发功能
# vi /etc/rc.d/rc.local 添加以下内容
echo “1”>/proc/sys/net/ipv4/ip_forward
⑵ 配置网卡接口的ip信息
# netconfig
⑶ 配置静态路由表
#route
实例：# route add - net 192.168.0.0/24 dev eth0
# route add –host 192.168.0.1 dev eth0
# route add –host 192.168.0.1 gw 192.168.1.1
# route add –net 192.168.1.0 netmask 255.255.255.0 gw 192.168.0.1
注:Linux可以利用zebra软件制作动态路由

防火墙的功能

·IP 地址保留和通信转发
·网络区分
·防御Dos攻击
·IP 和端口的过滤
·内容过滤
·包重定向
·强化认证和加密
·补充记录

防火墙分类

·包过滤防火墙（网络层）
·内容过滤防火墙（应用层）

包过滤防火墙

优点：实现简单，速度快，价格便宜
缺点：不支持用户认证，规则的复杂度影响速度；功能较单一；

Linux系统中常用的包过滤软件

·ipfwadm    (应用于2.0内核)
·ipchains   (应用于2.2内核)
·iptables   (应用于2.4内核)

Iptables的基础
1. netfilter/iptables的含义

netfilter:是系统的独立模块，用于实现包过滤功能；
iptables :一种管理内核包过滤的工具，为实现配置防火墙提供方便；

netfilter/iptables的功能

·包过滤
·NAT
·连接跟踪
·QOS

netfilter/iptables常用术语

·表
·链
·规则
⑴ 表
含义：提供独立的功能，每张表中由若干链组成
种类：FILTER(默认) ：包过滤
       NAT          ：地址转换
       MANGLE     ：QOS
⑵ 链
含义：是表的组成部分，细分表的具体功能，每条链由若干条规则构成
种类：INPUT
       OUTPUT
       FORWARD
       POSTROUTING (对出去的数据包进行路由选择)
       PREROUTING （对进来的数据包进行路由选择）
       用户自定义链
注：FILTER : INPUT          OUTPUT         FORWARD
    NAT     : OUTPUT        POSTROUTING   PREROUTING
    MANGLE : PREROUTING   OUTPUT   INPUT   POSTROUTING FORWARD
⑶ 规则
含义：是一种包含条件的判断语句，用于确定如何处理数据包
  种类：       ACCEPT   DROP    FORWARD   REJECT    SNAT   DNAT
         LOG      TOS      REDIRECT   MASQUERRADE

iptables的使用

课程关键词:

第二十一章 Linux路由与防火墙