超级会员免费看
网络安全：防火墙与 iptables 深入解析
在当今数字化的时代，网络安全至关重要。无论是个人用户还是企业组织，都需要采取有效的措施来保护自己的网络免受潜在的威胁。防火墙作为网络安全的基础工具，在阻止未经授权的数据包访问网络和系统方面发挥着关键作用。本文将深入探讨防火墙的相关知识，包括包过滤防火墙、状态检测防火墙，以及 Linux 系统中 iptables 的使用。
1. stunnel 连接与安全登录
stunnel 是一种用于创建安全隧道的工具。在客户端配置中，
client = yes
指令告诉程序发起 stunnel 连接，而非接受连接。本地 stunnel 在端口 23 监听连接，并连接到服务器的端口 992。
connect
指令中的主机名应与创建证书时指定的条目匹配。
客户端和服务器的 stunnel 都可以在无命令行参数的情况下启动。使用
netstat -an
检查时，会看到服务器 stunnel 在端口 992 等待连接，而客户端 stunnel 在端口 23 等待。
用户可以通过以下命令访问隧道：
client$ telnet localhost 23
Trying 127.0.0.1...
Connected to localhost (127.0.0.1).
Escape character is '^]'.
Red Hat Enterprise Linux WS release 4 (Nahant Update 2)
Kernel 2.6.9 - 5.EL on an i686
login:
这样，用户就可以安全登录，无需担心密码被盗。管理员应使用 TCP 包装器将客户端连接限制在本地接口，以防止外部网络通过安全的 telnet 连接访问服务器。
2. 防火墙概述
防火墙是网络安全的基本工具，它可以是设备或软件，用于阻止未经授权的数据包访问网络和系统。如今，防火墙无处不在，从桌面系统、服务器到消费级路由器和企业级网络设备都有应用。
3. 包过滤防火墙
包过滤防火墙根据数据包头部的信息，限制可以通过 Internet 网关（或组织内部分隔不同域的内部网关）的流量类型。这类似于在国际边境的海关检查站，你可以指定可接受的目标地址、端口号和协议类型，网关会丢弃（某些情况下会记录）不符合条件的数据包。
不同操作系统有不同的包过滤软件：
- Linux 系统：使用 iptables。
- Solaris 和 HP-UX：使用 IPFilter。
- AIX：使用 genfilt。
虽然这些工具能够进行复杂的过滤并提供额外的安全保障，但一般不建议使用 UNIX 和 Linux 系统作为网络路由器，尤其是企业防火墙路由器。通用操作系统的复杂性使其本质上不如专用设备安全和可靠。对于全站网络保护，像 Check Point 和 Cisco 制造的专用防火墙设备是更好的选择。
4. 服务过滤机制
大多数知名服务在
/etc/services
文件或其特定供应商的等效文件中与网络端口相关联。提供这些服务的守护进程会绑定到相应的端口，并等待来自远程站点的连接。大多数知名服务端口是“特权”端口，端口号范围为 1 到 1023，只有以 root 身份运行的进程才能使用这些端口。端口号 1024 及以上的是非特权端口。
服务特定过滤基于以下假设：客户端（发起 TCP 或 UDP 会话的机器）使用非特权端口连接服务器上的特权端口。例如，如果你只想允许对地址为 192.108.21.200 的机器进行入站 SMTP 连接，你可以安装一个过滤器，允许目标地址为该地址且端口为 25 的 TCP 数据包，并允许从该地址到任何地方的出站 TCP 数据包。具体的过滤安装方式取决于你使用的路由器或过滤系统。
然而，一些服务（如 FTP）会带来一些问题。FTP 协议在传输文件时实际上使用两个 TCP 连接：一个用于命令，另一个用于数据。客户端发起命令连接，服务器发起数据连接。因此，如果你想使用 FTP 从 Internet 检索文件，你必须允许对所有非特权 TCP 端口的入站访问，因为你不知道传入的数据连接会使用哪个端口。这在很大程度上违背了包过滤的目的，因为一些不安全的服务（如端口 6000 的 X11）通常绑定到非特权端口。这种配置还可能让组织内好奇的用户在非标准和非特权端口上启动自己的服务，供他们或其朋友从 Internet 访问。
解决 FTP 问题的一个常见方法是使用 SSH 文件传输协议（SFTP）。该协议目前是 Internet 草案，但已广泛使用且成熟。它通常作为 SSH 的子组件使用，提供身份验证和加密。与 FTP 不同，SFTP 只使用一个端口处理命令和数据，巧妙地解决了包过滤的悖论。有许多 SFTP 实现，OpenSSH 提供的命令行 SFTP 客户端就很不错。
如果你必须使用 FTP，一个合理的方法是只允许从单个隔离的主机进行对外的 FTP 访问。用户需要执行内部网络禁止的网络操作时，可以登录到该 FTP 机器。由于在 FTP“服务器”上复制所有用户账户会破坏管理分离的目标，你可以仅根据请求创建 FTP 账户。当然，FTP 主机应该运行全套的安全检查工具。
现代注重安全的站点使用两级过滤方案。在这个方案中，一个过滤器作为 Internet 网关，另一个过滤器位于外部网关和本地网络的其余部分之间。其理念是将所有入站 Internet 连接终止在这两个过滤器之间的系统上。如果这些系统与网络的其余部分在管理上分离，它们可以为 Internet 提供各种服务，同时降低风险。这种部分安全的网络通常称为“非军事区”（DMZ）。
使用包过滤器最安全的方法是从一个不允许入站连接的配置开始。然后，随着发现有用但无法正常工作的功能，逐步放宽过滤器，并将任何可从 Internet 访问的服务迁移到 DMZ 中的系统上。
5. 状态检测防火墙
状态检测防火墙的原理类似于在拥挤的机场仔细倾听和理解所有对话，以确保没有人计划当天晚些时候炸飞机。状态检测防火墙旨在检查通过它的流量，并将实际的网络活动与“应该”发生的情况进行比较。
例如，如果在 FTP 命令序列中交换的数据包指定了一个稍后用于数据连接的端口，防火墙应该只期望在该端口上发生数据连接。远程站点尝试连接其他端口可能是恶意的，应该被丢弃。
然而，当供应商声称提供状态检测功能时，他们的产品要么只监控非常有限的连接或协议，要么只搜索特定的“不良”情况。虽然任何能够检测流量异常的技术都有一定的好处，但需要记住的是，这些声称在很大程度上是营销噱头。
6. 防火墙的安全性考量
防火墙不应成为你抵御入侵者的主要（或唯一）防御手段，它只是精心设计的多层安全策略的一个组成部分。使用防火墙常常会给人一种虚假的安全感。如果防火墙让你放松了其他安全措施，那么它会对你的站点安全产生负面影响。
组织内的每台主机都应该单独进行补丁更新、加固，并使用如 Bro、Snort、Nmap、Nessus 和 OSSEC 等工具进行定期监控。同样，整个用户群体需要接受基本的安全卫生教育。否则，你只是构建了一个外表坚硬但内部脆弱的结构。
理想情况下，本地用户应该能够连接到他们想要的任何 Internet 服务，但 Internet 上的机器只能连接到 DMZ 内托管的有限本地服务。例如，你可能希望允许对本地存档服务器的 SFTP 访问，并允许对接收传入电子邮件的服务器进行 SMTP 连接。
为了最大限度地发挥 Internet 连接的价值，在决定如何设置网络时，建议强调便利性和可访问性。归根结底，网络安全依靠的是系统管理员的警惕性，而不是花哨的防火墙硬件。
7. Linux 防火墙特性
虽然不建议使用 Linux（或 UNIX、Windows）系统作为防火墙，因为运行完整的通用操作系统存在安全风险，但对于预算有限的组织来说，经过加固的 Linux 系统是一个可行的替代方案。对于喜欢折腾的安全意识较强的家庭用户来说，也是一个不错的选择。无论如何，像 iptables 这样的本地过滤器在加固系统时可以作为出色的补充安全措施。
如果你决定使用 Linux 机器作为防火墙，要确保其安全配置和补丁是最新的。防火墙机器是实践各种安全建议的理想场所。
8. iptables 的规则、链和表
Linux 内核 2.4 版本引入了全新的数据包处理引擎 Netfilter 以及命令行工具 iptables 来管理它。iptables 对网络数据包应用有序的“规则链”，规则链集合构成“表”，用于处理特定类型的流量。
-
默认表 - filter ：用于包过滤网络流量，包含三个默认链：
- FORWARD ：应用于所有到达一个网络接口并需要转发到另一个接口的数据包。
- INPUT ：应用于发往本地主机的流量。
-
OUTPUT
：应用于从本地主机发起的流量。
这三个标准链通常足以处理两个网络接口之间的防火墙设置。如有必要，你可以定义自定义配置以支持更复杂的计费或路由场景。
-
其他表 ：
- nat ：包含控制网络地址转换（NAT）的规则链。
- mangle ：包含用于修改或更改网络数据包内容的链，但在大多数生产环境中不常用。
9. iptables 规则目标
构成规则链的每个规则都有一个“目标”子句，用于确定如何处理匹配的数据包。当数据包匹配规则时，其命运通常就确定了，不会再检查其他规则。虽然 iptables 内部定义了许多目标，但也可以指定另一个规则链作为规则的目标。
以下是 filter 表中规则可用的目标：
| 目标 | 描述 |
| ---- | ---- |
| ACCEPT | 允许匹配的数据包继续传输。 |
| DROP | 丢弃数据包，无响应。 |
| REJECT | 丢弃数据包，并返回 ICMP 错误消息。 |
| LOG | 简单记录匹配规则的数据包。 |
| ULOG | 扩展日志记录功能。 |
| REDIRECT | 将数据包转移到代理。 |
| RETURN | 终止用户定义的链。 |
| MIRROR | 交换数据包的 IP 源地址和目标地址。 |
| QUEUE | 通过内核模块将数据包传递给本地用户程序。 |
10. iptables 防火墙设置
在使用 iptables 作为防火墙之前，你必须启用 IP 转发，并确保各种 iptables 模块已加载到内核中。安装 iptables 的软件包通常包含启动脚本来完成这些操作。
Linux 防火墙通常通过 rc 启动脚本中的一系列 iptables 命令实现。单个 iptables 命令通常有以下几种形式：
-
iptables -F chain-name
：清除链中的所有先前规则。
-
iptables -P chain-name target
：为链设置默认策略（即目标），建议使用 DROP 作为默认目标。
-
iptables -A chain-name -i interface -j target
：将当前规则添加到链的末尾。
除非使用
-t
参数指定表，否则命令将应用于 filter 表中的链。
-i
参数指定规则应用的接口，
-j
标识目标。iptables 还接受许多其他子句，如下表所示：
| 子句 | 含义或可能的值 |
| ---- | ---- |
| -p proto | 按协议匹配：tcp、udp 或 icmp |
| -s source-ip | 匹配主机或网络源 IP 地址（支持 CIDR 表示法）|
| -d dest-ip | 匹配主机或网络目标地址 |
| –sport port# | 按源端口匹配（注意双破折号）|
| –dport port# | 按目标端口匹配（注意双破折号）|
| –icmp-type type | 按 ICMP 类型代码匹配（注意双破折号）|
|! | 取反子句 |
| -t table | 指定命令应用的表（默认是 filter）|
11. 完整示例
假设
eth1
接口连接到 Internet，
eth0
接口连接到内部网络。
eth1
的 IP 地址是 128.138.101.4，
eth0
的 IP 地址是 10.1.1.1，两个接口的子网掩码都是 255.255.255.0。此示例使用无状态包过滤来保护 IP 地址为 10.1.1.2 的 Web 服务器。
首先，初始化 filter 表：
iptables -F
iptables -P INPUT DROP
iptables -P FORWARD DROP
然后，添加规则允许受信任网络发起的连接以及对 Web 服务器的特定服务访问：
iptables -A FORWARD -i eth0 -p ANY -j ACCEPT
iptables -A FORWARD -d 10.1.1.2 -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -d 10.1.1.2 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -d 10.1.1.2 -p tcp --dport 443 -j ACCEPT
接着，允许对防火墙主机的 SSH 访问、环回流量和内部 IP 地址的 ICMP ECHO_REQUEST 数据包：
iptables -A INPUT -i eth0 -d 10.1.1.1 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -i lo -d 127.0.0.1 -p ANY -j ACCEPT
iptables -A INPUT -i eth0 -d 10.1.1.1 -p icmp --icmp-type 8 -j ACCEPT
为了使 IP 主机在 Internet 上正常工作，需要允许一些特定类型的 ICMP 数据包：
iptables -A INPUT -p icmp --icmp-type 0 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 3 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 5 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 11 -j ACCEPT
iptables -A FORWARD -d 10.1.1.2 -p icmp --icmp-type 0 -j ACCEPT
iptables -A FORWARD -d 10.1.1.2 -p icmp --icmp-type 3 -j ACCEPT
iptables -A FORWARD -d 10.1.1.2 -p icmp --icmp-type 5 -j ACCEPT
iptables -A FORWARD -d 10.1.1.2 -p icmp --icmp-type 11 -j ACCEPT
最后，在 nat 表的 PREROUTING 链中添加反欺骗过滤规则：
# 此处可根据实际情况添加具体的反欺骗规则
通过以上步骤，你可以使用 iptables 在 Linux 系统上构建一个基本的防火墙，保护网络安全。在实际应用中，你可以根据具体需求调整规则，确保网络既安全又能满足业务要求。
总之，防火墙是网络安全的重要组成部分，而 iptables 为 Linux 系统提供了强大的包过滤和管理功能。通过深入了解和合理配置，你可以有效地保护网络免受潜在威胁。同时，要始终牢记，网络安全是一个持续的过程，需要不断更新和维护。
网络安全：防火墙与 iptables 深入解析
12. iptables 规则配置的注意事项
在配置 iptables 规则时，有几个重要的注意事项需要牢记：
-
规则顺序
：规则是按顺序评估的，因此应将最繁忙的规则放在前面。但要注意，为了性能而重新排序规则时，不能改变其功能。
-
默认策略
：建议将默认链目标设置为 DROP，即丢弃所有未明确允许的数据包，这是最安全的策略。
-
规则测试
：在生产环境中应用新规则之前，务必在测试环境中进行充分测试，以确保不会意外阻止合法流量。
13. 防火墙配置的流程图
下面是一个简单的 mermaid 流程图，展示了使用 iptables 配置防火墙的基本流程：
graph TD;
A[初始化 filter 表] --> B[设置默认策略为 DROP];
B --> C[添加允许受信任网络的规则];
C --> D[添加特定服务访问规则];
D --> E[添加本地主机访问规则];
E --> F[添加必要的 ICMP 规则];
F --> G[添加反欺骗规则];
14. 防火墙的维护与监控
防火墙配置完成后，还需要进行定期的维护和监控，以确保其持续有效：
-
规则更新
：随着网络环境的变化和新的安全威胁出现，需要及时更新防火墙规则。例如，当添加新的服务或应用时，需要相应地调整规则以允许合法流量。
-
日志分析
：定期分析防火墙日志，以检测潜在的安全事件。可以使用工具如
grep
、
awk
等对日志进行筛选和分析，查找异常的连接尝试或流量模式。
-
性能监控
：监控防火墙的性能指标，如 CPU 使用率、内存使用率和网络带宽，确保防火墙不会成为网络瓶颈。
15. 常见防火墙问题及解决方法
在使用防火墙的过程中，可能会遇到一些常见问题，以下是一些问题及相应的解决方法：
| 问题 | 描述 | 解决方法 |
| ---- | ---- | ---- |
| 部分服务无法访问 | 可能是防火墙规则阻止了特定服务的流量。 | 检查规则，确保允许该服务的端口和协议。可以使用
iptables -L
查看当前规则列表，并根据需要添加或修改规则。 |
| 网络连接缓慢 | 可能是防火墙性能不足或规则过于复杂导致的。 | 优化规则配置，删除不必要的规则，或者考虑升级防火墙硬件。 |
| 日志文件过大 | 防火墙日志可能会占用大量磁盘空间，影响系统性能。 | 定期清理日志文件，或者使用日志管理工具（如
logrotate
）进行自动管理。 |
16. 防火墙与其他安全措施的结合
防火墙只是网络安全的一部分，为了提供更全面的保护，应将其与其他安全措施结合使用：
-
入侵检测系统（IDS）/入侵防御系统（IPS）
：IDS/IPS 可以实时监控网络流量，检测并阻止潜在的入侵行为。与防火墙结合使用，可以提供更高级别的安全防护。
-
加密技术
：使用加密技术（如 SSL/TLS）对敏感数据进行加密传输，防止数据在传输过程中被窃取或篡改。
-
用户教育
：对用户进行安全意识培训，教育他们如何正确使用网络资源，避免点击可疑链接或下载未知来源的文件。
17. 未来防火墙技术的发展趋势
随着网络技术的不断发展，防火墙技术也在不断演进。以下是一些未来防火墙技术的发展趋势：
-
智能化
：防火墙将具备更强的智能分析能力，能够自动识别和应对新的安全威胁。
-
云化
：越来越多的企业将采用云防火墙，以实现更灵活的部署和管理。
-
融合化
：防火墙将与其他安全设备（如 IDS/IPS、VPN 等）进行深度融合，提供一站式的安全解决方案。
18. 总结
网络安全是一个复杂而持续的过程，防火墙在其中扮演着至关重要的角色。通过本文的介绍，我们深入了解了包过滤防火墙、状态检测防火墙的工作原理，以及 Linux 系统中 iptables 的使用方法。在实际应用中，应根据具体需求和网络环境，合理配置防火墙规则，并结合其他安全措施，构建多层次的安全防护体系。
同时，要始终保持警惕，不断学习和关注最新的安全技术和威胁动态，及时调整和优化防火墙配置，以确保网络的安全稳定运行。希望本文能够为你在网络安全领域提供有价值的参考和帮助。
扫一扫
142
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
