《代理服务器与防火墙.ppt》由会员分享，可在线阅读，更多相关《代理服务器与防火墙.ppt（47页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、第第第第6 6章内容回顾章内容回顾章内容回顾章内容回顾vSMTP、POP3和和IMAP是邮件系统中使用的网络是邮件系统中使用的网络协议，可实现邮件的发送和收取协议，可实现邮件的发送和收取 vSendmail是是RHEL4系统中缺省安装使用的邮件系统中缺省安装使用的邮件服务器服务器 vdovecot服务器可提供服务器可提供pop3和和imap4服务服务v通过通过OpenWebmail提供的界面用户可以使用浏览提供的界面用户可以使用浏览器管理邮箱和收发邮件器管理邮箱和收发邮件v使用使用Sendmail、dovecot和和OpenWebmail可以可以构建完整的邮件应用系统构建完整的邮件应用系统 P
2、age 1/47Version 2.0代理服务器与防火墙代理服务器与防火墙代理服务器与防火墙代理服务器与防火墙第第第第7 7章章章章本章目标本章目标本章目标本章目标v了解防火墙和代理服务器的基本概念了解防火墙和代理服务器的基本概念v掌握掌握Linux系统中的防火墙管理系统中的防火墙管理v掌握掌握squid代理服务器管理代理服务器管理 Page 3/47本章结构本章结构本章结构本章结构代理服务器与代理服务器与代理服务器与代理服务器与防火墙防火墙防火墙防火墙基本概念基本概念基本概念基本概念iptablesiptables应用层代理应用层代理应用层代理应用层代理网络层防火墙网络层防火墙网络层防火墙网
3、络层防火墙iptablesiptables基本原理基本原理基本原理基本原理iptablesiptables的基本配置管理的基本配置管理的基本配置管理的基本配置管理 防火墙配置实例防火墙配置实例防火墙配置实例防火墙配置实例squidsquid服务器的基本功能服务器的基本功能服务器的基本功能服务器的基本功能squidsquid服务器的配置管理服务器的配置管理服务器的配置管理服务器的配置管理 缓存代理缓存代理缓存代理缓存代理squidsquid网页浏览器的代理设置网页浏览器的代理设置网页浏览器的代理设置网页浏览器的代理设置Page 4/47应用层代理应用层代理应用层代理应用层代理 v应用层代理的基本
4、概念应用层代理的基本概念应用层代理针对特定的网络协议提供代理服务应用层代理针对特定的网络协议提供代理服务HTTP代理和代理和FTP代理是应用层代理的典型应用代理是应用层代理的典型应用v使用代理服务器可以解决的问题使用代理服务器可以解决的问题局域网中的所有主机都可以通过同局域网中具有互联网局域网中的所有主机都可以通过同局域网中具有互联网访问能力的代理服务器主机进行外部网络的访问访问能力的代理服务器主机进行外部网络的访问代理服务器对已经访问过的内容提供缓存，可有效的减代理服务器对已经访问过的内容提供缓存，可有效的减少对外部网络的访问流量，并能够提高频繁访问的页面少对外部网络的访问流量，并能够提高频
5、繁访问的页面的访问效率的访问效率通过代理服务器可以进行一定程度的访问控制，可以对通过代理服务器可以进行一定程度的访问控制，可以对客户端和被访问页面进行控制客户端和被访问页面进行控制Page 5/47代理服务的应用原理代理服务的应用原理代理服务的应用原理代理服务的应用原理v代理服务器工作在代理服务器工作在TCP/IP的应用层的应用层链路层链路层网络层网络层传输层传输层应用代理应用代理上层程序上层程序链路层链路层网络层网络层传输层传输层应用层应用层客户程序客户程序链路层链路层网络层网络层传输层传输层应用层应用层服务程序服务程序受保护客户端受保护客户端代理服务器代理服务器外部网络外部网络Page 6
6、/47网络层防火墙网络层防火墙网络层防火墙网络层防火墙 v网络防火墙软件的主要功能网络防火墙软件的主要功能 对进入和流出的对进入和流出的IP数据包进行过滤，屏蔽不符合要求的数据包进行过滤，屏蔽不符合要求的数据包，保证内部网络的安全数据包，保证内部网络的安全提供数据包的路由选择，实现网络地址转换（提供数据包的路由选择，实现网络地址转换（NAT），），从而解决局域网中主机使用内部从而解决局域网中主机使用内部IP地址也能够顺利访问地址也能够顺利访问外部网络的应用需求外部网络的应用需求v防火墙的类型防火墙的类型硬件防火墙是功能专一的硬件设备，价格昂贵硬件防火墙是功能专一的硬件设备，价格昂贵软件防火墙的
7、功能是由计算机中的软件实现的，具有软件防火墙的功能是由计算机中的软件实现的，具有相当大的价格优势相当大的价格优势 Page 7/47网络层防火墙的应用原理网络层防火墙的应用原理网络层防火墙的应用原理网络层防火墙的应用原理v网络防火墙工作在网络防火墙工作在TCP/IP的网络层的网络层链路层链路层网络层网络层传输层传输层应用代理应用代理上层程序上层程序链路层链路层网络层网络层传输层传输层应用层应用层客户程序客户程序链路层链路层网络层网络层传输层传输层应用层应用层服务程序服务程序外部网络外部网络网络层防火墙网络层防火墙受保护网络受保护网络Page 8/47LinuxLinux中代理服务和防火墙的实现
8、中代理服务和防火墙的实现中代理服务和防火墙的实现中代理服务和防火墙的实现vLinux中使用软件实现代理和防火墙功能中使用软件实现代理和防火墙功能使用使用netfilter/iptables架构实现网络防火墙的基本功能架构实现网络防火墙的基本功能使用使用squid服务器软件实现服务器软件实现HTTP服务的代理功能服务的代理功能 Page 9/47LinuxLinux防火墙软件的发展与实现防火墙软件的发展与实现防火墙软件的发展与实现防火墙软件的发展与实现 vLinux中的防火强功能是由内核实现的中的防火强功能是由内核实现的在在2.0内核中，网络防火墙的操作工具名称是内核中，网络防火墙的操作工具名称
9、是ipfwadm在在2.2内核中，网络防火墙的操作工具名称是内核中，网络防火墙的操作工具名称是ipchains在在2.4之后的内核中，网络防火墙的操作工具名称是之后的内核中，网络防火墙的操作工具名称是iptablesvnetfilter与与iptables在在Linux的内核中使用的内核中使用netfilter架构实现防火墙功能架构实现防火墙功能iptables是是Linux系统中为用户提供的系统中为用户提供的netfilter管理工管理工具，用于实现对具，用于实现对Linux内核中网络防火墙的管理内核中网络防火墙的管理 Page 10/47iptablesiptables规则链规则链规则链规
10、则链 viptables缺省具有缺省具有5条规则链条规则链PREROUTINGFORWARDPOSTROUTINGINPUTOUTPUT上层应用程序上层应用程序(接收或发送网络数据接收或发送网络数据)Page 11/47iptablesiptables规则表规则表规则表规则表 viptables缺省具有缺省具有3个规则表个规则表Filter：用于设置包过滤：用于设置包过滤NAT：用于设置地址转换：用于设置地址转换Mangle：用于设置网络流量整形等应用：用于设置网络流量整形等应用v不同的规则表由不同的规则链组成不同的规则表由不同的规则链组成Filter：INPUT、FORWARD、OUTPUT
11、NAT：PREROUTING、POSTROUTING、OUTPUTMangle：PREROUTING、POSTROUTING、INPUT、OUTPUT和和FORWARDPage 12/47netfilter/iptablesnetfilter/iptables的典型应用的典型应用的典型应用的典型应用vnetfilter/iptables的典型应用的典型应用作为主机防火墙实现外部网络与主机之间的访问控制作为主机防火墙实现外部网络与主机之间的访问控制作为网络防火墙提供外部网络与内部网络的访问控制作为网络防火墙提供外部网络与内部网络的访问控制作为网关服务器实现网络地址转换（作为网关服务器实现网络地址
12、转换（NAT）功能，实）功能，实现内部网络通过网关主机共享访问外部网络现内部网络通过网关主机共享访问外部网络vnetfilter/iptables可以在可以在Linux系统中实现网络防系统中实现网络防火墙的各种常用功能火墙的各种常用功能Page 13/47iptablesiptables的软件包组成的软件包组成的软件包组成的软件包组成vRHEL4中的中的iptables软件包软件包#rpm-q iptablesiptables-1.2.11-3.1.RHEL4 viptables软件包中的管理命令软件包中的管理命令iptables是主要的管理命令是主要的管理命令，对网络防火墙功能的管理对网络防
13、火墙功能的管理都是通过都是通过iptables命令实现的命令实现的iptables-save命令可以将当前系统中的防火墙设置进命令可以将当前系统中的防火墙设置进行保存行保存iptables-restore命令可以将使用命令可以将使用iptables-save命令保命令保存的防火墙策略配置恢复到当前系统中存的防火墙策略配置恢复到当前系统中 Page 14/47iptablesiptables服务的启动与停止服务的启动与停止服务的启动与停止服务的启动与停止 viptables服务启动脚本服务启动脚本/etc/rc.d/init.d/iptablesviptables配置文件与策略设置文件配置文件与
14、策略设置文件 iptables配置文件配置文件/etc/sysconfig/iptables-config 策略设置文件策略设置文件/etc/sysconfig/iptables viptables服务的启动与停止服务的启动与停止 iptables服务缺省自动启动服务缺省自动启动可通过启动脚本手工启动和停止可通过启动脚本手工启动和停止iptables服务服务#service iptables start Page 15/47查看防火墙的基本状态查看防火墙的基本状态查看防火墙的基本状态查看防火墙的基本状态 v查询防火墙的状态查询防火墙的状态使用使用iptables命令查询防火墙状态命令查询防火墙
15、状态#iptables-L Chain INPUT(policy ACCEPT)target prot opt source destinationChain FORWARD(policy ACCEPT)target prot opt source destinationChain OUTPUT(policy ACCEPT)target prot opt source destinationPage 16/47使用使用使用使用iptablesiptables命令进行策略设置命令进行策略设置命令进行策略设置命令进行策略设置 viptables命令是对防火墙配置管理的核心命令命令是对防火墙配置管理
16、的核心命令iptables命令提供了丰富的功能，可以对命令提供了丰富的功能，可以对Linux内核中内核中的的netfilter防火墙进行各种策略的设置防火墙进行各种策略的设置iptables命令的设置在系统中是即时生效的命令的设置在系统中是即时生效的使用使用iptables命令手工进行的防火墙策略设置如果不进命令手工进行的防火墙策略设置如果不进行保存将在系统下次启动时丢失行保存将在系统下次启动时丢失Page 17/47使用使用使用使用iptables-saveiptables-save命令保存设置命令保存设置命令保存设置命令保存设置 viptables-save命令提供了防火墙配置的保存功命令
17、提供了防火墙配置的保存功能能iptables-save命令缺省只将配置信息显示到标准输出命令缺省只将配置信息显示到标准输出（屏幕屏幕）中中#iptables-save 如果需要将如果需要将iptables-save命令的输出保存，需要将命命令的输出保存，需要将命令输出结果重定向到指定的文件中令输出结果重定向到指定的文件中#iptables-save ipt.v1.0使用使用iptables-save命令可以将多个版本的配置保存到命令可以将多个版本的配置保存到不同的文件中不同的文件中Page 18/47使用使用使用使用iptablesiptables-restore-restore命令恢复设置命
18、令恢复设置命令恢复设置命令恢复设置 viptables-restore命令可恢复防火墙设置命令可恢复防火墙设置iptables-restore命令可恢复使用命令可恢复使用iptables-save命令保命令保存的防火墙设置内容存的防火墙设置内容iptables-restore命令从标准输入或输入重定向文件中命令从标准输入或输入重定向文件中获取防火墙的设置内容获取防火墙的设置内容#iptables-restore -o ppp0-j MASQUERADE“-t nat-A POSTROUTING”表示在表示在nat表表的的POSTROUTING规则链中添加中添加规则“-s 192.168.1.0
19、/24”表示数据包的源地址表示数据包的源地址为“192.168.1.0/24”子网子网“-o ppp0”表示数据包的流出网表示数据包的流出网络接口是接口是“ppp0”，“ppp0”网网络接口具有公网接口具有公网IP地址地址“-j MASQUERADE”表示表示对数据包数据包进行的行的处理，即将符合条件的数据包理，即将符合条件的数据包进行行IP伪装装 Page 29/47阶段总结阶段总结阶段总结阶段总结代理服务器和网络防火墙工作在不同的协议层代理服务器和网络防火墙工作在不同的协议层在在Linux系统中内核提供包过滤防火墙功能，使用系统中内核提供包过滤防火墙功能，使用squid服务器实现代理服务器
20、功能服务器实现代理服务器功能netfilter是是Linux内核中的包过滤框架，内核中的包过滤框架，iptables是对是对netfilter的管理工具的管理工具使用使用iptables可设置可设置Linux系统实现各种常用的网系统实现各种常用的网络防火墙功能络防火墙功能Page 30/47阶段练习阶段练习阶段练习阶段练习J查看查看Linux系统中系统中iptables软件包中包括的文件，软件包中包括的文件，并查询并查询iptables服务的启动状态服务的启动状态J使用使用iptables命令查看命令查看filter规则表的设置内容规则表的设置内容Page 31/47squidsquid服务器
21、的功能服务器的功能服务器的功能服务器的功能 vsquid服务具有以下基本功能服务具有以下基本功能提供对提供对HTTP和和FTP协议的代理服务协议的代理服务缓存代理的内容，提高客户端访问网站的速度，并能缓存代理的内容，提高客户端访问网站的速度，并能够节约出口网络流量够节约出口网络流量对客户端地址进行访问控制，限制允许访问对客户端地址进行访问控制，限制允许访问squid服务服务器的客户机器的客户机对目标地址进行访问控制，限制客户端允许访问的网对目标地址进行访问控制，限制客户端允许访问的网站站根据时间进行访问控制，限定客户端可以使用代理服根据时间进行访问控制，限定客户端可以使用代理服务的时间务的时间
22、Page 32/47squidsquid服务器的代理工作机制服务器的代理工作机制服务器的代理工作机制服务器的代理工作机制vsquid服务器具有代理和缓存的基本功能服务器具有代理和缓存的基本功能代理服务器代理服务器Y数据缓存数据缓存代理进程代理进程远端服务器远端服务器客户端客户端?NPage 33/47squidsquid服务器的安装服务器的安装服务器的安装服务器的安装 vsquid服务器在服务器在RHEL4系统中已经默认安装系统中已经默认安装#rpm-q squidsquid-2.5.STABLE6-3 vsquid服务的启动状态服务的启动状态squid服务程序在服务程序在RHEL4中默认不自
23、动启动中默认不自动启动需要用需要用chkconfig命令设置命令设置squid服务在运行级别服务在运行级别3和和5中自动启动中自动启动#chkconfig-level 35 squid on Page 34/47squidsquid服务启动前的准备服务启动前的准备服务启动前的准备服务启动前的准备v确认主机具有完整的域名确认主机具有完整的域名squid服务运行需要服务运行需要Linux主机具有完整的域名主机具有完整的域名#grep hostname/etc/hosts vsquid服务器的初始化服务器的初始化 在第一次使用在第一次使用squid服务器之前需要先对服务器之前需要先对squid服务器
24、服务器进行初始化工作进行初始化工作#squid-z 初始的主要作用是在初始的主要作用是在squid服务器的工作目录中建立需服务器的工作目录中建立需要的子目录要的子目录#ls/var/spool/squid/00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F Page 35/47squidsquid服务的启动与停止服务的启动与停止服务的启动与停止服务的启动与停止 v启动脚本启动脚本squid服务的启动脚本名称是服务的启动脚本名称是“squid”/etc/init.d/squid v启动与停止启动与停止squid服务服务启动启动squid服务服务#ser
25、vice squid start 停止停止squid服务服务#service squid stopv服务端口服务端口squid服务器的缺省服务端口为服务器的缺省服务端口为3128Page 36/47squidsquid服务的配置文件服务的配置文件服务的配置文件服务的配置文件3-1 3-1 v配置目录配置目录squid具有独立的目录保存配置文件具有独立的目录保存配置文件/etc/squid/v主配置文件主配置文件主配置文件主配置文件squid.conf保存在配置目录中保存在配置目录中/etc/squid/squid.confvsquid.conf文件中的文件中的配置选项配置选项配置服务端口配置服
26、务端口http_port 3128 Page 37/47squidsquid服务的配置文件服务的配置文件服务的配置文件服务的配置文件3-23-2vsquid.conf文件中的文件中的配置选项配置选项缓冲内存数量缓冲内存数量cache_mem 8 MB“cache_mem”的值设置为服务器物理内存的三分之一比的值设置为服务器物理内存的三分之一比较合适较合适 工作目录工作目录 cache_dir ufs/var/spool/squid 100 16 256“cache_dir”设置项的缺省值为设置设置项的缺省值为设置“/var/spool/squid”作为作为squid的工作路径，的工作路径，“1
27、00 16 256”分别表示，目录中最大的容量是分别表示，目录中最大的容量是100MB，目录中的，目录中的一级子目录的数量为一级子目录的数量为16个，二级子目录为个，二级子目录为“256”个个 Page 38/47squidsquid服务的配置文件服务的配置文件服务的配置文件服务的配置文件3-33-3vsquid.conf文件中的文件中的配置选项配置选项访问控制设置访问控制设置“http_access”用于设置允许或拒绝访问控制对象用于设置允许或拒绝访问控制对象http_access allow localhosthttp_access deny all 访问控制列表（访问控制列表（ACL）的
28、定义）的定义“acl”配置项用于设置访问控制列表的内容配置项用于设置访问控制列表的内容 acl all src 0.0.0.0/0.0.0.0acl localhost src 127.0.0.1/255.255.255.255v重新启动重新启动squid服务服务对对squid.conf文件修改后需要重新启动服务程序文件修改后需要重新启动服务程序#service squid restart Page 39/47配置透明代理服务器配置透明代理服务器配置透明代理服务器配置透明代理服务器 v配置配置squid服务器服务器 修改修改squid.conf配置文件中的设置配置文件中的设置#vi/etc/s
29、quid/squid.conf/在配置文件中添加以下的配置行httpd_accel_host virtualhttpd_accel_port 80httpd_accel_with_proxy onhttpd_accel_uses_host_header on 重新启动重新启动squid服务器服务器#service squid reload v设置防火墙策略设置防火墙策略#iptables-t nat-A PREROUTING-s 192.168.1.0/24 -p tcp-dport 80-j REDIRECT-to-ports 3128“-t nat-A PREROUTING”表示在表示在n
30、at表的表的PREROUTING规则链中添加中添加规则“-s 192.168.1.0/24”表示数据包的源地址表示数据包的源地址为“192.168.1.0/24”子网子网“-p tcp”表示数据包的表示数据包的协议为“tcp”，“-dport 80”表示表示数据包数据包访问的目的端口的目的端口为“80”，即，即标准的准的WWW服服务“-j REDIRECT”表示将符合条件的数据包表示将符合条件的数据包进行重定向，行重定向，“-to-ports 3128”表示将数据包重定向到表示将数据包重定向到“3128”端口，端口，“3128”端口是端口是squid服服务器提供网器提供网页代理服代理服务的端口
31、的端口 Page 40/47网页浏览器的代理设置网页浏览器的代理设置网页浏览器的代理设置网页浏览器的代理设置 v透明代理透明代理如果网关配置为透明代理将不需要在网络浏览器中进如果网关配置为透明代理将不需要在网络浏览器中进行任何的代理设置行任何的代理设置v使用代理服务器使用代理服务器直接使用直接使用squid代理服务器需要在浏览器中进行代理服代理服务器需要在浏览器中进行代理服务器的信息设置务器的信息设置Page 41/47阶段总结阶段总结阶段总结阶段总结squid是著名的代理服务器软件，可实现是著名的代理服务器软件，可实现HTTP和和FTP协议的代理功能协议的代理功能squid服务器的基本功能包
32、括代理服务和内容缓存服务器的基本功能包括代理服务和内容缓存服务服务squid服务器的主配置文件服务器的主配置文件“squid.conf”保存在保存在“/etc/squid”目录中目录中squid提供代理服务的缺省端口是提供代理服务的缺省端口是“3128”squid服务器可以对代理的内容和客户端进行一定服务器可以对代理的内容和客户端进行一定的访问控制的访问控制网页浏览器使用代理服务器时需要进行设置网页浏览器使用代理服务器时需要进行设置Page 42/47阶段练习阶段练习阶段练习阶段练习J查看查看squid.conf配置文件中的缺省配置内容配置文件中的缺省配置内容J启动启动squid服务程序，并查
33、看该服务所使用的网络服务程序，并查看该服务所使用的网络端口端口Page 43/47本章总结本章总结本章总结本章总结代理服务器与代理服务器与代理服务器与代理服务器与防火墙防火墙防火墙防火墙基本概念基本概念基本概念基本概念iptablesiptables应用层代理应用层代理应用层代理应用层代理网络层防火墙网络层防火墙网络层防火墙网络层防火墙iptablesiptables基本原理基本原理基本原理基本原理iptablesiptables的基本配置管理的基本配置管理的基本配置管理的基本配置管理 防火墙配置实例防火墙配置实例防火墙配置实例防火墙配置实例squidsquid服务器的基本功能服务器的基本功能
34、服务器的基本功能服务器的基本功能squidsquid服务器的配置管理服务器的配置管理服务器的配置管理服务器的配置管理 缓存代理缓存代理缓存代理缓存代理squidsquid网页浏览器的代理设置网页浏览器的代理设置网页浏览器的代理设置网页浏览器的代理设置代理服务器可实现代理服务器可实现HTTP和和FTP等网络服务的代等网络服务的代理功能理功能网络防火墙可以对网络网络防火墙可以对网络层数据包进行过滤和路层数据包进行过滤和路由选择由选择iptables提供了对提供了对Linux内核中包过滤功能的管内核中包过滤功能的管理理RHEL4系统中提供了对系统中提供了对iptables的安装和缺省设的安装和缺省设
35、置置通过通过iptables可配置可配置Linux系统实现各种防火系统实现各种防火墙功能墙功能squid服务器可以实现常服务器可以实现常用的代理服务器功能用的代理服务器功能通过通过squid.conf主配置主配置文件，可以对文件，可以对squid服务服务器进行配置管理器进行配置管理网络浏览器使用代理服网络浏览器使用代理服务器时需要进行代理项务器时需要进行代理项的设置的设置Page 44/47实验实验实验实验v任务任务1：防火墙配置管理：防火墙配置管理 v任务任务2：squid代理服务器配置管理代理服务器配置管理 Page 45/47任务任务任务任务1 1v注意事项注意事项提示提示1：使用：使用
36、iptables命令进行防火墙的策略配置时应命令进行防火墙的策略配置时应在在Linux主机的控制台完成，如果使用主机的控制台完成，如果使用SSH登录进行配登录进行配置有可能造成由于策略的设置造成置有可能造成由于策略的设置造成SSH连接中断连接中断提示提示2：在使用：在使用iptables脚本保存策略配置前需要先将脚本保存策略配置前需要先将现有策略进行备份，以便出现错误后进行恢复现有策略进行备份，以便出现错误后进行恢复Page 46/47任务任务任务任务2 2v注意事项注意事项提示提示1：在启动：在启动squid服务程序之前需要先确认服务程序之前需要先确认Linux主主机具有完整的域名，如果没有可以在机具有完整的域名，如果没有可以在hosts文件中进行文件中进行设置设置提示提示2：squid服务器第一次启动前的初始化工作可以服务器第一次启动前的初始化工作可以使用使用“squid-z”命令手工完成，如不手工进行，命令手工完成，如不手工进行，squid启动脚本也会自动完成初始化工作启动脚本也会自动完成初始化工作Page 47/47