鄭州鐵路職業(yè)技術(shù)學(xué)院教案首頁(yè)序號(hào)：31授課班級(jí)信息安全22A1信息安全22A2授課日期6.127.5出勤情況課程名稱網(wǎng)絡(luò)系統(tǒng)安全運(yùn)行與維護(hù)教學(xué)類型講授復(fù)習(xí)舊課引入新課復(fù)習(xí)舊課：Linux系統(tǒng)FTP服務(wù)安裝與配置引入新課：M7-5Linux系統(tǒng)防火墻安裝與配置教學(xué)目標(biāo)學(xué)生通過(guò)該能力模塊的學(xué)習(xí),能夠熟練掌握防火墻服務(wù)的安裝與配置能力。講授要點(diǎn)教學(xué)設(shè)計(jì)講授要點(diǎn)：1、安裝IPtables服務(wù)2、使用IPtables配置防火墻教學(xué)設(shè)計(jì)：回顧上節(jié)內(nèi)容回顧FTP服務(wù)安裝與配置引入本節(jié)內(nèi)容對(duì)比windows中防火墻的功能和設(shè)置，引入本節(jié)內(nèi)容任務(wù)實(shí)施分3個(gè)實(shí)驗(yàn)步驟，完成IPtables的安裝和配置課堂總結(jié)重點(diǎn)難點(diǎn)解決方法重點(diǎn)：1、安裝IPtables服務(wù)2、使用IPtables配置防火墻難點(diǎn)：使用IPtables配置防火墻解決方法：講解+上機(jī)操作課后作業(yè)總結(jié)IPtables配置防火墻的步驟課后總結(jié)防火墻的配置命令比較長(zhǎng)，在輸入時(shí)應(yīng)該仔細(xì)認(rèn)真檢查。鄭州鐵路職業(yè)技術(shù)學(xué)院教師教案第31-PAGE1頁(yè)Linux系統(tǒng)防火墻安裝與配置（一）教學(xué)過(guò)程步驟主要內(nèi)容教學(xué)組織復(fù)習(xí)復(fù)習(xí)FTP服務(wù)安裝與配置過(guò)程教師講授，學(xué)生回憶5分鐘任務(wù)引入在網(wǎng)絡(luò)中利用Linux操作系統(tǒng)的防火墻模塊來(lái)保護(hù)網(wǎng)絡(luò)服務(wù)，不但可以保護(hù)內(nèi)網(wǎng)和主機(jī)的服務(wù)，而且還可以利用其NAT規(guī)劃鏈實(shí)現(xiàn)內(nèi)網(wǎng)訪問(wèn)互聯(lián)網(wǎng)。教師講授5分鐘知識(shí)講授1．Linux中使用軟件實(shí)現(xiàn)代理和防火墻功能使用netfilter/iptables架構(gòu)實(shí)現(xiàn)網(wǎng)絡(luò)防火墻的基本功能使用squid服務(wù)器軟件實(shí)現(xiàn)HTTP服務(wù)的代理功能2．Linux中的防火強(qiáng)功能是由內(nèi)核實(shí)現(xiàn)的在2.0內(nèi)核中，網(wǎng)絡(luò)防火墻的操作工具名稱是ipfwadm在2.2內(nèi)核中，網(wǎng)絡(luò)防火墻的操作工具名稱是ipchains在2.4之后的內(nèi)核中，網(wǎng)絡(luò)防火墻的操作工具名稱是iptables3．iptables的軟件包組成RHEL4中的iptables軟件包 #rpm-qiptables iptables-1.2.11-3.1.RHEL44．iptables軟件包中的管理命令iptables是主要的管理命令，對(duì)網(wǎng)絡(luò)防火墻功能的管理都是通過(guò)iptables命令實(shí)現(xiàn)的iptables-save命令可以將當(dāng)前系統(tǒng)中的防火墻設(shè)置進(jìn)行保存iptables-restore命令可以將使用iptables-save命令保存的防火墻策略配置恢復(fù)到當(dāng)前系統(tǒng)中5．iptables服務(wù)的啟動(dòng)與停止iptables服務(wù)啟動(dòng)腳本/etc/rc.d/init.d/iptables6．iptables配置文件與策略設(shè)置文件iptables配置文件/etc/sysconfig/iptables-config7．策略設(shè)置文件/etc/sysconfig/iptables8．iptables服務(wù)的啟動(dòng)與停止 iptables服務(wù)缺省自動(dòng)啟動(dòng) 可通過(guò)啟動(dòng)腳本手工啟動(dòng)和停止iptables服務(wù) #serviceiptablesstart9．netfilter與iptables在Linux的內(nèi)核中使用netfilter架構(gòu)實(shí)現(xiàn)防火墻功能iptables是Linux系統(tǒng)中為用戶提供的netfilter管理工具，用于實(shí)現(xiàn)對(duì)Linux內(nèi)iptables缺省具有3個(gè)規(guī)則表Filter：用于設(shè)置包過(guò)濾NAT：用于設(shè)置地址轉(zhuǎn)換Mangle：用于設(shè)置網(wǎng)絡(luò)流量整形等應(yīng)用10．查看防火墻的基本狀態(tài)11．iptables命令教師講授，演示防火墻的設(shè)置過(guò)程35分鐘任務(wù)實(shí)施配置防火墻服務(wù)檢查軟件安裝[root@lab1~]#rpm-qa|grepiptablesiptables-1.2.11-3.1.RHEL4允許訪問(wèn)本機(jī)的http、ssh協(xié)議grephttp/etc/services[root@lab~]#iptables-AINPUT-ptcp-d0--dport22-jACCEPT[root@lab~]#iptables-AOUTPUT-ptcp-s0--sport22-jACCEPT[root@lab~]#iptables-PINPUTDROP[root@lab~]#iptables-POUTPUTDROP[root@lab~]#iptables-PFORWARDDROP[root@lab~]#iptables-AINPUT-ptcp--dport80-jACCEPT

[root@lab~]#iptables-AOUTPUT-ptcp--sport80-jACCEPT[root@lab~]#iptables-L-n--line-numbers[root@lab~]#serviceiptablessave[root@lab~]#iptables-save>/etc/sysconfig/iptables

允許DNS查詢（以客戶端身份）[root@lab~]#iptables-AOUTPUT-pudp--dport53-jACCEPT[root@lab~]#iptables-AINPUT-pudp--sport53-jACCEPT允許DNS查詢（服務(wù)器身份）[root@lab~]#iptables-AINPUT-pudp--dport53-jACCEPT[root@lab~]#iptables-AOUTPUT-pudp--sport53-jACCEPT

允許回環(huán)地址[root@lab~]#iptables-AINPUT-s-d-jACCEPT[root@lab~]#^IN^OUTiptables-AOUTPUT-s-d-jACCEPT[root@lab~]#iptables-AOUTPUT-ptcp--sport22-mstate--stateESTABLISHED-jACCEPT(病毒)[root@lab~]#iptables-AOUTPUT-ptcp--sport80-mstate--stateESTABLISHED-jACCEPT[root@lab~]#iptables-DOUTPUT1[root@lab~]#serviceiptablessave防火墻日志：[root@lab~]#touch/var/log/firewall.log[root@lab~]#vi/etc/syslog.confkern.=notice /var/log/firewall.log[root@lab~]#servicesyslogrestart[root@lab~]#iptables-IINPUT1-ptcp--dport22-jLOG--log-level5--log-prefix"iptables:"[root@lab~]#tail－f/var/log/firewall.log允許內(nèi)網(wǎng)上網(wǎng)：[root@lab~]#echo1>/proc/sys/net/ipv4/ip_forward[root@lab~]#iptables-AFORWARD-s/24-jACCEPT

[root@lab~]#iptables-AFORWARD-d/24-jACCEPT[root@lab~]#vi/etc/sysctl.confnet.ipv4.ip_forward=1NAT功能SNAT應(yīng)用[root@lab~]#iptables-tnat-APOSTROUTING-s/24-jSNAT--to-source[root@lab~]#iptables-tnat-APOSTROUTING-s/24-jMASQUERADE(PPPOE)DNAT應(yīng)用[root@lab~]#iptables-tnat-APREROUTING-d54-ptcp--dport80-jDNAT--to-destination禁止客戶機(jī)訪問(wèn)某些服務(wù)root@lab~]#iptables-AFORWARD-s/24-ptcp--dport21-jDROP禁止客戶機(jī)訪問(wèn)某些站點(diǎn)[root@lab~]#iptables-AFORWARD-d-jDROP強(qiáng)制訪問(wèn)指定站點(diǎn)[root@lab~]#iptables-tnat-APREROUTING-ieth0-p